Controlli difensivi del datore di lavoro: due sentenze del 2025 a confronto
La questione in sintesi
Nel corso del 2025 la Sezione Lavoro della Corte di Cassazione si è pronunciata in due distinte occasioni sui limiti dei controlli difensivi datoriali, giungendo a esiti diametralmente opposti. Con l’ordinanza n. 9268 dell’8 aprile 2025 la Corte ha confermato il licenziamento per giusta causa fondato sulle risultanze di un’agenzia investigativa che aveva accertato attività extralavorative durante l’orario di servizio. Con la sentenza n. 24204 del 29 agosto 2025, invece, la stessa Sezione ha dichiarato inutilizzabili le e-mail acquisite dal datore di lavoro sui propri server aziendali, escludendo qualsiasi responsabilità per concorrenza sleale degli ex dipendenti.
Due controlli difensivi, due esiti opposti. Comprendere quali fattori spostino l’ago della bilancia è oggi essenziale per il difensore di entrambe le parti.
Il quadro normativo di riferimento
I controlli difensivi del datore di lavoro si collocano in un’area di delicato bilanciamento tra l’art. 41 Cost. (libertà di iniziativa economica), l’art. 4 della L. 300/1970 (come novellato dal D.Lgs. 151/2015), il Regolamento UE 2016/679 e gli artt. 2 e 3 dello Statuto dei Lavoratori.
La giurisprudenza di legittimità ha enucleato due categorie distinte: i controlli difensivi in senso lato, che riguardano gruppi di lavoratori nella loro ordinaria prestazione e devono rispettare integralmente l’art. 4 St. lav.; e i controlli difensivi in senso stretto, mirati ad accertare condotte illecite di specifici dipendenti sulla base di concreti indizi, i quali si situano al di fuori del perimetro applicativo dell’art. 4 ma devono comunque rispettare la disciplina della privacy.
Le due pronunce a confronto
Controllo legittimo
Il caso riguardava un giuntista in attività esterne licenziato per giusta causa dopo che un’agenzia investigativa, incaricata dal datore di lavoro, aveva accertato che il dipendente si recava in orario di servizio presso un bar, svolgendo attività personali (servendo prodotti dietro al bancone, maneggiando la macchinetta del caffè, utilizzando il furgone aziendale per scaricare bottiglie d’acqua presso lo stesso esercizio).
La Corte di Cassazione ha rigettato il ricorso del lavoratore, confermando la legittimità del controllo investigativo perché non finalizzato a verificare l’adempimento della prestazione, ma a riscontrare illeciti specifici (attività fraudolente, attività lavorative svolte in favore di terzi durante l’orario contrattuale).
Sotto il profilo privacy, la Corte ha ritenuto che il trattamento dei dati raccolti dall’agenzia investigativa fosse legittimato dall’interesse del titolare a far valere o difendere un diritto in sede giudiziaria (oggi art. 6, par. 1, lett. f, GDPR), nel rispetto dei criteri di minimizzazione, proporzionalità e pertinenza.
Controllo illegittimo
Il caso vedeva una società agire contro tre ex dipendenti per concorrenza sleale e violazione dei doveri di fedeltà, sulla base di una consulenza tecnica informatica che aveva estratto dai personal computer e dai server aziendali e-mail provenienti da account personali dei lavoratori, sebbene confluite sul sistema aziendale. Le indagini erano state effettuate nel maggio 2014, dopo che tutti i dipendenti avevano già rassegnato le proprie dimissioni.
La Corte di Cassazione ha rigettato il ricorso della società, ritenendo legittima la decisione della Corte d’appello che aveva dichiarato inutilizzabili le e-mail oggetto della consulenza informatica e, di conseguenza, esclusa la prova del nesso causale tra le condotte contestate e il danno lamentato.
La Corte ha richiamato i principi della Corte EDU (caso Bărbulescu c. Romania, Grande Camera, 5 settembre 2017) sui criteri di finalità legittima, proporzionalità e preventiva dettagliata informazione ai dipendenti. Ha escluso che la mera confluenza della posta personale sul server aziendale renda «aperta» la corrispondenza ai fini della liceità dell’accesso, soprattutto in assenza di una policy aziendale che regolamentasse le modalità di controllo e duplicazione della corrispondenza.
Perché due esiti opposti? L’analisi differenziale
Le due pronunce, pur appartenendo alla medesima sezione e al medesimo anno, divergono per una serie di fattori che il difensore deve saper riconoscere e valorizzare. Il confronto sinottico restituisce la mappa decisionale:
| Profilo | Cass. 9268/2025 (legittimo) | Cass. 24204/2025 (illegittimo) |
|---|---|---|
| Oggetto del controllo | Attività fraudolenta specifica del lavoratore, esterna al perimetro contrattuale | Posta elettronica personale archiviata sul server aziendale |
| Strumento utilizzato | Agenzia investigativa, osservazione fisica | Consulenza tecnica informatica su sistemi aziendali |
| Momento del controllo | In costanza di rapporto, su fondato sospetto | Dopo la cessazione del rapporto di lavoro |
| Procedura art. 4 St. lav. | Non richiesta (controllo esterno e mirato) | Mancata attivazione della procedura, ritenuta necessaria |
| Informativa privacy | Eccezione GDPR per legittimo interesse difensivo | Mancanza di policy aziendale e di consenso individuale |
| Bilanciamento Corte EDU | Proporzionalità rispettata | Controllo massivo, non proporzionato |
| Esito processuale | Licenziamento confermato | Prova inutilizzabile, domanda risarcitoria rigettata |
Il discrimine non si esaurisce nella distinzione tra controllo «esterno» (fisico) e «tecnologico» (informatico). La vera linea di confine passa, come emerge dalla lettura combinata delle due pronunce, lungo tre direttrici.
Prima direttrice: l’oggetto del controllo
Cass. 9268/2025 conferma la legittimità del controllo perché questo non aveva ad oggetto l’adempimento della prestazione, ma una condotta fraudolenta esterna ad essa. Cass. 24204/2025 censura l’acquisizione massiva di comunicazioni personali, ritenuta intrusiva della «vita privata» del lavoratore ai sensi dell’art. 8 CEDU, anche in considerazione del fatto che si trattava di posta elettronica e non di mera osservazione dell’attività esterna.
Seconda direttrice: il fondato sospetto e la tempistica
Nel caso del 2025 in cui il controllo è stato dichiarato legittimo, l’intervento dell’agenzia investigativa è stato attuato ex post, a seguito di un fondato sospetto e per il tempo strettamente necessario. Nel caso dell’inutilizzabilità, la consulenza tecnica è stata effettuata dopo la cessazione del rapporto, ma con modalità massive e non selettive su tutta la corrispondenza presente sui sistemi aziendali, in assenza di una preventiva regolamentazione interna.
Terza direttrice: la procedura preventiva e l’informativa
I controlli difensivi tecnologici si situano nell’intersezione tra l’art. 4 St. lav. e la normativa privacy. La sentenza n. 24204/2025 ha rilevato come la società non avesse né attivato la procedura di accordo sindacale o autorizzazione amministrativa, né predisposto una policy aziendale che disciplinasse le modalità di controllo della corrispondenza elettronica. L’assenza di queste cautele preventive ha trasformato un controllo astrattamente possibile in un’acquisizione probatoriamente inutilizzabile.
I principi di diritto consolidati nel 2025
1. Distinzione tra controlli difensivi in senso lato e in senso stretto. Solo i secondi, mirati e attuati ex post su fondato sospetto, si collocano fuori dal perimetro dell’art. 4 St. lav.
2. Bilanciamento privacy/iniziativa economica. Anche nei controlli difensivi in senso stretto resta ferma la disciplina del Codice Privacy e del GDPR: il trattamento deve essere proporzionato, minimo e pertinente, ancorato a un legittimo interesse e ai criteri della pronuncia Bărbulescu della Corte EDU.
3. Onere della prova del «fondato sospetto». Spetta al datore di lavoro allegare e provare le specifiche circostanze che hanno indotto ad attivare il controllo; il giudice valuta se si tratti di indizi materiali e riconoscibili, non di mero convincimento soggettivo.
4. Inutilizzabilità come sanzione. I dati personali acquisiti in violazione della disciplina privacy non possono essere utilizzati nel processo, né in sede disciplinare né in sede civile risarcitoria.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: verificare in via preliminare la natura del controllo (osservazione fisica vs. acquisizione di dati personali su sistemi aziendali); contestare l’assenza della procedura art. 4 St. lav. ogni volta che il controllo investa strumenti tecnologici aziendali; chiedere l’esibizione della policy aziendale sulla posta elettronica e sulle modalità di controllo; eccepire la mancanza di informativa specifica ai sensi del GDPR e del Codice Privacy.
- Per il difensore del datore di lavoro: documentare per iscritto il «fondato sospetto» che ha innescato il controllo (segnalazioni, anomalie contabili, indizi specifici), datandolo e limitando l’ambito temporale del controllo; preferire, ove possibile, controlli mirati e selettivi rispetto ad acquisizioni massive; predisporre ex ante una policy aziendale sull’utilizzo dei sistemi informatici e sulla loro verificabilità, debitamente notificata ai dipendenti; conservare la prova della consegna dell’informativa privacy.
- Per entrambi: ricordare che la giurisprudenza di legittimità del 2025 conferma il consolidamento del «test Bărbulescu» (finalità legittima, proporzionalità, informativa preventiva) come parametro di valutazione anche nel nostro ordinamento; l’esito della controversia dipenderà in misura crescente dalla capacità di ricostruire in giudizio la cronologia del controllo, la sua selettività e il quadro indiziario preesistente.
Il presente articolo ha finalità esclusivamente divulgative e informative. Non costituisce parere legale né consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilità per l’uso improprio delle informazioni qui contenute.
Questo articolo è stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.