L’ultima parola della Cassazione: “La mail aziendale del lavoratore è personale, inviolabile anche sul server aziendale”
La Corte Suprema ha parlato chiarissimo con la sentenza n. 24204 del 29 agosto 2025: anche se una mailbox è allocata su un server aziendale, se è protetta da password e appartiene al dipendente, è privata. Punto.
Che cosa significa, davvero
- Non puoi usare la scusa “la mail è sul server dell’azienda”: per la Cassazione questa circostanza non toglie la natura personale del contenuto.
- Se il datore di lavoro accede abusivamente, si configura reato: accesso abusivo a sistema informatico (art. 615-ter c.p.), violazione di corrispondenza, eventualmente danneggiamento se l’accesso compromette la disponibilità dell’account.
- L’argomento centrale è che le e-mail sono parte della “vita privata” e della “corrispondenza”, diritti garantiti costituzionalmente e dalla Carta dei Diritti Fondamentali UE (art. 8).
Il caso
Un’azienda sospetta che alcuni ex dipendenti abbiano fatto concorrenza sleale e violato doveri di fedeltà. Per “dimostrarlo” ha aperto le caselle mail degli ex dipendenti. Il Tribunale di Milano ha dato ragione al datore di lavoro, ma la Corte d’Appello lo ha smentito, e ora la Cassazione conferma il rovesciamento.
Implicazioni pratiche – e qualche scossone
Questo pronunciamento non è solo “bella parola”: ha effetti concreti su come si gestisce la security aziendale, le policy interne, i rapporti contrattuali. Ecco alcuni spunti operativi:
| Aspetto | Prima | Dopo la Cassazione |
| Policy di accesso alle email aziendali | Spesso incluse nei regolamenti interni, con clausole che permettono controlli | Serve essere espliciti: non puoi prevedere o pretendere accesso a caselle private, neppure se sono su server aziendali |
| Contratti / regolamenti aziendali | Modalità di controllo ambiguo, a volte senza accordo sindacale | Necessario accordo sindacale o consenso chiaro, tracciatura dei controlli, limitazioni conformi allo Statuto dei Lavoratori |
| Formazione e cultura interna | Molti dipendenti non sanno che la loro casella può essere inviolabile | Educazione sulla privacy, password, segretezza, awareness sul fatto che “se hai la password, è tua” |
| Rischi legali e penalità | Possibile uso difensivo da parte del datore di lavoro, ma esposti a contenziosi | Se il datore accede senza consenso, rischi reali di reati penali + bocciatura in grado d’appello o da Cassazione |
Cosa fare per restare sul lato giusto della legge
- Audit delle policy interne: verificare se ci sono clausole che prevedono un accesso alle email personali o condivisione non autorizzata.
- Rivedere i contratti di lavoro e/o i regolamenti interni — con sindacati se serve — per assicurarsi che non ci siano “porte aperte” illegittime.
- Implementare una segregazione degli account: account aziendali vs account personali ben distinti, distinti livelli di accesso e responsabilità.
- Log e trasparenza: se l’azienda deve fare controlli legittimi (es. uso della rete aziendale, sicurezza informatica), lo faccia nel rispetto della proporzionalità e con procedure formalizzate.
- Formazione e consapevolezza di dipendenti e management: non basta aver scritto qualcosa su un regolamento, serve che tutti sappiano cosa significa “accesso abusivo” e che le email personali sono tutelate.
Riflessioni “da consulente”
- Questo è un segnale forte: la giurisprudenza sta spingendo verso una tutela della privacy sempre più stringente, anche dentro l’azienda.
- Per chi progetta infrastrutture cloud, ambienti hybrid server, gestione delle identità: serve prevedere fin dall’architettura queste distinzioni.
- In ambiti altamente controllati — finanza, sanità, PA — l’errore non è “se” accadrà un contenzioso, ma “quando”. Quindi è opportuno essere proattivi.
- Potrebbe aprirsi un dibattito su cosa esattamente costituisce “account aziendale” versus “personale” in contesti dove l’azienda fornisce l’email ma senza limitazioni di uso personale.
Conclusione
La Cassazione ci manda un messaggio netto: la privacy aziendale ha limiti rigorosi, e la casella email di un lavoratore — se privata, protetta, anche se residente su server dell’azienda — è inviolabile. Il datore può usare tutti gli strumenti che vuole, ma solo entro limiti chiari, legali, trasparenti.
Se non lo fa, non solo sbaglia: rischia un reato.
Rispondi