Controlli difensivi sul lavoratore: l’onere probatorio del fondato sospetto a carico del datore di lavoro
La questione in sintesi
Il tema. Quando il datore di lavoro attiva un controllo “difensivo” per accertare condotte illecite del dipendente, quali sono i limiti? Chi deve provare cosa? E fino a quale momento i dati raccolti sono utilizzabili nel procedimento disciplinare?
Il precedente-chiave. La Cassazione n. 18168 del 26 giugno 2023 ha posto un paletto fondamentale: spetta al datore di lavoro l’onere di allegare e provare le specifiche circostanze che hanno fatto sorgere il “fondato sospetto” e, conseguentemente, hanno legittimato il controllo tecnologico ex post.
L’evoluzione. Nei due anni successivi la Cassazione ha ripetutamente richiamato quel principio, confermandolo, precisandolo e — in un caso — distinguendone i confini applicativi.
Il precedente-chiave: Cassazione n. 18168/2023
La Sezione Lavoro della Corte di Cassazione, con la sentenza n. 18168 del 26 giugno 2023, si è occupata del caso di un dirigente bancario licenziato per giusta causa sulla base di risultanze emerse dal controllo della posta elettronica aziendale e da un’attività di pedinamento. La Corte territoriale aveva dichiarato illegittimo il recesso perché la società non aveva allegato né provato i motivi che avevano condotto all’indagine, evidenziando un monitoraggio “invasivo, massiccio e indiscriminato” privo di preventiva informazione al dipendente.
Precedente-chiave
La Corte ha confermato la pronuncia d’appello e, richiamando i principi di Cass. n. 34092/2021 (successiva conforme a un arresto del 2021), ha scolpito l’onere probatorio a carico del datore di lavoro: non può più bastare un generico richiamo a “circostanziate segnalazioni” o a un sospetto non ancorato a elementi materiali e riconoscibili.
La Corte ha inoltre precisato che, una volta consegnati al contraddittorio gli elementi posti a base dell’iniziativa di controllo, spetta al giudice valutare se si tratti di indizi materiali e riconoscibili, e non di un puro convincimento soggettivo, idonei a concretare il fondato sospetto della commissione di comportamenti illeciti.
La mappa del trattamento successivo
Nei due anni e mezzo successivi, il principio dell’onere probatorio a carico del datore di lavoro è stato ripetutamente ripreso dalla Sezione Lavoro. Di seguito la cronologia del trattamento ricevuto dal precedente-chiave, secondo le pronunce reperite nella banca dati BuddaLaw.
Distinto
La Corte ha richiamato espressamente Cass. n. 18168/2023 ma ne ha distinto l’ambito applicativo. Si trattava del caso di un dipendente INPS che aveva effettuato migliaia di accessi non autorizzati alla banca dati istituzionale. La Corte ha chiarito che i controlli automatici effettuati dall’Istituto — volti a tutelare la privacy dei terzi iscritti alla banca dati, e non a monitorare l’attività lavorativa — non rientrano nella categoria dei “controlli difensivi in senso stretto” e, dunque, non richiedono la preventiva informazione al dipendente prevista dall’art. 4, comma 3, Statuto dei L___
Seguito
In materia di controlli difensivi operati tramite agenzia investigativa a carico di un operaio di una società di pubblici servizi, la Corte ha seguito i principi di Cass. n. 18168/2023, ribadendo la centralità del “fondato sospetto” e la necessità che il datore di lavoro alleghi e provi le circostanze specifiche che hanno attivato l’indagine. La legittimità del controllo tramite agenzia investigativa, peraltro, è stata confermata in quanto rivolta ad accertare atti illeciti non riconducibili al mero inadempimento dell’obbligazione contrattuale.
Applicato
La Corte ha ritenuto legittimo il licenziamento di un tecnico che, durante l’orario di servizio, si dedicava ad attività personali presso un bar. Nell’applicare i principi di Cass. n. 18168/2023, la Corte ha precisato il profilo privacy: il trattamento dei dati acquisiti tramite agenzia investigativa è legittimo ove rispetti i criteri di minimizzazione, proporzionalità, pertinenza e non eccedenza rispetto a uno scopo legittimo, oltre a quelli di trasparenza e correttezza.
Seguito
In una vicenda concernente dichiarazioni infedeli sul chilometraggio delle trasferte di un funzionario bancario, accertate tramite agenzia investigativa, la Corte ha seguito e applicato i principi di Cass. n. 18168/2023. Al contempo ha ricordato che il controllo tramite investigatori privati è legittimo quando è finalizzato a verificare comportamenti che possano configurare ipotesi penalmente rilevanti o integrare attività fraudolente, fonti di danno per il datore medesimo, purché non abbia ad oggetto l’adempimento della prestazione lavorativa.
Ampliato
Il caso riguardava un quadro direttivo licenziato sulla base di conversazioni estratte dalla chat aziendale. La Corte ha confermato il licenziamento richiamando la doppia struttura motivazionale della pronuncia d’appello: da un lato, la chat aziendale qualificata come “strumento di lavoro” ex art. 4, comma 2, Statuto dei L___; dall’altro, il ricorso ai “controlli difensivi” in presenza di fondato sospetto. La pronuncia amplia l’orizzonte applicativo di Cass. n. 18168/2023 integrandolo con il tema della “doppia ratio decidendi” e chiarendo la disciplina specifica per gli strumenti di lavoro.
La sintesi del trattamento ricevuto
| Sentenza | Data deposito | Trattamento | Profilo confermato/precisato |
|---|---|---|---|
| Cass. n. 7272/2024 | 19/03/2024 | Distinto | Esclusi dai “controlli difensivi” gli accertamenti a tutela di terzi iscritti a una banca dati |
| Cass. n. 30079/2024 | 21/11/2024 | Seguito | Ribadita centralità del “fondato sospetto” e onere probatorio datoriale |
| Cass. n. 9268/2025 | 08/04/2025 | Applicato | Applicazione al caso di agenzia investigativa e principi privacy di minimizzazione/proporzionalità |
| Cass. n. 14762/2025 | 01/06/2025 | Seguito | Controllo legittimo se rivolto ad atti illeciti non riconducibili al mero inadempimento |
| Cass. n. 32283/2025 | 11/12/2025 | Ampliato | Integrazione con disciplina degli “strumenti di lavoro” ex art. 4, comma 2, St. lav. |
Le coordinate del fondato sospetto
La lettura sinottica delle pronunce consente di fissare alcune coordinate operative sul “fondato sospetto”, che è la vera chiave di volta della legittimità dei controlli difensivi in senso stretto. In primo luogo, il sospetto deve essere fondato, nel senso di essere supportato da indizi materiali e riconoscibili e non da un mero convincimento soggettivo del datore di lavoro (Cass. n. 18168/2023 e Cass. n. 30079/2024). In secondo luogo, il controllo deve essere mirato a un illecito specifico ascrivibile a singoli dipendenti, non essere invece uno strumento generalizzato di monitoraggio dell’attività lavorativa (Cass. n. 30079/2024 e Cass. n. 32283/2025). In terzo luogo, e questo è il profilo temporale più delicato, il controllo deve essere attuato ex post, ossia dopo l’insorgere del fondato sospetto, e riguardare dati acquisiti successivamente a quel momento (Cass. n. 32283/2025). Infine, anche quando il controllo difensivo è legittimo, resta fermo il bilanciamento con la tutela della dignità e riservatezza del lavoratore, che passa attraverso il rispetto dei principi di minimizzazione, pertinenza, non eccedenza, trasparenza e correttezza nel trattamento dei dati personali (Cass. n. 9268/2025).
Il profilo distintivo di Cass. n. 7272/2024
La pronuncia del marzo 2024 introduce una distinzione rilevante: non tutti i controlli effettuati dal datore di lavoro sugli accessi a una banca dati aziendale ricadono nella categoria dei “controlli difensivi in senso stretto”. Quando il titolare della banca dati esercita i dovuti controlli preventivi sugli accessi per tutelare la riservatezza di terzi (gli iscritti), non per verificare l’attività del dipendente, l’attività fuoriesce dallo schema dell’art. 4 St. lav. e non richiede la preventiva informazione sulle modalità del controllo. È una precisazione importante per le strutture pubbliche e private che gestiscono archivi contenenti dati personali di terzi.
Il principio consolidato
1. Onere probatorio. Il datore di lavoro che invoca un controllo difensivo “in senso stretto” deve allegare e provare le circostanze specifiche, temporalmente collocate, che hanno concretato il “fondato sospetto”.
2. Sospetto qualificato. Il fondato sospetto deve poggiare su indizi materiali e riconoscibili, non su un puro convincimento soggettivo, valutabili in concreto dal giudice.
3. Ex post. I dati utilizzabili sono solo quelli acquisiti dopo l’insorgere del sospetto: non è possibile “legalizzare retroattivamente” un controllo originariamente non giustificato.
4. Bilanciamento. Anche in presenza di fondato sospetto, occorre assicurare un bilanciamento tra le esigenze di protezione del patrimonio aziendale e le tutele della dignità e riservatezza del lavoratore, nel rispetto del Codice della privacy e del Regolamento UE 2016/679.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore. In sede di impugnazione del licenziamento, chiedere sin dal primo atto difensivo la produzione integrale degli atti istruttori del procedimento disciplinare (incarico all’agenzia investigativa, segnalazioni interne che avrebbero generato il sospetto, documentazione sulla data di insorgenza). Contestare in modo specifico l’assenza di indizi materiali e riconoscibili precedenti al controllo, articolando la domanda di inutilizzabilità dei dati acquisiti prima dell’insorgere del “fondato sospetto”.
- Per il difensore del datore di lavoro. Documentare in modo accurato il momento di insorgenza del sospetto e le fonti che lo hanno alimentato, predisponendo già in fase extragiudiziale una traccia scritta (segnalazioni, report, log di sistema) temporalmente collocata. Allegare una valutazione di impatto sul trattamento dei dati personali ex GDPR e verificare che la policy aziendale sia stata adeguatamente portata a conoscenza del dipendente.
- Per entrambi. Considerare con attenzione la possibile qualificazione della chat aziendale o della mail come “strumento di lavoro” ex art. 4, comma 2, St. lav., che apre un regime distinto dai controlli difensivi in senso stretto: in questo caso la questione probatoria si sposta sull’adeguatezza dell’informazione resa al lavoratore e sul rispetto della disciplina privacy (Cass. n. 32283/2025).
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.