Controlli difensivi sul lavoratore: il perimetro tracciato dalla Cassazione
La questione in sintesi
La Corte di Cassazione, Sezione Lavoro, con la sentenza n. 18168 del 26 giugno 2023, ha fissato il perimetro entro il quale il datore di lavoro può svolgere controlli difensivi in senso stretto sul dipendente. Dal 2023 al 2025 una serie di pronunce successive ha ripreso, applicato e ampliato quei principi: in materia di agenzie investigative, accessi a banche dati, chat aziendali, rendicontazione di trasferte, attività extralavorative in orario di servizio.
Questo articolo ricostruisce l’albero delle citazioni che si è sviluppato attorno alla pronuncia del 2023, mostrando come le Corti hanno declinato in concreto il requisito del «fondato sospetto», l’onere della prova in capo al datore e i limiti derivanti dalla disciplina in materia di protezione dei dati personali.
La sentenza hub: Cass. n. 18168/2023
La pronuncia, depositata il 26 giugno 2023 dalla Sezione Lavoro, nasce da un licenziamento per giusta causa intimato a un dirigente di un istituto bancario. Le prove poste a fondamento del recesso erano state acquisite mediante controllo della posta elettronica aziendale e attività di pedinamento commissionata a un’agenzia investigativa. Sia il Tribunale sia la Corte d’appello di Milano avevano dichiarato illegittimo il licenziamento, ritenendo inutilizzabili le risultanze investigative per mancata giustificazione del monitoraggio e per violazione della disciplina a tutela della riservatezza.
La Corte di Cassazione ha rigettato il ricorso della società, sviluppando un argomentato ragionamento sull’onere della prova in capo al datore di lavoro e sul bilanciamento tra esigenze aziendali e diritto alla vita privata del lavoratore tutelato dall’art. 8 CEDU.
Pronuncia hub
La Cassazione ha ribadito la distinzione tra controlli a difesa del patrimonio aziendale riguardanti la generalità dei dipendenti, soggetti alla disciplina dell’art. 4 dello Statuto dei Lavoratori novellato, e «controlli difensivi in senso stretto», diretti ad accertare condotte illecite ascrivibili a singoli lavoratori sulla base di concreti indizi. Questi ultimi si collocano al di fuori del perimetro dell’art. 4 ma restano soggetti alla disciplina generale sulla protezione dei dati personali.
I tre pilastri del controllo difensivo legittimo
Dalla sentenza del 2023 emergono tre condizioni cumulative che il datore di lavoro deve rispettare per attivare un controllo difensivo in senso stretto.
| Requisito | Contenuto |
|---|---|
| Fondato sospetto | Indizi materiali e riconoscibili, non espressione di un puro convincimento soggettivo, riguardanti singoli dipendenti identificati o identificabili. |
| Posteriorità temporale | Il controllo deve essere attuato ex post rispetto al sorgere del sospetto: i dati raccolti prima di quel momento restano inutilizzabili. |
| Bilanciamento | Rispetto dei principi di minimizzazione, proporzionalità, pertinenza e non eccedenza derivanti dal Codice Privacy e dal Regolamento UE 2016/679. |
L’albero delle citazioni: come la giurisprudenza successiva ha applicato il principio
Dal 2024 la Sezione Lavoro della Cassazione ha richiamato in più occasioni la sentenza n. 18168/2023, applicandola a fattispecie diverse e confermandone i principi cardine. Di seguito l’albero cronologico delle pronunce discendenti.
Ampliato
La Corte ha distinto la fattispecie dei controlli difensivi classici da quella dei controlli svolti dall’INPS, in qualità di titolare di una banca dati, sugli accessi dei propri dipendenti. In questo caso il controllo non era finalizzato a tutelare interessi aziendali ma la privacy dei soggetti iscritti alla banca dati: la Cassazione ha quindi sottratto tale attività al rigore del requisito del «fondato sospetto» sul singolo dipendente, ampliando l’area dei controlli legittimi a tutela di terzi.
Seguito
L’ordinanza ha ribadito i principi della sentenza hub, applicandoli al licenziamento di un operaio addetto all’utenza sul territorio. Il mandato all’agenzia investigativa era stato conferito a seguito di denuncia specifica: la Corte ha confermato che la nozione di patrimonio aziendale include anche l’immagine esterna e il patrimonio reputazionale dell’azienda.
Seguito
La Corte ha confermato la legittimità del licenziamento di un giuntista che, durante l’orario di servizio con mansioni esterne, si dedicava ad attività personali presso un bar. Il controllo investigativo è stato ritenuto legittimo perché non verteva sull’adempimento della prestazione lavorativa, bensì sull’accertamento di attività fraudolente, in conformità con i principi espressi dalla sentenza hub.
Seguito
La Corte ha esaminato il licenziamento di un dipendente bancario per infedeli dichiarazioni sul chilometraggio di trasferte e per reticenza sul domicilio. Ha confermato la legittimità del controllo investigativo riconoscendone la natura di attività non diretta a verificare l’adempimento della prestazione, ma l’eventuale commissione di illeciti fraudolenti. Ha però ritenuto sproporzionata la sanzione espulsiva rispetto alla tenuità del danno e all’età lavorativa ultradecennale del dipendente.
Ampliato
Il caso riguardava un quadro licenziato per condotte ostruzionistiche emerse da conversazioni in una chat aziendale. La Corte ha confermato la legittimità del licenziamento articolando due rationes decidendi autonome: da un lato la qualificazione della chat aziendale come «strumento di lavoro» ai sensi dell’art. 4, comma 2, St. lav.; dall’altro la legittimità del controllo difensivo successivo al sorgere del fondato sospetto. L’insorgere del sospetto, innescato da una segnalazione interna, legittima l’acquisizione anche di conversazioni anteriori qualora l’illecito sia già consumato.
Le tre direttrici della giurisprudenza discendente
1. L’onere probatorio sul datore è un requisito di legittimità, non una formalità
Le pronunce del 2024 e 2025 insistono sul fatto che il datore di lavoro deve documentare, prima dell’apertura del procedimento disciplinare e del giudizio, le circostanze concrete che hanno generato il sospetto. La mancata prova di tali circostanze conduce all’inutilizzabilità delle informazioni acquisite e quindi, di regola, alla nullità del licenziamento fondato su di esse.
2. L’oggetto del controllo investigativo rimane il fatto illecito, non la prestazione
Sia la pronuncia del 2025 sul lavoratore in attività esterna sia quella in tema di rendicontazione trasferte confermano il solco tracciato dall’art. 3 dello Statuto: l’agenzia investigativa non può sostituirsi al datore nella vigilanza dell’adempimento, ma può accertare atti che configurano illeciti fraudolenti o penalmente rilevanti lesivi del patrimonio aziendale, inclusa l’immagine dell’impresa.
3. La disciplina privacy affianca sempre quella lavoristica
Il controllo difensivo, pur collocandosi all’esterno del perimetro applicativo dell’art. 4 St. lav., resta soggetto ai principi di minimizzazione, proporzionalità, pertinenza, trasparenza e correttezza che governano il trattamento dei dati personali ai sensi del Regolamento UE 2016/679. L’uscita dal perimetro dell’art. 4 non coincide con l’uscita dal perimetro della tutela della riservatezza.
Il principio di diritto consolidato
1. Distinzione tipologica. I controlli difensivi in senso stretto, diretti ad accertare condotte illecite di singoli dipendenti indiziati, si collocano all’esterno del perimetro dell’art. 4 dello Statuto dei Lavoratori; restano invece dentro tale perimetro i controlli generalizzati a difesa del patrimonio aziendale.
2. Fondato sospetto e posteriorità. Il controllo difensivo in senso stretto deve essere mirato e attuato ex post, ossia solo dopo che il datore abbia avuto un fondato sospetto della commissione dell’illecito, sorretto da indizi materiali e riconoscibili.
3. Bilanciamento con la riservatezza. Anche all’esterno del perimetro dell’art. 4, resta applicabile la disciplina generale sulla protezione dei dati personali; il giudice deve verificare che l’indagine sia proporzionata, necessaria e non eccedente rispetto allo scopo legittimo perseguito.
4. Onere probatorio datoriale. Spetta al datore di lavoro allegare e provare le circostanze specifiche, anche temporalmente collocate, che hanno giustificato il controllo. In difetto, i dati acquisiti sono inutilizzabili a fini disciplinari.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: contestare puntualmente l’assenza di allegazione specifica delle circostanze che hanno determinato il controllo. La genericità di segnalazioni interne o il richiamo a «meri sospetti» sono argomenti vincenti, come insegnano sia la sentenza hub sia le ordinanze del 2024-2025. Verificare altresì se siano stati acquisiti dati anteriori al sorgere del sospetto: in tal caso può eccepirsi l’inutilizzabilità radicale.
- Per il difensore del datore di lavoro: costruire ex ante il dossier probatorio sul «fondato sospetto», conservando segnalazioni scritte, date, destinatari, oggetto dell’allerta. Distinguere chiaramente nel procedimento disciplinare la fase di sospetto da quella di raccolta delle prove, valorizzando la posteriorità temporale. Dopo Cass. n. 32283/2025, nei casi di illecito istantaneo già consumato, argomentare la necessità di acquisire dati anteriori come unica modalità di accertamento.
- Per entrambi: valutare sempre il profilo privacy. L’inutilizzabilità probatoria può derivare anche da violazione di principi come minimizzazione, proporzionalità e informazione preventiva, a prescindere dalla correttezza del procedimento disciplinare. Verificare la presenza di una valutazione d’impatto e di una policy aziendale adeguata in tema di controlli tecnologici, che può costituire elemento decisivo per sostenere o contestare la legittimità dell’indagine.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.