21 Apr Posso accedere all’email aziendale di un mio dipendente?

Il primo bivio ti dice quasi tutto: l’indirizzo è nominativo (nome.cognome@) o di funzione (amministrazione@)?

Se è di funzione, l’accesso è più semplice, perché quella casella non è percepita come sfera personale del lavoratore e la puoi trattare come qualunque altro strumento aziendale. Se è nominativa — il caso più frequente — accedervi diventa un’attività giuridicamente rischiosa.

Per entrare nell’account email di un tuo dipendente, ti serve innanzitutto un motivo concreto: un sospetto specifico su quel dipendente, oppure una necessità organizzativa reale — per esempio recuperare comunicazioni di lavoro da un account rimasto attivo dopo le dimissioni.

Senza un motivo di questo tipo, nessuna policy può giustificare l’accesso: la policy, infatti, regola come accedi quando hai già un motivo mentre non ti può dare mai la facoltà di guardare quando vuoi.

Sia il sospetto che la necessità vanno messi per iscritto prima di accedere — cosa cerchi e perché — non dichiarati solo a voce. È un passaggio che sembra burocrazia in più e invece è la differenza vera: senza quella traccia scritta, ogni tua giustificazione si presta ad essere contestata come vaga e di comodo.

Prima di entrare nella casella di un dipendente, metti per iscritto il motivo e verifica che la policy aziendale sia già in vigore: un accesso sbagliato può rendere inutilizzabile anche una prova vera. Chiamaci al +39 0422 235703 o compila il modulo in fondo alla pagina.

Quello che segue vale per la via ordinaria, quella con una policy già in vigore — è la strada da preferire sempre, perché più semplice e più sicura. Esiste anche una via residuale, più stretta, per quando la policy manca: ne parlo alla fine, ma è un’eccezione per un solo tipo di caso, non un’alternativa equivalente.

Detto questo, passiamo ora ad esaminare lo strumento che ti serve per procedere, una volta che il sospetto o la necessità esista realmente, mi riferisco ovviamente alla policy aziendale.

La policy aziendale sull’uso degli strumenti informatici deve preesistere all’insorgere del sospetto o della necessità e deve essere già stata comunicata ai dipendenti.

A cosa serve?

A stabilire quando e come l’azienda può intervenire.

Senza quella policy, non puoi decidere da un giorno all’altro di entrare nella casella di qualcuno solo perché sei titolare dello strumento: la proprietà dell’email aziendale non equivale al diritto di leggerne il contenuto, salvo il caso eccezionale di cui parlo più avanti.

Se la policy esiste, l’accesso va condotto seguendo esattamente le sue modalità — di norma con gradualità, e sempre rispettando il principio di minimizzazione.

Cosa significa con gradualità?

Per esempio: se sospetti che un tuo dipendente stia usando l’account email aziendale per comunicazioni personali, il primo passo non è l’accesso diretto, ma un richiamo — una circolare a tutti i dipendenti sul corretto utilizzo degli strumenti aziendali, senza indicare nessun lavoratore in particolare.

Se l’avvertimento non basta, e sempre che la policy aziendale lo preveda, potrai accedere a quell’account. Dovrai comunque procedere con cautela: cerca solo ciò che ti serve per il fine dichiarato, non leggere l’intera corrispondenza per vedere cos’altro c’è. Trovato quello che serve — per esempio comunicazioni che esulano dalla finalità di lavoro — prendine il minimo necessario, senza esagerare.

Chi esegue materialmente l’accesso va scelto con cura quanto il resto. Se decidi di farlo fare al tuo sistemista, dagli un mandato scritto che indichi cosa cercare e perché — non un incarico generico ad «aprire e vedere cosa c’è». Il sistemista non decide da solo cosa cercare: esegue quello che la policy e il motivo concreto hanno già delimitato, e quel mandato scritto è anche ciò che, in un secondo momento, dimostra che l’accesso è stato mirato e non un’esplorazione.

Se la policy non esiste, l’accesso diretto e generalizzato rischia di configurare reato (art. 616 del codice penale, sulla corrispondenza) e rende comunque la prova inutilizzabile in un eventuale procedimento disciplinare.

Resta una via residuale, ma solo per il ramo del sospetto su un illecito specifico — non per la necessità organizzativa. È il cosiddetto controllo difensivo in senso stretto: la giurisprudenza lo ammette fuori dal perimetro dell’art. 4 dello Statuto dei lavoratori, ma con una soglia più alta, non più bassa — serve un sospetto fondato su un fatto già accaduto, con elementi oggettivi verificabili, non un dubbio generico. La Cassazione (n. 34092/2021 e n. 18168/2023, quest’ultima proprio su un controllo della posta elettronica aziendale) ha invalidato più volte controlli di questo tipo perché il sospetto alla base non era abbastanza solido: non è una scorciatoia comoda, è un terreno che un giudice scruterà da vicino.

Per la necessità organizzativa — per esempio l’account del dipendente dimesso — questa via residuale non vale: senza una policy preesistente non c’è scorciatoia equivalente. Serve il consenso del lavoratore, se ancora raggiungibile, oppure un’altra base giuridica specifica da individuare con un legale prima di agire.

In ogni caso, sia che tu abbia un sospetto su un illecito sia che tu abbia una necessità organizzativa, senza una policy già in vigore la scelta più sensata è far valutare la situazione a un legale prima di muoverti — non dopo aver già raccolto il materiale.

Questa domanda fa parte della guida App e monitoraggio dei lavoratori: ciò che devi sapere, dove il controllo a distanza è trattato per esteso: art. 4 dello Statuto dei lavoratori, accordo sindacale, autorizzazione dell’Ispettorato e adempimenti GDPR.