Premessa

Il contenuto delle email aziendali, i dati di contatto delle comunicazioni e gli eventuali allegati rientrano nella nozione di corrispondenza e sono tutelati dal diritto alla segretezza, riconosciuto anche dalla Costituzione italiana all’art. 15, che salvaguarda la dignità della persona e il suo sviluppo nelle relazioni sociali.

Il caso del Garante Privacy

A ribadirlo è il Garante per la protezione dei dati personali con il provvedimento n. 754/2025 del 18 dicembre 2025, che ha inflitto una sanzione di 40.000 euro a una società per violazione della segretezza dell’account email di un ex amministratore delegato.

L’ex dirigente, dopo una contestazione disciplinare e il licenziamento, ha visto negato l’accesso alla sua casella email aziendale rimasta attiva; ha esercitato i diritti GDPR (artt. 15, 17, 20) chiedendo

• disabilitazione,
• inoltro a email personale e
• risposta automatica,

ma senza riscontro.

L’istruttoria ha accertato che l’azienda riceveva e inoltrava le email aziendali a un altro account aziendale per circa due mesi, superando i 30 giorni delle regole interne, con accesso e conservazione di email personali in violazione degli artt. 5, 12 e 15 GDPR.

Il Garante ha ordinato l’accesso all’ex lavoratore, la cancellazione dei dati (salva tutela giudiziaria) e la sanzione, considerando durata, gravità e assenza di precedenti.

Giurisprudenza della Cassazione

Anche per la Corte di Cassazione questo principio è considerato come consolidato: con sentenza n. 24204/2025 (29 agosto 2025, Sez. Lavoro), ha sancito che le email aziendali individualizzate del dipendente sono corrispondenza privata inviolabile, anche su server aziendali, tutelata dall’art. 8 CEDU e art. 15 Cost., anche per finalità difensive.

L’accesso non autorizzato è illegittimo e rende inutilizzabili le prove, come in un caso di concorrenza sleale dove email ex dipendenti furono escluse.

Analoga tutela nella sent. n. 5334/2025 (28 febbraio 2025): la segretezza della corrispondenza privata preclude di basare licenziamenti sul contenuto di comunicazioni personali (es. chat), indipendentemente da come il datore ne venga a conoscenza, a presidio della dignità del lavoratore.

Queste pronunce rafforzano i limiti ex art. 4 Statuto Lavoratori: controlli solo con informativa, policy chiare e proporzionalità, vietando accessi invasivi.

Normativa e implicazioni aziendali

Il GDPR impone:

• minimizzazione,
• trasparenza e
• diritti dell’interessato.

Post-cessazione del rapporto lavorativo, l’email aziendale va gestita con filtri automatici, senza lettura contenuti, informando mittenti del cambio. Violazioni espongono a sanzioni fino al 4% fatturato globale, risarcimenti e nullità licenziamenti.

Le aziende devono aggiornare policy IT: segregare dati, limitare a log tecnici, formare personale e audit GDPR per evitare illeciti, bilanciando esigenze aziendali e privacy.

In Italia, il quadro è stringente per la tutela del lavoratore anche dopo il rapporto.