Il fondato sospetto del datore di lavoro: l’eredita’ di Cassazione 18168/2023
La questione in sintesi
Il precedente analizzato: Cassazione, Sezione Lavoro, sentenza n. 18168 del 26 giugno 2023, leading case in materia di controlli difensivi del datore di lavoro e bilanciamento con il diritto alla riservatezza del lavoratore.
Il principio di partenza: i controlli difensivi in senso stretto si collocano fuori dal perimetro dell’art. 4 dello Statuto dei Lavoratori, ma richiedono un fondato sospetto, sono ammessi solo per i dati raccolti ex post e devono rispettare i principi del Codice della Privacy e del Regolamento UE 2016/679.
Il quesito: come hanno trattato questo precedente le sentenze successive della Suprema Corte? E’ stato seguito, distinto, ampliato? La presente analisi mappa il citation graph della 18168/2023 nelle pronunce di legittimita’ depositate fino al 2025.
Il punto di partenza: il principio di diritto della Cassazione 18168/2023
La sentenza n. 18168/2023 si inserisce nel solco aperto dalle sentenze gemelle Cass. nn. 25731 e 25732 del 2021, ma compie un passo ulteriore: ridefinisce con chiarezza l’onere probatorio del datore di lavoro e ancora il regime dei controlli difensivi alla disciplina generale della protezione dei dati personali. La pronuncia origina dall’impugnazione di un licenziamento intimato a un dirigente bancario sulla base di indagini investigative che avevano riguardato indistintamente tutta la sua corrispondenza aziendale, senza limiti di tempo e senza previa informazione.
La Corte di Cassazione, confermando la pronuncia della Corte d’Appello di Milano, ha rigettato il ricorso della banca e ha cristallizzato un principio articolato che si compone di tre architravi: la distinzione tra controlli difensivi in senso stretto e controlli a tutela del patrimonio aziendale; la necessita’ del fondato sospetto e il limite temporale alla raccolta dei dati; la centralita’ del Codice della Privacy e del GDPR anche fuori dal perimetro dell’art. 4 St. Lav.
Leading case
La pronuncia stabilisce che, quando il datore di lavoro non riesce a provare le specifiche circostanze che hanno indotto l’attivazione del controllo tecnologico ex post, i dati raccolti sono radicalmente inutilizzabili in sede disciplinare. La sanzione discende dalla previsione generale del trattamento illecito dei dati personali. La Cassazione richiama altresi’ i criteri elaborati dalla Corte EDU nel caso Lopez Ribalda e altri c. Spagna del 17 ottobre 2019, valorizzando i principi di minimizzazione, proporzionalita’, pertinenza, non eccedenza, trasparenza e correttezza.
Il citation graph: come la giurisprudenza successiva ha trattato il precedente
Nei due anni successivi al deposito, la sentenza 18168/2023 e’ stata oggetto di un trattamento articolato da parte della Suprema Corte. La ricostruzione che segue mappa in ordine cronologico le pronunce piu’ significative, classificando ciascuna con riferimento al rapporto che intrattiene con il principio di diritto enunciato dal leading case.
Distinguished
La Cassazione opera una significativa distinzione: i controlli automatici dell’INPS sugli accessi alla propria banca dati non rientrano nei controlli difensivi in senso stretto, perche’ non sono finalizzati alla tutela di interessi aziendali contro il dipendente, ma alla tutela dei terzi iscritti i cui dati sono custoditi nella banca dati. La pronuncia ribadisce i principi del leading case, ma li distingue per ratio decidendi: nessun trattamento dei dati del lavoratore, nessuna indagine sulle sue comunicazioni private, nessun bilanciamento tra interessi aziendali e riservatezza del dipendente.
Seguito
L’ordinanza riepiloga in modo organico l’intero panorama della giurisprudenza di legittimita’ in materia di controlli difensivi, con espresso richiamo a Cass. 18168/2023. La Cassazione conferma la legittimita’ delle indagini investigative attivate sulla base di una denuncia interna circostanziata e ribadisce che la concretizzazione del fondato sospetto compete al giudice di merito. Sul piano operativo, la pronuncia consolida l’onere datoriale di allegare e provare le circostanze specifiche che hanno indotto il controllo, con divieto di trasformare retroattivamente in lecito un comportamento illecito al momento in cui fu posto in essere.
Applicato
Il caso riguarda un lavoratore licenziato per essersi dedicato ad attivita’ personali presso un bar durante l’orario di servizio. La Cassazione applica i principi del leading case e li integra con un richiamo espresso al rispetto dei criteri di minimizzazione, proporzionalita’ e pertinenza nel trattamento dei dati raccolti dall’agenzia investigativa. La pronuncia riconosce la legittimita’ del controllo perche’ non rivolto all’adempimento della prestazione, ma alla verifica di attivita’ fraudolente fonte di danno per il datore di lavoro.
Seguito
L’ordinanza ribadisce i principi consolidati con espresso richiamo sia a Cass. 18168/2023 sia a Cass. 30079/2024. La Cassazione conferma che il controllo dell’agenzia investigativa, quando non riguardi la prestazione lavorativa in senso tecnico ma comportamenti fraudolenti del lavoratore (nel caso di specie, infedeli dichiarazioni sul chilometraggio di trasferte percorse con auto privata), e’ legittimo a prescindere dalla disciplina dell’art. 4 St. Lav. La pronuncia evidenzia altresi’ che la valutazione sulla riferibilita’ del controllo all’attivita’ lavorativa rimane riservata al giudice di merito.
Ampliato
La sentenza compie un’evoluzione significativa: chiarisce che la chat aziendale puo’ essere qualificata come strumento di lavoro ai sensi dell’art. 4, comma 2, St. Lav. e, in alternativa, come oggetto di controlli difensivi in senso stretto. La pronuncia conferma il principio del fondato sospetto e ammette espressamente che, in presenza di un illecito istantaneo o gia’ esaurito, la raccolta delle informazioni utili possa avvenire anche con riferimento ai dati gia’ presenti sul server, risultando altrimenti l’indagine di fatto impossibile. Si tratta di un’apertura applicativa che amplia il leading case del 2023.
La sintesi del trattamento: una mappa interpretativa
Dall’analisi delle pronunce successive emerge un quadro coerente: il principio di diritto enunciato da Cass. 18168/2023 e’ stato sistematicamente seguito dalla giurisprudenza di legittimita’ nei due anni successivi, con un consolidamento progressivo del nucleo argomentativo (fondato sospetto, controllo ex post, bilanciamento privacy) e un’apertura interpretativa per i casi peculiari. Le pronunce successive non hanno mai messo in discussione il leading case, ma ne hanno definito il perimetro applicativo: lo hanno applicato nei casi di controlli investigativi tradizionali, lo hanno distinto nei casi in cui il controllo non riguardasse il lavoratore ma terzi, lo hanno ampliato quando le specificita’ tecnologiche imponevano una lettura piu’ duttile del requisito temporale.
Tabella di sintesi del citation graph
| Pronuncia | Anno | Trattamento | Apporto |
|---|---|---|---|
| Cass. n. 7272/2024 | 2024 | Distinguished | Esclude i controlli a tutela di terzi dal perimetro del leading case |
| Cass. n. 30079/2024 | 2024 | Seguito | Riepilogo organico dei principi e consolidamento dell’onere probatorio |
| Cass. n. 9268/2025 | 2025 | Applicato | Integrazione con i criteri GDPR di minimizzazione e proporzionalita’ |
| Cass. n. 14762/2025 | 2025 | Seguito | Conferma della legittimita’ dei controlli investigativi su comportamenti fraudolenti |
| Cass. n. 32283/2025 | 2025 | Ampliato | Chat aziendale come strumento di lavoro o oggetto di controllo difensivo |
I principi consolidati dopo il citation graph
1. La distinzione strutturale. Il sistema dei controlli si articola su due livelli: i controlli a tutela del patrimonio aziendale rivolti alla generalita’ dei dipendenti, soggetti integralmente all’art. 4 St. Lav., e i controlli difensivi in senso stretto, mirati a singoli dipendenti sospettati di illeciti specifici, fuori dal perimetro dell’art. 4 ma soggetti al GDPR.
2. Il fondato sospetto come chiave di legittimita’. Il datore di lavoro ha l’onere di allegare prima e provare poi le specifiche circostanze che hanno indotto il controllo. Il fondato sospetto deve essere ancorato a indizi materiali e riconoscibili, non a un puro convincimento soggettivo, e segna il momento dal quale i dati raccolti diventano utilizzabili.
3. Il bilanciamento privacy. Anche fuori dall’art. 4 St. Lav., il datore deve rispettare i principi di minimizzazione, proporzionalita’, pertinenza, non eccedenza, trasparenza e correttezza. La sanzione per la violazione e’ l’inutilizzabilita’ radicale dei dati raccolti, indipendentemente dalla loro idoneita’ a provare l’illecito.
4. Le aperture applicative. Il requisito della raccolta ex post puo’ essere modulato in caso di illecito istantaneo o gia’ esaurito; il perimetro dei controlli e’ escluso quando il monitoraggio non riguarda il lavoratore ma terzi; la chat aziendale ammette una doppia qualificazione, come strumento di lavoro o come oggetto di controllo difensivo.
Le ricadute operative per la difesa giudiziale
L’analisi del citation graph offre indicazioni concrete per chi intende impostare una strategia difensiva, sia dal lato del lavoratore sia dal lato del datore di lavoro. La centralita’ assunta dal fondato sospetto impone una particolare attenzione alla cronologia degli eventi: ogni elemento raccolto prima dell’insorgenza del sospetto e’ radicalmente inutilizzabile, salvo che ricorrano le aperture applicative riconosciute da Cass. 32283/2025 per gli illeciti istantanei. Sul fronte probatorio, l’onere della parte datoriale di documentare le circostanze che hanno innescato l’indagine impone una conservazione rigorosa di segnalazioni, denunce, alert tecnologici, riferiti ai momenti antecedenti all’attivazione del controllo investigativo.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: in fase di impugnazione del licenziamento occorre contestare specificamente la cronologia degli eventi e chiedere al datore l’esibizione documentale degli elementi che hanno fondato il sospetto, inclusi data e modalita’ della loro acquisizione. La carenza di allegazione equivale a difetto di prova e determina, ex Cass. 18168/2023, la radicale inutilizzabilita’ dei dati. Va inoltre verificata la conformita’ dell’informativa privacy ai requisiti dell’art. 13 GDPR e la proporzionalita’ del controllo rispetto alla finalita’ perseguita.
- Per il difensore del datore di lavoro: e’ essenziale documentare in via preventiva la genesi del fondato sospetto con segnalazioni datate, alert automatizzati, denunce specifiche e pertinenti, evitando indagini generalizzate ed esplorative. Deve essere predisposta una policy aziendale chiara e accessibile (Cass. 32283/2025 valorizza la pubblicazione su intranet e il richiamo nel contratto di assunzione) e va effettuata una valutazione di impatto sui diritti del lavoratore prima di attivare il controllo. Il rispetto dei criteri GDPR (Cass. 9268/2025) non e’ un adempimento formale ma sostanziale.
- Per entrambi: nel contenzioso e’ decisivo il giudizio di fatto sulla riferibilita’ del controllo all’attivita’ lavorativa o agli illeciti del dipendente. L’analisi del fondato sospetto e’ competenza del giudice di merito (Cass. 30079/2024 e Cass. 14762/2025) e in cassazione possono essere fatti valere solo vizi logici o giuridici della motivazione, non un diverso apprezzamento dei fatti. La distinzione tra controlli a tutela dei terzi e controlli difensivi in senso stretto (Cass. 7272/2024) puo’ rivelarsi dirimente nei casi che coinvolgono pubbliche amministrazioni e gestori di banche dati.
Il presente articolo ha finalita’ esclusivamente divulgative e informative. Non costituisce parere legale ne’ consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilita’ per l’uso improprio delle informazioni qui contenute.
Questo articolo e’ stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.