È qui che le due decisioni prendono strade diverse.Per il Tribunale di Pisa, la casella email aziendale è uno strumento utilizzato dal lavoratore per svolgere la propria attività e rientra quindi nell’art. 4, comma 2, dello Statuto dei lavoratori.Il Garante adotta invece una lettura più restrittiva: i sistemi che raccolgono, conservano ed elaborano i dati derivanti dall’uso della posta elettronica non sono automaticamente indispensabili per rendere la prestazione lavorativa. Se consentono un controllo a distanza, possono quindi ricadere nelle garanzie del comma 1 dell’art. 4, con la necessità dell’accordo sindacale o dell’autorizzazione dell’Ispettorato del lavoro.La differenza non è teorica: da questa qualificazione può dipendere la liceità stessa del trattamento.Il secondo nodo: quando può iniziare un controllo difensivo?

Il Garante ha ritenuto problematico anche il fatto che parte dei dati utilizzati fosse stata raccolta prima dell’insorgere del sospetto che aveva dato origine all’indagine. Secondo la giurisprudenza richiamata nel provvedimento, il controllo difensivo in senso stretto deve riguardare dati acquisiti successivamente alla nascita del fondato sospetto. Il Tribunale di Pisa ha però distinto due momenti: da una parte la conservazione generalizzata delle email, dall’altra la successiva ricerca mirata effettuata quando il sospetto era già emerso. Su questa base ha ritenuto utilizzabile il controllo.È probabilmente il punto più delicato dell’intera vicenda: quando un dato già esistente viene cercato dopo l’insorgere del sospetto, deve considerarsi acquisito prima o dopo il sospetto? Le due decisioni danno, di fatto, risposte differenti.Dove giudice e Garante concordano: l’informativa

Su un punto, però, il contrasto si riduce notevolmente. Entrambi ritengono insufficiente una policy aziendale generica.Il Tribunale ha considerato utilizzabili soltanto le comunicazioni successive all’accettazione di una policy informatica più dettagliata, escludendo quelle precedenti perché le informative fornite alla lavoratrice non spiegavano in modo adeguato modalità, frequenza e limiti dei controlli.Il Garante arriva a una conclusione analoga sul piano privacy, contestando la mancanza di informazioni sufficientemente chiare sulle finalità e sulle modalità di trattamento della posta elettronica. Per aziende e DPO è forse questa la lezione più concreta del caso: una policy generica sull’utilizzo della posta elettronica non è sufficiente. Il lavoratore deve sapere se e in quali circostanze possono essere effettuati controlli, quali dati vengono raccolti, per quanto tempo vengono conservati e per quali finalità possono essere utilizzati.Il vero problema è il doppio binario

Il caso Piaggio mostra in modo molto chiaro un problema più generale. La stessa condotta può essere valutata sotto profili diversi: il giudice del lavoro verifica la legittimità del controllo e l’utilizzabilità delle prove nel procedimento disciplinare; il Garante valuta invece la liceità del trattamento dei dati personali. Le due valutazioni non devono necessariamente coincidere. Ed è così che, nel giro di pochi giorni, gli stessi messaggi di posta elettronica hanno prodotto due risultati apparentemente contraddittori: controllo ritenuto legittimo dal giudice del lavoro e trattamento ritenuto illecito dal Garante Privacy.La lezione per le aziende

Il caso dimostra che non basta chiedersi se un controllo sui dipendenti sia giustificato da un fondato sospetto. Occorre verificare anche come i dati sono stati raccolti e conservati, quali sistemi consentono il controllo, per quanto tempo vengono mantenute email e log e, soprattutto, quali informazioni sono state fornite preventivamente ai lavoratori. Sul controllo della posta elettronica aziendale, quindi, diritto del lavoro e protezione dei dati devono essere affrontati insieme. Una misura che regge davanti al giudice del lavoro potrebbe infatti non superare il controllo dell’Autorità privacy. Ed è proprio questo il vero insegnamento del caso Piaggio.