Accessi abusivi alle schede clienti: la Cassazione consolida la giusta causa di licenziamento
La questione in sintesi
La consultazione non giustificata delle schede clienti effettuata dal dipendente bancario con le proprie credenziali di servizio integra giusta causa di licenziamento anche in assenza di un danno concreto per il datore di lavoro o di un vantaggio per il lavoratore. La Cassazione, con una serie di pronunce ravvicinate (Cass. n. 7272/2024, n. 4945/2025, n. 20707/2025, n. 23186/2025), ha consolidato l’orientamento secondo cui l’accesso abusivo, in quanto violazione autonoma del dovere di riservatezza e dell’obbligo di fedeltà, è sanzionabile a prescindere dalla divulgazione o dallo sfruttamento dei dati. L’analisi che segue ricostruisce il percorso giurisprudenziale secondo una logica di Citator, evidenziando i precedenti richiamati e l’ampiezza del principio applicato.
Il tema e la sua rilevanza
La banca dati che raccoglie le informazioni sui correntisti — saldi, storico delle operazioni, profilature di rischio, merito creditizio — è uno dei beni più sensibili custoditi dall’istituto di credito. L’ordinamento ne riconosce la particolare rilevanza attraverso una rete di obblighi che si intersecano: il dovere di fedeltà del lavoratore (art. 2105 c.c.), il segreto bancario, la disciplina privacy (D.Lgs. n. 196/2003 e Regolamento UE 2016/679), le prescrizioni del Garante in tema di circolazione delle informazioni bancarie (Provvedimento n. 192/2011) e le policy interne diffuse in esecuzione di tali fonti. In questo sistema, la credenziale individuale attribuita al dipendente non è una chiave di libero accesso, ma un titolo limitato: la sua attivazione è consentita soltanto in presenza di una precisa ragione di servizio.
La giurisprudenza di legittimità ha dovuto confrontarsi più volte con la tesi difensiva ricorrente secondo cui, in assenza di un danno patrimoniale o di un vantaggio extra-istituzionale del dipendente, l’accesso abusivo non potrebbe fondare la sanzione espulsiva, ma al massimo giustificare una sanzione conservativa. Le pronunce più recenti respingono nettamente questa impostazione, saldando un orientamento consolidato sul fondamento dell’art. 2119 c.c. e della centralità del vincolo fiduciario.
La linea dei precedenti: una lettura in chiave Citator
Le quattro pronunce qui analizzate si collocano lungo un asse cronologico compatto (marzo 2024 – agosto 2025) e costruiscono, in modo convergente, la regola oggi applicabile. La prima fissa il perimetro del controllo datoriale quando la banca dati contiene informazioni di terzi; le seconde enunciano e applicano il principio dell’irrilevanza del danno; l’ultima consolida e proietta il principio oltre la sanzione espulsiva, fino alle sanzioni conservative.
Distingue
Il caso riguardava un dipendente dell’INPS licenziato per accessi non autorizzati alla banca dati dell’Istituto. La questione dirimente era la qualificazione dei controlli automatici effettuati dall’ente sugli accessi del personale: erano o non erano «controlli difensivi in senso stretto» sottratti al perimetro dell’art. 4 dello Statuto dei Lavoratori? La Cassazione ha tracciato un distinguo destinato a incidere anche sulle fattispecie bancarie.
La Corte ha osservato che i controlli effettuati sulla tracciatura degli accessi, quando sono finalizzati alla tutela di terzi (gli interessati i cui dati sono contenuti nella banca dati), non ricadono nel paradigma dei controlli difensivi in senso stretto. Non vi è bilanciamento fra «esigenze di protezione di interessi e beni aziendali» e «imprescindibili tutele della dignità e della riservatezza del lavoratore», perché i dati trattati non attengono alla sfera personale del dipendente. La tracciatura di chi accede, quando e a quale posizione è parte strutturale della gestione diligente del patrimonio informativo, e non richiede né il fondato sospetto anteriore né la raccolta ex post propri dei controlli difensivi tecnologici.
Applica & amplia
Il caso riguardava un area manager Unicredit licenziato per settanta accessi non giustificati alle schede clienti, effettuati tra il 2018 e il 2020. La Corte d’Appello di Roma, pur ritenendo illecita la condotta, aveva escluso la giusta causa valorizzando l’assenza di allegazione di un danno concreto da parte della banca. La Cassazione ha cassato con rinvio.
La Cassazione ha ancorato la decisione a un trittico di precedenti già noti (Cass. n. 23318/2024; Cass. n. 8816/2017; Cass. n. 19674/2014) e ha precisato che «la modesta entità del fatto addebitato non va riferita alla tenuità del danno patrimoniale subito dal datore di lavoro, dovendosi valutare la condotta del prestatore di lavoro sotto il profilo del valore sintomatico che può assumere rispetto ai suoi futuri comportamenti, nonché all’idoneità a porre in dubbio la futura correttezza dell’adempimento e ad incidere sull’elemento essenziale della fiducia, sotteso al rapporto di lavoro». Il giudice del rinvio è stato investito della rivalutazione delle condotte alla stregua del parametro di gravità ricavabile dall’art. 2119 c.c.
Amplia
Il caso confermava la legittimità di una sanzione conservativa — dieci giorni di sospensione dal lavoro e dalla retribuzione — irrogata a un quadro direttivo Unicredit per, tra l’altro, l’accesso ingiustificato alle schede clienti avvenuto il 24 settembre 2019. L’ordinanza è significativa perché proietta il principio oltre il perimetro del licenziamento, chiarendo che l’illiceità dell’accesso non richiede né il tornaconto personale né l’uso di credenziali altrui.
La fonte normativa interna evocata è l’Ordine di Servizio n. 361/2016 «Regolamento per l’utilizzo degli strumenti elettronici, della Posta Elettronica e della Rete Internet nel rapporto di lavoro», che prescrive al dipendente di bilanciare adeguatamente i diritti e gli interessi della banca, dei suoi clienti e degli stessi dipendenti. Il principio enunciato è duplice: (i) la titolarità delle credenziali non legittima l’accesso per finalità estranee al servizio; (ii) non rileva la prova del tornaconto, perché la condotta vietata consiste nella consultazione priva di ragione di servizio, a prescindere dagli sviluppi.
Conferma orientamento consolidato
Nel caso di specie, una consulente private imprese di Unicredit era stata licenziata per giusta causa a seguito di plurimi accessi non autorizzati alle schede di clienti, colleghi e familiari, emersi a seguito di segnalazioni di whistleblowing. La Corte di Appello di Bari e, in ultima istanza, la Cassazione hanno confermato la legittimità del recesso, richiamando espressamente la linea giurisprudenziale consolidata.
La pronuncia chiarisce tre profili di grande importanza pratica. Il primo attiene alla ripartizione degli oneri probatori: «il datore di lavoro deve provare il fatto materiale e l’elemento psicologico, mentre l’esistenza di una esimente deve essere provata dal lavoratore». Il secondo riguarda l’irrilevanza del consenso del cliente delegato: la delega sul conto corrente non abilita il dipendente ad accedere al profilo informatico del cliente per scopi ulteriori. Il terzo è l’irrilevanza della successiva utilizzazione dei dati: «la sola consultazione non autorizzata integra gli estremi della condotta illecita profilandosi l’elemento del trattamento abusivo».
La ragione del rigore: il bene giuridico tutelato
La lettura sequenziale delle quattro pronunce rivela la ragione strutturale del rigore applicato. Il bene giuridico tutelato non è — o non è principalmente — il patrimonio della banca, ma la riservatezza dei terzi (clienti e colleghi) i cui dati sono affidati all’istituto. Quando il dipendente accede abusivamente alla scheda cliente, la lesione si consuma immediatamente, a prescindere da ciò che il dipendente farà con quelle informazioni: la fiducia riposta dal cliente nella riservatezza del proprio rapporto bancario risulta già compromessa. Da qui l’irrilevanza del danno patrimoniale al datore e l’irrilevanza del tornaconto personale del lavoratore: la condotta esaurisce il suo disvalore nell’ingresso non giustificato.
La stessa logica spiega perché la ricostruzione privacy operata da Cass. n. 7272/2024 non sia un’eccezione, ma un rafforzamento del sistema: se la banca dati contiene informazioni di terzi, la tracciatura sistematica degli accessi non è un controllo invasivo della sfera del dipendente, bensì un presidio dovuto a tutela degli interessati. Il dipendente lo sa, o deve saperlo, grazie alla policy aziendale che gli è stata preventivamente comunicata. In questa cornice, la difesa imperniata sul consenso informale del familiare o sul mero esercizio di una delega risulta, come hanno osservato le Corti, priva di fondamento.
Il principio di diritto consolidato
1. Regola cardine. È legittimo il licenziamento per giusta causa del dipendente bancario che, per ragioni estranee al servizio, effettui accessi non autorizzati alle schede clienti o ad altra banca dati aziendale contenente informazioni riservate di terzi, a prescindere dalla reiterazione, dal danno patrimoniale al datore, dal tornaconto personale e dalla successiva utilizzazione dei dati (Cass. nn. 23186/2025, 4945/2025, 34717/2021, 28928/2018, 11206/2015).
2. Onere della prova. Il datore di lavoro deve provare il fatto materiale dell’accesso e l’elemento psicologico; spetta al lavoratore provare l’esistenza di una specifica esimente o di una concreta ragione di servizio giustificativa dell’interrogazione effettuata (Cass. n. 23186/2025; nello stesso senso Cass. n. 11206/2015).
3. Tracciatura degli accessi e controlli difensivi. La tracciatura sistematica degli accessi alle banche dati contenenti informazioni di terzi non integra un controllo difensivo in senso stretto, non attenendo alla sfera personale del dipendente; essa si colloca al di fuori del perimetro dell’art. 4 St. Lav. e non richiede il fondato sospetto anteriore né la raccolta ex post dei dati (Cass. n. 7272/2024).
4. Estensione alle sanzioni conservative. Il principio si applica anche alle sanzioni disciplinari conservative: la mera titolarità delle credenziali di accesso non esclude la rilevanza disciplinare della consultazione effettuata per ragioni estranee al servizio, né è richiesta la prova del tornaconto personale o dell’uso di credenziali altrui (Cass. n. 20707/2025).
I contrappesi: ciò che il giudice deve comunque valutare
L’affermazione del principio non determina un’automatica traslazione del licenziamento come sanzione esclusiva per ogni accesso abusivo. Le stesse pronunce inseriscono due contrappesi di cui il difensore non può trascurare il peso nella strategia processuale. Il primo è il giudizio di proporzionalità in concreto: Cass. n. 4945/2025 precisa che l’assenza di conseguenze pregiudizievoli non esclude la rilevanza disciplinare, ma «può piuttosto concorrere, unitamente ad ogni altro fattore oggettivo e soggettivo palesato dal caso concreto, nella complessa valutazione giudiziale». Il numero degli accessi, la natura dei dati consultati, la posizione rivestita dal dipendente, i precedenti disciplinari e l’anzianità di servizio concorrono alla ponderazione finale, che resta di esclusiva competenza del giudice di merito e è incensurabile in legittimità se priva di vizi logici o giuridici.
Il secondo contrappeso attiene alla tempestività della contestazione: Cass. n. 23186/2025 ribadisce che il dies a quo decorre dalla piena conoscenza dei fatti da parte del datore di lavoro, tenuto conto della complessità degli accertamenti e dell’organizzazione aziendale. Ma l’eventuale ritardo è vizio procedimentale solo ove abbia determinato in concreto un ostacolo alla difesa del lavoratore o l’acquiescenza del datore. La sola distanza temporale, se giustificata da plausibili ragioni istruttorie, non è di per sé dirimente.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: spostare il baricentro della difesa dal piano dell’assenza di danno (oggi ampiamente depotenziato) al piano della ragione di servizio. Per ogni singolo accesso contestato, ricostruire dettagliatamente la pratica, l’operazione in corso o l’istruttoria che lo giustificava, producendo documentazione idonea. Parallelamente, lavorare sul giudizio di proporzionalità valorizzando assenza di precedenti, anzianità, natura non sensibile dei dati consultati, assenza di reiterazione e isolamento episodico. Vigilare sulla tempestività della contestazione e sull’adeguatezza del perimetro degli addebiti, con eventuali eccezioni di tardività rispetto alla piena conoscenza dei fatti.
- Per il difensore del datore di lavoro: costruire la contestazione in modo circostanziato, indicando per ciascun accesso la data, l’utenza informatica, la scheda cliente interessata e l’assenza di operazione di servizio contestuale, anche per non esporre la contestazione al rischio di genericità. Produrre le policy interne (ordini di servizio, regolamenti informatici, codici di condotta) e la prova della loro diffusione, per ancorare la condotta a una regola scritta, conoscibile e conosciuta. Allegare e, ove possibile, documentare il dato reputazionale e fiduciario, anche in assenza di danno patrimoniale, per rafforzare il giudizio di proporzionalità.
- Sul piano probatorio: acquisire e conservare i log di sistema con attenzione alla loro genuinità e integrità; quando necessario, disporre consulenza tecnica informatica. Ricordare che i dati di tracciatura degli accessi, finalizzati alla tutela dei terzi interessati, non ricadono nei vincoli dei controlli difensivi in senso stretto: la loro utilizzabilità non dipende dal fondato sospetto anteriore (Cass. n. 7272/2024). La prova dell’adeguatezza dell’informativa al lavoratore sulle modalità di controllo resta peraltro centrale per la piena fruibilità dei dati a fini disciplinari.
- Per entrambi: nei contesti di indagine avviata da whistleblowing interno, misurare fin dall’inizio la solidità dell’istruttoria aziendale. Una ricostruzione lacunosa degli accessi, una contestazione generica o un’istruttoria non documentata apre spazi difensivi importanti; viceversa, un’istruttoria rigorosa con log dettagliati, verbali di audizione e tracciatura procedurale rafforza decisamente la tenuta del recesso.
Uno sguardo prospettico
La compattezza della linea giurisprudenziale appena ricostruita suggerisce che lo spazio difensivo tradizionale — imperniato sull’assenza di danno e sull’uso delle proprie credenziali — si è progressivamente ristretto. La direttrice evolutiva sembra orientarsi verso una maggiore attenzione al piano contrattuale e procedurale: qualità delle policy aziendali, loro effettiva diffusione, chiarezza del perimetro di accesso consentito, rigore della contestazione disciplinare. Su questi terreni, sia la tutela del lavoratore che quella del datore possono ancora giocarsi partite significative, ma con strumenti in parte diversi rispetto al passato. Da notare che l’orientamento richiamato fonda la propria tenuta su precedenti anche risalenti (Cass. n. 11206/2015) ma reiterati nel tempo (Cass. n. 28928/2018, n. 34717/2021), che conferiscono al principio un grado elevato di stabilizzazione: difficile attendersi, allo stato, inversioni di rotta rilevanti.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.