La Corte di Cassazione, Sezione Lavoro, con la sentenza n. 24204 depositata il 29 agosto 2025, ha stabilito un principio cruciale in materia di diritto del lavoro e tutela della privacy: le e‑mail private dei dipendenti, anche se archiviate sui server aziendali o accessibili tramite strumenti forniti dal datore, non possono essere utilizzate a fini difensivi, in mancanza di informazione preventiva, proporzionalità o consenso; esse restano tutelate come corrispondenza privata ai sensi dell’art. 8 CEDU.
Fatti e iter giudiziario
La vicenda nasce da un contenzioso in cui un’azienda, sospettando comportamenti di concorrenza sleale da parte di ex dipendenti, aveva acquisito comunicazioni elettroniche private salvate sui server aziendali. L’azienda sosteneva di poterne disporre per fini difensivi. La Cassazione ha però confermato l’inutilizzabilità di tale materiale, in linea con la pronuncia della Corte d’Appello di Milano.
Il quadro normativo di riferimento
Art. 8 CEDU
La Corte richiama espressamente l’articolo 8 della Convenzione europea dei diritti dell’uomo, che tutela la vita privata e la corrispondenza. Il dato risulta protetto anche se transitato o conservato su sistemi aziendali.
Statuto dei Lavoratori e GDPR
La decisione si inserisce nel solco della giurisprudenza che esige il rispetto delle disposizioni del tutela dei dati personali:
Art. 4 dello Statuto dei Lavoratori (divieto generalizzato di controlli), non derogabile se non in presenza di specifiche condizioni e procedure.
Regolamento (UE) 2016/679 (GDPR), che impone criteri di liceità, proporzionalità e trasparenza nel trattamento dei dati personali.
Profili penali
La Cassazione ribadisce anche profili di rilevanza penale: l’accesso abusivo a una casella e‑mail protetta da password integra il reato di accesso abusivo a sistema informatico e concorre con quello di violazione di corrispondenza. Ciò accentua l’importanza di considerare l’atto non solo illecito civilmente, ma anche penalmente.
Portata della pronuncia
Sugli oneri di prova
La decisione mette un paletto anche agli strumenti difensivi utilizzabili dalle aziende: nemmeno finalità difensive legittime giustificano l’accesso non autorizzato alla privacy del lavoratore.
Sul piano generale
Essa rafforza il modello di tutela dei diritti fondamentali nel rapporto di lavoro, estendendo e adattando gli standard tradizionali alla sfera digitale.
Prospettive interpretative
Proporzionalità e informazione preventiva
Un passo coerente nelle garanzie: anche in caso di sospetti fondati, il datore di lavoro è tenuto a:
informare preventivamente il lavoratore,
rispettare criteri di proporzionalità nell’eventuale controllo,
ottenere il consenso nei modi legislativamente previsti.
Nuovi scenari del lavoro digitale
L’analisi richiama la necessità di aggiornare le policy aziendali, introdurre protocolli trasparenti su strumenti elettronici e formare operatori e lavoratori sui nuovi confini della privacy digitale.
Conclusione
La sentenza n. 24204/2025 segna una svolta nella tutela della privacy digitale nel mondo del lavoro. Il messaggio della Cassazione è chiaro: il rispetto della dignità del lavoratore non conosce eccezioni, nemmeno quando si presume una condotta illecita. Le comunicazioni private restano blindate, e ogni accesso abusivo non solo invalida la prova acquisita, ma può configurare reato.