Controlli difensivi sul lavoratore: l’evoluzione del principio del fondato sospetto (2021-2025)
La questione in sintesi
Tema: Quando il datore di lavoro può effettuare controlli tecnologici sui dipendenti per accertare illeciti, e quali limiti deve rispettare?
Principio chiave: i cosiddetti «controlli difensivi in senso stretto» sono ammessi solo se sorretti da un fondato sospetto di illeciti del singolo lavoratore e se riguardano dati raccolti ex post, ossia successivamente all’insorgere del sospetto.
Cosa è cambiato dal 2021 al 2025: la Cassazione ha progressivamente specificato gli oneri probatori del datore, il bilanciamento con la privacy e i confini esterni rispetto alle indagini della polizia giudiziaria.
Il problema: lavoratore sotto controllo, fino a che punto?
L’avvento delle tecnologie digitali ha trasformato il luogo di lavoro in un ambiente in cui ogni clic, ogni e-mail, ogni passaggio del badge può lasciare una traccia. Il datore di lavoro che sospetti illeciti del proprio dipendente è tentato di scandagliare quelle tracce per costruire un addebito disciplinare. Ma quanto può spingersi senza calpestare l’articolo 4 dello Statuto dei Lavoratori e la normativa europea sulla protezione dei dati personali?
La risposta è stata costruita dalla Corte di Cassazione attraverso una linea giurisprudenziale che si è progressivamente raffinata, partendo da un nucleo concettuale del 2021 e arrivando alle pronunce di fine 2025. Ricostruiamone l’albero genealogico, tappa dopo tappa.
L’albero genealogico del principio: dalla sentenza capostipite alle applicazioni recenti
Sentenza-guida
Con questa pronuncia (gemella delle nn. 25731 e 25732 del 2021), la Cassazione affronta in chiave nomofilattica la sopravvivenza dei controlli difensivi dopo la riforma dell’art. 4 St. lav. operata dal D.Lgs. n. 151/2015. La Corte distingue due categorie: i controlli difensivi in senso lato, diretti a tutelare il patrimonio aziendale e che riguardano la generalità dei dipendenti, sottoposti integralmente all’art. 4 novellato; e i controlli difensivi in senso stretto, mirati a singoli dipendenti sospettati di illeciti specifici, che si collocano fuori dal perimetro dell’art. 4.
La Corte chiarisce che non basta invocare la natura difensiva del controllo a posteriori: occorre che la raccolta dei dati abbia inizio solo dopo l’insorgenza del sospetto, perché altrimenti l’area del controllo lecito si estenderebbe a dismisura, vanificando le garanzie dell’art. 4.
Ampliato
A due anni dalla pronuncia capostipite, la Cassazione torna sul tema per precisare un profilo cruciale: chi deve provare cosa? Il caso riguardava un dirigente bancario licenziato sulla base di un’attività investigativa massiva che aveva coinvolto la posta aziendale e un pedinamento. Il datore non aveva spiegato in giudizio quali specifiche segnalazioni avessero generato il sospetto.
La sentenza enuncia inoltre i sei criteri di proporzionalità mutuati dalla giurisprudenza CEDU (caso Bärbulescu): preventiva informazione, grado di invasività, giustificazione legittima, valutazione di alternative meno intrusive, uso pertinente dei risultati, garanzie procedurali. La conseguenza dell’inadempimento dell’onere probatorio datoriale è la radicale inutilizzabilità dei dati raccolti, ai sensi della disciplina privacy.
Seguito
L’ordinanza ribadisce e consolida l’impianto delle sentenze del 2021 e del 2023, applicandolo a un caso di indagini investigative sui comportamenti del lavoratore. La Corte conferma che il datore deve allegare e provare gli indizi materiali e riconoscibili che hanno fondato il sospetto, perché spetta al giudice valutare se essi fossero idonei a concretare un sospetto fondato e non un mero convincimento soggettivo.
Applicato
Il caso riguardava un quadro licenziato sulla base di chat aziendali (A___ C___) che documentavano pressioni ricevute per modificare il giudizio su un candidato. La Cassazione conferma due rationes alternative: la chat aziendale costituisce “strumento di lavoro” ex art. 4, comma 2, St. lav. (e dunque le informazioni sono utilizzabili a fini disciplinari purché sia data adeguata informazione al lavoratore); in via subordinata, le condizioni dei controlli difensivi in senso stretto erano comunque integrate.
Importante notare che la Cassazione, in materia di illecito istantaneo, riconosce che la raccolta di informazioni utili può necessariamente riguardare dati già presenti sul server al momento del sospetto, ma solo perché diversamente l’indagine sarebbe impossibile.
Distinguished
Pronuncia importante sui confini esterni del principio: il caso riguardava una dipendente INPS licenziata per false attestazioni di presenza, accertate tramite videoriprese effettuate dalla Guardia di Finanza nell’ambito di un’indagine penale. La Corte chiarisce che l’attività di accertamento condotta da autorità esterne non rientra nel perimetro dei controlli datoriali disciplinati dall’art. 4 St. lav.
Conseguenza pratica: nella videosorveglianza per fini di giustizia, il procedimento disciplinare accelerato ex art. 55-quater D.Lgs. 165/2001 non si applica, e l’utilizzo delle prove atipiche (videoriprese della PG) è pienamente ammesso nel processo del lavoro.
Il quadro consolidato: i requisiti dei controlli difensivi in senso stretto
Mettendo in fila il percorso giurisprudenziale, oggi un controllo tecnologico difensivo in senso stretto è legittimo solo se risponde a un test cumulativo articolato. Vediamolo schematicamente.
| Requisito | Contenuto | Fonte giurisprudenziale verificata |
|---|---|---|
| Mirato | Diretto ad accertare condotte illecite ascrivibili a singoli dipendenti, non a sorvegliare la generalità dei lavoratori | Cass. n. 34092/2021 |
| Ex post | Iniziato dopo l’insorgenza del fondato sospetto; non utilizzabili dati già raccolti in precedenza in violazione dell’art. 4 | Cass. n. 34092/2021; Cass. n. 32283/2025 |
| Fondato sospetto | Indizi materiali e riconoscibili, non puro convincimento soggettivo; onere di allegazione e prova a carico del datore | Cass. n. 18168/2023; Cass. n. 30079/2024 |
| Bilanciamento | Proporzionalità con la dignità e riservatezza del lavoratore (art. 8 CEDU; criteri Bärbulescu) | Cass. n. 18168/2023 |
| Conformità privacy | Rispetto del Codice Privacy e del GDPR: minimizzazione, finalità, informativa preventiva | Cass. n. 18168/2023 |
Le frontiere mobili: distinzioni e zone grigie
Strumenti di lavoro vs. apparecchiature di controllo
La pronuncia n. 32283/2025 ricorda che le chat aziendali e gli strumenti utilizzati per rendere la prestazione lavorativa (computer, e-mail aziendale, software gestionali) ricadono nel comma 2 dell’art. 4 St. lav. e non richiedono l’accordo sindacale; basta l’adeguata informazione al lavoratore e il rispetto della privacy. Questa è una via “ordinaria” per utilizzare le informazioni raccolte, alternativa rispetto ai controlli difensivi in senso stretto.
Indagini di polizia giudiziaria
La Cass. n. 32835/2025 chiarisce un punto delicato: quando le videoriprese sono effettuate dalla polizia giudiziaria nell’ambito di indagini penali, all’insaputa del datore di lavoro, le regole sui controlli datoriali non si applicano. Il datore può legittimamente utilizzare quegli atti come prove atipiche nel procedimento disciplinare, una volta che ne sia venuto a conoscenza.
Illecito istantaneo e dati pregressi
La Cass. n. 32283/2025 introduce un’importante apertura: in caso di illecito già consumato al momento dell’insorgere del sospetto, la raccolta di informazioni utili può inevitabilmente riguardare dati già presenti sul server, perché altrimenti l’indagine sarebbe materialmente impossibile. Resta tuttavia ferma la regola generale dell’inutilizzabilità dei dati raccolti in precedenza in violazione dell’art. 4.
Il principio di diritto consolidato
1. Cornice generale. «Sono consentiti i controlli anche tecnologici posti in essere dal datore di lavoro finalizzati alla tutela di beni estranei al rapporto di lavoro o ad evitare comportamenti illeciti, in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto» (principio enunciato nella linea Cass. 34092/2021 e ribadito sino al 2025).
2. Onere probatorio. Il datore di lavoro deve allegare e provare in giudizio gli indizi materiali e specifici che hanno fondato il sospetto, nonché la loro collocazione temporale rispetto alla raccolta dei dati (Cass. 18168/2023).
3. Inutilizzabilità. I dati raccolti in violazione dei requisiti sopra descritti sono radicalmente inutilizzabili tanto in sede disciplinare quanto in sede giudiziale, ai sensi della disciplina privacy.
Implicazioni pratiche per la gestione del rapporto di lavoro
Il consolidamento della giurisprudenza impone alle aziende un cambio di mentalità: i controlli tecnologici massivi e indiscriminati sono fuori legge, anche quando finalizzati ex post a contestazioni disciplinari. La compliance richiede policy interne chiare, informativa preventiva ai lavoratori, valutazioni di impatto privacy e, soprattutto, una documentazione rigorosa delle segnalazioni o degli indizi che giustificano l’avvio del controllo.
Per i lavoratori, la giurisprudenza offre una protezione robusta: anche in presenza di condotte effettivamente illecite, il licenziamento può essere dichiarato illegittimo se la prova è stata acquisita con modalità che violano l’art. 4 St. lav. e i principi di proporzionalità e bilanciamento.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: chiedere fin dal primo grado che il datore alleghi e produca in giudizio gli specifici elementi (segnalazioni, anomalie, indizi) che hanno generato il sospetto e la loro collocazione temporale precisa. L’omessa o tardiva allegazione comporta inutilizzabilità delle prove e illegittimità del licenziamento, anche a fronte di condotte effettivamente censurabili.
- Per il difensore del datore di lavoro: impostare in azienda un protocollo documentale per i controlli difensivi: segnalazione scritta che attivi il sospetto, valutazione d’impatto privacy, scelta della modalità meno invasiva, conservazione tracciabile del momento di avvio del controllo. La gestione “improvvisata” rischia di rendere inutilizzabili anche prove schiaccianti.
- Per entrambi: distinguere con precisione i tre regimi applicabili (strumenti di lavoro ex art. 4, c. 2; controlli difensivi in senso lato sottoposti all’art. 4; controlli difensivi in senso stretto fuori perimetro). La qualificazione dello strumento utilizzato è spesso il punto decisivo della causa, prima ancora del merito disciplinare.
- Per entrambi: verificare se l’acquisizione delle prove sia avvenuta nell’ambito di indagini di polizia giudiziaria. La Cass. n. 32835/2025 sposta in modo significativo il baricentro processuale: in quel caso, le prove atipiche sono utilizzabili senza i vincoli dell’art. 4 St. lav.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.