Controlli difensivi in senso stretto: dal 2021 al 2025, la mappa di un orientamento
La questione in sintesi
La nozione di “controlli difensivi in senso stretto”, elaborata dalla Corte di Cassazione per individuare quelle indagini datoriali che, pur incidendo sulla sfera del lavoratore, restano fuori dal perimetro applicativo dell’art. 4 dello Statuto dei Lavoratori, ha conosciuto una rapida evoluzione a partire dalle sentenze “gemelle” del 2021.
Le pronunce successive, fino al 2025, hanno consolidato il principio, precisato i confini, ridefinito gli oneri probatori e – soprattutto – distinto le diverse tipologie di controllo in funzione del bene tutelato. Ricostruiamo l’albero genealogico di un orientamento che, in pochi anni, ha cambiato il volto del contenzioso disciplinare tecnologico.
La sentenza-radice: Cass. n. 25732 del 22 settembre 2021
Il punto di partenza è la sentenza n. 25732 del 22 settembre 2021 della Sezione Lavoro della Corte di Cassazione (deposito 22 settembre 2021), letta congiuntamente alla sua “gemella” n. 25731 dello stesso giorno. Le due pronunce, nate per dare risposta alla questione nomofilattica della sopravvivenza dei controlli difensivi dopo la riformulazione dell’art. 4 St. lav. ad opera dell’art. 23 del d.lgs. n. 151/2015, hanno introdotto una distinzione concettuale destinata a strutturare l’intera materia.
Sentenza pilota
La Corte distingue, per la prima volta in modo sistematico, due categorie di controlli: i “controlli a difesa del patrimonio aziendale” che riguardano tutti i dipendenti nello svolgimento della loro prestazione, soggetti integralmente all’art. 4 St. lav. novellato; e i “controlli difensivi in senso stretto”, mirati ed ex post, finalizzati ad accertare specifiche condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, che restano fuori dal perimetro applicativo dell’art. 4.
Il principio di diritto, fissato al punto 51 e ripreso testualmente da tutte le pronunce successive, è il seguente:
Seguito
A poche settimane dalle gemelle, una nuova ordinanza ribadisce l’impianto concettuale e ne approfondisce un profilo cruciale: cosa si intenda per controllo “ex post”. La Corte chiarisce che non basta che l’analisi dei dati sia successiva al sospetto: deve essere successiva all’insorgere del sospetto anche la loro raccolta. Diversamente, “l’area del controllo difensivo si estenderebbe a dismisura, con conseguente annientamento della valenza delle predette prescrizioni” dell’art. 4 St. lav.
Caso concreto: il datore aveva utilizzato file di log raccolti tramite il service provider in conseguenza di un “alert” del sistema informatico. La Corte cassa con rinvio, imponendo al giudice di merito di verificare se i dati informatici utilizzati in sede disciplinare fossero stati raccolti prima o dopo l’insorgere del fondato sospetto.
Ampliato
La pronuncia – di particolare ampiezza motivazionale – riprende integralmente l’impianto delle sentenze del 2021 ma ne amplia la portata su due fronti decisivi.
Primo fronte – ripartizione dell’onere probatorio. La Corte chiarisce che incombe sul datore di lavoro l’onere di allegare prima e provare poi le specifiche circostanze, anche temporalmente collocate, che lo hanno indotto ad attivare il controllo tecnologico. Solo tali elementi consentono al giudice di valutare se essi fossero “indizi, materiali e riconoscibili, non espressione di un puro convincimento soggettivo, idonei a concretare il fondato sospetto della commissione di comportamenti illeciti”.
Secondo fronte – integrazione con la disciplina GDPR. Anche il controllo difensivo in senso stretto, sottratto all’art. 4 St. lav., deve comunque rispettare la disciplina generale del Codice della privacy e – dal 25 maggio 2018 – del Regolamento UE 2016/679, perché “costituirebbe una ingiustificata aporia del sistema il sottrarre alla disciplina generale della protezione dei dati personali il rapporto del lavoratore con il suo datore”.
La pronuncia integra inoltre i sei criteri della giurisprudenza CEDU (caso Bărbulescu) per il giudizio di proporzionalità: informazione preventiva, grado di invasività, giustificazione, alternative meno intrusive, utilizzo dei risultati, garanzie offerte al dipendente.
Distinzione (distinguishing)
Una pronuncia particolarmente interessante perché, pur richiamando l’intero filone (Cass. n. 13266/2018; n. 25731/2021; n. 25732/2021; n. 34092/2021; n. 18168/2023), opera una distinzione di rilievo: i casi precedenti riguardavano controlli volti alla “protezione di interessi e beni aziendali” (virus informatici, fuoriuscita di informazioni commerciali riservate, illeciti contatti con concorrenti). Nel caso esaminato, invece, l’INPS aveva effettuato controlli automatici sugli accessi alla propria banca dati per tutelare non sé stesso ma le persone i cui dati erano custoditi nella banca dati.
La pronuncia delimita così la categoria: il controllo “difensivo in senso stretto” presuppone che il bene tutelato sia un bene aziendale del datore; quando invece il controllo è doveroso a tutela di terzi e non investe la sfera privata del lavoratore, la cornice giuridica è differente e non si applicano i requisiti tipici di Cass. n. 25732/2021.
Applicato
L’ordinanza applica integralmente i principi di Cass. n. 25732/2021 e di Cass. n. 18168/2023 al caso di licenziamento disciplinare fondato su indagine di agenzia investigativa. Conferma la distinzione tra controlli difensivi in senso lato (sui dipendenti nell’esecuzione della prestazione, soggetti all’art. 4) e in senso stretto (mirati su singoli dipendenti, fuori dal perimetro dell’art. 4), e ribadisce il principio per cui spetta al giudice valutare se gli elementi addotti dal datore configurassero “indizi, materiali e riconoscibili, non espressione di un puro convincimento soggettivo”.
Controllo legittimo
L’ordinanza conferma la legittimità del licenziamento di un giuntista sorpreso, durante l’orario di servizio, a svolgere attività personali presso un bar. Il controllo è stato effettuato da agenzia investigativa. La Corte riprende espressamente il principio di diritto di Cass. n. 25732/2021, sottolineando che i controlli a mezzo investigatori sono legittimi quando indirizzati ad accertare condotte fraudolente non riconducibili al mero inadempimento dell’obbligazione contrattuale.
La pronuncia richiama altresì il criterio dei limiti di minimizzazione, proporzionalità, pertinenza e non eccedenza enunciato da Cass. n. 18168/2023, confermando il pieno coordinamento tra disciplina dei controlli difensivi e regime GDPR.
La mappa dell’orientamento in una tabella
| Sentenza | Funzione nel grafo | Contributo |
|---|---|---|
| Cass. n. 25732/2021 (con la gemella n. 25731/2021) | Radice (pilota) | Distinzione fondante tra controlli ex art. 4 St. lav. e “controlli difensivi in senso stretto” |
| Cass. n. 34092/2021 | Conferma e applicazione | Precisa la nozione di “ex post”: anche la raccolta dei dati deve essere posteriore al fondato sospetto |
| Cass. n. 18168/2023 | Ampliamento | Onere probatorio sul datore di lavoro; integrazione con disciplina GDPR; recepimento criteri CEDU Bărbulescu |
| Cass. n. 7272/2024 | Distinzione (distinguishing) | Limita la categoria: controlli a tutela di terzi (non di beni aziendali) sfuggono al perimetro del controllo difensivo in senso stretto |
| Cass. n. 30079/2024 | Applicazione | Conferma il filone al caso di indagini investigative |
| Cass. n. 9268/2025 | Applicazione | Estende l’applicazione alle prestazioni esterne (lavoratore controllato fuori dai locali aziendali) |
Le coordinate operative emergenti dal grafo
L’evoluzione descritta consente di individuare con discreta precisione i requisiti che, nel 2026, devono essere oggi rispettati perché un controllo datoriale possa essere qualificato come “controllo difensivo in senso stretto” e, in quanto tale, restare fuori dal perimetro dell’art. 4 St. lav.
I requisiti consolidati
1. Fondato sospetto. Il controllo deve scattare a fronte di un fondato sospetto, sostenuto da indizi materiali e riconoscibili, non da un puro convincimento soggettivo del datore.
2. Mirato su singoli dipendenti. Il controllo deve essere diretto ad accertare specifiche condotte illecite ascrivibili a singoli lavoratori, non a effettuare un monitoraggio diffuso o sistematico.
3. Ex post in senso forte. Anche la raccolta dei dati – non solo la loro analisi – deve essere successiva all’insorgere del sospetto.
4. Bene tutelato estraneo al rapporto. Il controllo deve mirare alla protezione di beni aziendali o ad evitare comportamenti illeciti, non a verificare l’esatto adempimento della prestazione lavorativa.
5. Rispetto della disciplina privacy. Anche fuori dal perimetro dell’art. 4 St. lav., il datore deve rispettare i principi del Codice della privacy e del Regolamento UE 2016/679: minimizzazione, proporzionalità, pertinenza e non eccedenza, trasparenza e correttezza.
6. Onere della prova sul datore. Spetta al datore di lavoro allegare e provare le specifiche circostanze, anche temporalmente collocate, che hanno fondato il sospetto e legittimato l’attivazione del controllo.
Il principio di diritto consolidato
1. Categoria a perimetro chiuso. Il “controllo difensivo in senso stretto” non è una categoria aperta, ma un perimetro chiuso: presuppone bene aziendale tutelato, fondato sospetto, mirato su singoli, raccolta ex post.
2. Doppio binario di legalità. La fuoriuscita dal perimetro dell’art. 4 St. lav. non implica una zona franca: la disciplina generale GDPR opera comunque come standard residuo di protezione del lavoratore.
3. Sindacato giudiziale rigoroso. Il giudice deve valutare, con apprezzamento di merito, se gli indizi addotti dal datore erano realmente “materiali e riconoscibili”, e se i dati utilizzati erano stati acquisiti dopo l’insorgere del sospetto. La sanzione, in caso negativo, è l’inutilizzabilità radicale dei dati e l’illegittimità del licenziamento.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: impugnando il licenziamento fondato su controlli tecnologici o investigativi, chiedere espressamente la prova dell’origine, della data e dei motivi dell’attivazione del controllo. La giurisprudenza sull’onere probatorio (Cass. n. 18168/2023) gioca in vostro favore: in assenza di allegazione e prova del fondato sospetto, i dati sono inutilizzabili e travolgono la contestazione disciplinare.
- Per il difensore del datore di lavoro: costruire ex ante un “fascicolo del sospetto” documentando segnalazioni, alert tecnici, denunce, audit interni, e segnando con precisione la data di insorgenza del sospetto. Distinguere accuratamente tra controlli ordinari del patrimonio (soggetti all’art. 4) e controlli difensivi in senso stretto: la qualificazione errata equivale, processualmente, a un’auto-condanna.
- Per entrambi: in sede di costituzione e in udienza, padroneggiare i sei criteri Bărbulescu (informazione, invasività, giustificazione, alternative, utilizzo dei risultati, garanzie), perché orientano sia la difesa che la decisione del giudice di merito. Il giudizio di proporzionalità non è più rimesso a sensibilità soggettive, ma a una griglia di indicatori ormai consolidata.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.