Controlli difensivi del datore di lavoro: due sentenze opposte della Cassazione su email e banche dati
La questione in sintesi
Due pronunce molto vicine nel tempo, ma con esiti opposti. La Corte di Cassazione, sezione lavoro, con la sentenza n. 24204/2025 ha ritenuto illegittimo il controllo del datore di lavoro sulle email dei dipendenti confluite sul server aziendale, dichiarando inutilizzabili le prove così raccolte. Pochi mesi prima, con la sentenza n. 7272/2024, la stessa Sezione aveva invece confermato la legittimità del licenziamento di un dipendente INPS sorpreso a effettuare accessi non autorizzati alla banca dati dell’Istituto, ritenendo pienamente utilizzabili i controlli automatici sugli accessi.
La differenza non è un’oscillazione giurisprudenziale, ma il frutto di una distinzione tecnica: quando il controllo è rivolto a verificare l’attività del lavoratore o a tutelare beni aziendali, si applicano i limiti dell’art. 4 Stat. lav. e i principi B___ della CEDU; quando invece il controllo è rivolto a tutelare diritti di terzi (privacy degli iscritti a una banca dati pubblica), quel perimetro non si attiva. Comprendere questa linea di confine è oggi decisivo per chi assiste imprese e lavoratori.
Il nodo dei controlli difensivi
Il tema dei controlli difensivi del datore di lavoro è uno dei più sofferti dell’intero diritto del lavoro contemporaneo. Da un lato vi sono le legittime esigenze dell’impresa di tutelare il proprio patrimonio, la propria immagine e la riservatezza delle informazioni commerciali; dall’altro vi sono i diritti fondamentali del lavoratore alla dignità, alla riservatezza e alla segretezza della corrispondenza, presidiati dagli artt. 8 CEDU, 15 Cost., 4 della L. n. 300/1970 e dalla normativa privacy (Reg. UE 2016/679 e D.Lgs. n. 196/2003).
La riforma dell’art. 4 dello Statuto dei Lavoratori operata dal D.Lgs. n. 151/2015 e dal D.Lgs. n. 185/2016 ha ridisegnato il quadro, sostituendo il divieto assoluto dei controlli a distanza con un sistema di garanzie procedurali e informative. Ma intorno a questo nucleo legislativo si è sviluppata una giurisprudenza articolata, che distingue i controlli sull’adempimento della prestazione (sempre soggetti all’art. 4), i controlli difensivi «in senso lato» (che ricadono anch’essi nell’art. 4) e i controlli difensivi «in senso stretto», mirati e successivi a un fondato sospetto, che possono essere svolti anche al di fuori del perimetro dell’art. 4 purché rispettino i principi di finalità, proporzionalità e informativa.
Le due sentenze che esaminiamo oggi illustrano in modo emblematico come la qualificazione del controllo sia il vero crocevia della decisione.
Le due sentenze a confronto
Licenziamento legittimo
Un dipendente dell’INPS veniva licenziato all’esito di un procedimento disciplinare per oltre ventimila accessi non autorizzati alla banca dati informatica dell’Istituto, finalizzati ad estrarre informazioni su conti e prestazioni previdenziali di soggetti iscritti. Il lavoratore impugnava il licenziamento sostenendo, fra l’altro, l’inutilizzabilità dei dati raccolti per violazione dell’art. 4 Stat. lav. e della normativa privacy.
La Corte d’Appello di Ancona, poi confermata dalla Cassazione, rigettava il ricorso. Il passaggio decisivo della motivazione della Suprema Corte è la distinzione qualitativa rispetto ai precedenti sui controlli difensivi: l’INPS non controllava l’adempimento della prestazione lavorativa, né tutelava beni aziendali, ma esercitava un dovere di vigilanza sulla regolarità degli accessi alla banca dati di cui era titolare e responsabile, per proteggere la privacy degli iscritti.
Prove inutilizzabili
Una società agiva contro tre ex dipendenti per atti di concorrenza sleale e violazione dei doveri di fedeltà e diligenza. Il fondamento probatorio della pretesa era una consulenza tecnica informatica eseguita nel maggio 2014 sulle email scambiate dai lavoratori – transitate da account personali, ma confluite sul server aziendale – dopo che gli stessi avevano già rassegnato le dimissioni. Il Tribunale di Milano riteneva utilizzabili tali prove; la Corte d’Appello le dichiarava inutilizzabili e respingeva la domanda risarcitoria.
La Cassazione conferma la decisione di secondo grado, applicando i principi della sentenza B___ della Corte EDU (Grande Camera, 5 settembre 2017) e ribadendo che le email scambiate dal luogo di lavoro rientrano nella nozione di «vita privata» e «corrispondenza» tutelata dall’art. 8 CEDU. La società non aveva provato né la previa informativa sulle modalità di controllo, né il rispetto del principio di proporzionalità, né la sussistenza di un fondato sospetto qualificato al momento dell’attivazione del controllo.
La chiave di lettura: chi viene protetto dal controllo?
L’apparente contraddizione fra le due decisioni si scioglie se si guarda all’oggetto della protezione perseguita con il controllo. La Cassazione non sta affatto smentendo sé stessa: sta operando una distinzione raffinata fra controlli che si muovono nel perimetro del rapporto di lavoro e controlli che si collocano in un perimetro diverso, dove la prestazione lavorativa è un dato meramente accidentale.
| Profilo | Cass. 24204/2025 (email) | Cass. 7272/2024 (banca dati INPS) |
|---|---|---|
| Oggetto del controllo | Contenuto delle email del lavoratore | Tracciamento degli accessi alla banca dati |
| Bene protetto | Patrimonio aziendale (informazioni commerciali) | Privacy di soggetti terzi (iscritti INPS) |
| Momento del controllo | Ex post, dopo le dimissioni | Automatico e preventivo, poi mirato ex post |
| Dato del lavoratore acquisito | Contenuto, abitudini, comunicazioni | Solo accesso non autorizzato |
| Informativa preventiva | Assente o non provata | Banner di sistema (ritenuto irrilevante in sé) |
| Applicabilità art. 4 Stat. lav. | Sì (controllo difensivo in senso lato) | No (controllo estraneo al rapporto di lavoro) |
| Esito | Prove inutilizzabili, domanda rigettata | Licenziamento legittimo confermato |
Nel caso H___ (Cass. 24204/2025) il controllo, pur svolto dopo la cessazione del rapporto, era finalizzato a costruire una prova contro gli ex dipendenti per ottenere un risarcimento; il bene protetto era il patrimonio aziendale; l’oggetto del controllo era il contenuto della corrispondenza, anche quella proveniente da account personali. In questa cornice si attivano tutte le garanzie dell’art. 4 Stat. lav., dell’art. 8 CEDU e della normativa privacy: occorre informativa preventiva, fondato sospetto qualificato, proporzionalità e minore intrusività.
Nel caso INPS (Cass. 7272/2024) il controllo era invece doveroso e indipendente dal rapporto di lavoro: l’Istituto deve presidiare la propria banca dati a tutela degli iscritti, e il fatto che l’accesso illecito sia compiuto da un dipendente è una conseguenza accidentale dell’esistenza di un rapporto di servizio. Il dato del lavoratore acquisito non è un contenuto comunicativo o un’abitudine, ma solo il fatto oggettivo dell’accesso non autorizzato. In questa cornice, lo schermo dell’art. 4 e della disciplina privacy del lavoratore non si attiva.
Il quadro normativo di riferimento
L’art. 4 dello Statuto dei Lavoratori, nella formulazione post-2015, consente al datore di lavoro di installare impianti audiovisivi e altri strumenti dai quali derivi la possibilità di controllo a distanza dell’attività dei lavoratori esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previo accordo con le rappresentanze sindacali o autorizzazione amministrativa. Il comma 2 esclude dall’ambito di applicazione gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e gli strumenti di registrazione degli accessi e delle presenze. Il comma 3 condiziona l’utilizzabilità delle informazioni così raccolte all’esistenza di una adeguata informazione al lavoratore e al rispetto del Codice Privacy.
La giurisprudenza di legittimità ha poi elaborato la categoria dei controlli difensivi in senso stretto: si tratta dei controlli mirati, posti in essere a seguito di un fondato sospetto su uno o più lavoratori, finalizzati ad accertare comportamenti illeciti lesivi del patrimonio o dell’immagine aziendale. Questa categoria può muoversi al di fuori delle procedure dell’art. 4, ma deve sempre rispettare i principi di legalità, proporzionalità, posteriorità e informativa elaborati dalla CEDU nella sentenza B___ del 2017 e ribaditi dalla Cassazione (fra le altre, Cass. n. 25731/2021, n. 25732/2021, n. 34092/2021, n. 18168/2023).
Il principio di diritto consolidato
1. Perimetro applicativo dell’art. 4 Stat. lav. Le garanzie procedurali e informative dell’art. 4 dello Statuto dei Lavoratori si applicano a tutti i controlli che, anche se finalizzati ad accertare illeciti, comportano la possibilità di verifica a distanza dell’attività del lavoratore. Il loro mancato rispetto determina l’inutilizzabilità delle prove così raccolte, anche se le informazioni non sono in concreto utilizzate.
2. Eccezione per i controlli su beni di terzi. Quando il controllo non è finalizzato a verificare la prestazione del lavoratore né a proteggere beni aziendali, ma a tutelare diritti di soggetti terzi (ad es. la privacy degli iscritti a una banca dati pubblica), esso si colloca fuori dal perimetro dell’art. 4 e non richiede né informativa preventiva al dipendente né le procedure di garanzia tipiche.
3. Onere di allegazione e prova. Spetta al datore di lavoro allegare e provare le specifiche circostanze che hanno indotto ad attivare il controllo tecnologico, il fondato sospetto qualificato e il rispetto dei principi di finalità, proporzionalità e informativa (Cass. n. 18168/2023).
4. Email del lavoratore e tutela della corrispondenza. Le email inviate o ricevute dal luogo di lavoro, anche se transitate da sistemi aziendali, rientrano nella nozione di «vita privata» e «corrispondenza» tutelata dall’art. 8 CEDU. Il loro controllo è legittimo solo se rispetta finalità legittima, proporzionalità e informativa preventiva e dettagliata (Cass. n. 24204/2025; CEDU, B___ c. Romania, 5 settembre 2017).
Implicazioni operative
Il confronto fra queste due pronunce offre indicazioni concrete e immediate per la gestione di situazioni analoghe. Per il datore di lavoro che voglia legittimamente acquisire prove in vista di un licenziamento disciplinare o di un’azione risarcitoria, la conformazione preventiva del sistema di controllo è oggi più importante della verifica successiva: una policy aziendale formalmente notificata, un regolamento sull’uso degli strumenti informatici, una mappatura dei trattamenti privacy e la corretta esecuzione delle procedure dell’art. 4 sono il vero presupposto della utilizzabilità processuale delle prove digitali.
Per il lavoratore, l’eccezione di inutilizzabilità delle prove va sollevata tempestivamente e in modo specifico: la giurisprudenza qualifica l’utilizzabilità come questione di fatto sottratta al sindacato di legittimità se non è stata correttamente devoluta nei gradi di merito. La distinzione fra controllo sul lavoratore e controllo su beni di terzi va contestata con allegazioni puntuali sull’effettiva natura dell’indagine svolta dal datore di lavoro.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore. Identificare con precisione l’oggetto del controllo e il bene tutelato: se il controllo ha avuto ad oggetto contenuti comunicativi, abitudini di navigazione, conversazioni o email, anche se reperite su sistemi aziendali, la cornice è quella dell’art. 4 Stat. lav. e dell’art. 8 CEDU. Pretendere la prova rigorosa dell’informativa preventiva, del fondato sospetto qualificato anteriore al controllo e del rispetto del principio di proporzionalità. Eccepire l’inutilizzabilità nei termini di rito e con riferimenti specifici alle circostanze del caso.
- Per il difensore del datore di lavoro. Documentare a monte la conformità del sistema: policy IT, regolamento informatico, informativa privacy aggiornata, accordi sindacali ex art. 4 comma 1 o autorizzazione dell’Ispettorato del lavoro. In caso di controlli difensivi in senso stretto, ricostruire e provare il cronoprogramma del sospetto (segnalazioni, anomalie, indizi specifici) e dimostrare che l’attività di indagine è stata mirata, proporzionata e successiva a quel sospetto. Valutare se il controllo possa essere qualificato come tutela di beni di terzi (clienti, utenti, iscritti), categoria che, alla luce di Cass. 7272/2024, fuoriesce dal perimetro dell’art. 4.
- Per entrambi. Verificare sempre la sequenza temporale tra l’insorgere del sospetto, l’attivazione del controllo e l’acquisizione delle informazioni: la cronologia è spesso decisiva per qualificare il controllo come difensivo «in senso stretto» (lecito) o come controllo massivo preventivo (illecito). Considerare che la giurisprudenza CEDU e quella di Cassazione richiedono una valutazione caso per caso: nessun automatismo, ma un bilanciamento ponderato fra esigenze datoriali e dignità del lavoratore.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.