Controlli difensivi e fondato sospetto: l’evoluzione della Cassazione dal 2023 al 2025
La questione in sintesi
Quando il datore di lavoro puo legittimamente controllare la posta elettronica, le chat aziendali o i comportamenti del dipendente sospettato di un illecito? La giurisprudenza di legittimita ha costruito, a partire da una sentenza-cardine del giugno 2023, un perimetro sempre piu nitido per i cosiddetti “controlli difensivi in senso stretto”, articolato attorno alla nozione di “fondato sospetto” e all’onere probatorio gravante sul datore.
Questo contributo ricostruisce l’albero genealogico delle pronunce successive a Cass. n. 18168/2023, mostrando come ciascuna decisione abbia precisato, applicato o ridelimitato il principio originario fino agli arresti del dicembre 2025.
Il nodo radice: la Sentenza 18168/2023
Con la sentenza n. 18168 del 26 giugno 2023, la Sezione Lavoro della Corte di Cassazione ha consolidato e organizzato in un corpo argomentativo unitario i principi che, dopo la riformulazione dell’art. 4 dello Statuto dei Lavoratori operata dal D.Lgs. n. 151/2015, governano i controlli datoriali finalizzati ad accertare illeciti dei dipendenti.
Il caso aveva ad oggetto il licenziamento di un dirigente di Banca W___, fondato su un’attivita investigativa di controllo della posta elettronica aziendale (“c.d. mail review”) e di pedinamento. La Corte d’Appello di Milano aveva dichiarato illegittimo il recesso perche l’indagine era stata massiva, indiscriminata e priva di adeguata giustificazione preventiva. La Cassazione ha confermato la decisione, scolpendo in motivazione tre architravi destinati a guidare la giurisprudenza successiva.
Sentenza radice
La pronuncia distingue tra “controlli a difesa del patrimonio aziendale che riguardano tutti i dipendenti” (soggetti per intero all’art. 4 novellato) e “controlli difensivi in senso stretto”, diretti ad accertare condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti. Solo questi ultimi si situano “all’esterno del perimetro applicativo dell’art. 4”, ma devono essere “mirati” e “attuati ex post”, cioe successivamente all’insorgere di un fondato sospetto.
La Corte ha inoltre richiamato il c.d. “principio di vicinanza della prova” (Cass. SS.UU. n. 13533 del 2001) e ha allineato il giudizio interno ai criteri elaborati dalla Corte EDU nel caso B___ c. Romania (Grande Camera, 5 settembre 2017): informazione preventiva, proporzionalita, garanzie procedurali e limiti spazio-temporali del monitoraggio.
L’albero genealogico: tre direttrici di sviluppo
Dalla sentenza-radice del 2023 si dipartono tre filoni distinti, ciascuno dei quali ha precisato un aspetto del principio originario. Il primo filone (Cass. 30079/2024) ha applicato il principio all’attivita delle agenzie investigative, estendendo la nozione di patrimonio aziendale tutelabile. Il secondo (Cass. 24204/2025) ha approfondito il versante della proporzionalita e dell’invasivita temporale del controllo. Il terzo (Cass. 32283/2025 e Cass. 32835/2025) ha tracciato i confini esterni del “controllo difensivo”, individuando cio che vi rientra e cio che ne resta fuori.
Principio fondativo
Codifica i tre pilastri: distinzione tra controlli difensivi lato sensu e stricto sensu; onere probatorio del datore sul fondato sospetto; necessario rispetto della disciplina generale GDPR e del Codice Privacy anche per i controlli che sfuggono al perimetro dell’art. 4 St. lav.
Applicazione fedele
La Corte applica la dottrina 18168/2023 al caso dell’agenzia investigativa privata. Conferma la legittimita del controllo perche aveva ad oggetto “atti illeciti del lavoratore non riconducibili al mero inadempimento dell’obbligazione contrattuale”, quali la falsa attestazione di orario e l’utilizzo abituale dell’automezzo aziendale per scopi personali.
Significativo l’ampliamento della nozione di patrimonio aziendale, che include anche “l’immagine esterna” e il “patrimonio reputazionale” dell’azienda, e l’affermazione secondo cui la tutela e tanto piu intensa quanto piu la prestazione si svolge fuori dai locali aziendali.
Precisazione su perimetro temporale e proporzionalita
La pronuncia approfondisce il versante della proporzionalita del controllo, anche quando avviene successivamente alla cessazione del rapporto. Nel caso di specie, una societa aveva acquisito – dopo le dimissioni dei dipendenti – migliaia di email scambiate da account personali confluiti sul server aziendale, allo scopo di provare condotte di concorrenza sleale e violazione dei doveri ex artt. 2104-2105 c.c.
La Corte riafferma la radicale inutilizzabilita dei dati personali trattati in violazione della disciplina privacy (art. 11, comma 2, D.Lgs. n. 196/2003 ratione temporis applicabile), anche quando le informazioni siano destinate a “far valere o difendere un diritto in sede giudiziaria”.
Confine definitorio: chat aziendale come strumento di lavoro
La sentenza segna un confine concettuale importante. La Corte di Cassazione, dichiarando inammissibile il ricorso del lavoratore per omessa impugnazione di una delle rationes decidendi, conferma implicitamente che la chat aziendale (nel caso, A___ Chime) puo essere qualificata come “strumento di lavoro” ai sensi dell’art. 4, comma 2, St. lav., con la conseguenza che le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto – inclusi quelli disciplinari – purche al lavoratore sia stata data “adeguata informazione delle modalita d’uso degli strumenti e di effettuazione dei controlli” e nel rispetto del Codice Privacy.
Il messaggio operativo e netto: prima ancora di invocare la categoria del controllo difensivo, occorre verificare se lo strumento da cui proviene la prova sia o meno qualificabile come “strumento di lavoro”. Se lo e, e se la policy aziendale e adeguata, l’utilizzo disciplinare e legittimo a prescindere dal fondato sospetto.
Confine esterno: controlli di polizia giudiziaria
L’arresto piu recente del cluster traccia il confine ulteriore. Quando l’accertamento dell’illecito avviene non attraverso strumenti di sorveglianza installati dal datore di lavoro, ma per opera della polizia giudiziaria nell’ambito di indagini penali – all’insaputa del datore – non si applica ne la disciplina dell’art. 4 St. lav. ne, per il pubblico impiego, il procedimento disciplinare accelerato ex art. 55-quater, commi 3-bis e 3-ter, D.Lgs. n. 165/2001.
La Corte conferma altresi la piena utilizzabilita, in sede di giudizio del lavoro, delle prove atipiche provenienti dal procedimento penale (ordinanze di custodia cautelare, video della G.d.F.).
L’immagine d’insieme: i quattro confini scolpiti dalla giurisprudenza
Aggregando i singoli arresti, emerge un sistema a quattro perimetri concentrici che il difensore deve saper distinguere con precisione, perche da essi dipende la disciplina applicabile e, soprattutto, l’utilizzabilita delle prove.
| Tipologia di controllo | Disciplina applicabile | Sentenza guida |
|---|---|---|
| Strumenti di lavoro (chat, email aziendale assegnata) usati a fini disciplinari | Art. 4, commi 2 e 3, St. lav. – solo informativa adeguata e rispetto del Codice Privacy | Cass. n. 32283/2025 |
| Controlli a tutela del patrimonio che incidono su tutti i dipendenti | Art. 4 St. lav. integralmente (accordo sindacale o autorizzazione Ispettorato + informativa + privacy) | Cass. n. 18168/2023 (richiamata) |
| Controllo difensivo in senso stretto su singolo dipendente (es. mail review, agenzia investigativa) | Fuori art. 4 St. lav., ma soggetto a: fondato sospetto, mirato, ex post, proporzionalita, GDPR/Codice Privacy | Cass. n. 18168/2023; Cass. n. 30079/2024; Cass. n. 24204/2025 |
| Indagini di polizia giudiziaria all’insaputa del datore | Fuori art. 4 St. lav. e fuori dalla disciplina del procedimento disciplinare accelerato | Cass. n. 32835/2025 |
I principi consolidati al maggio 2026
1. Onere probatorio del datore. Incombe sul datore di lavoro l’onere di allegare prima e provare poi le specifiche circostanze – materiali, riconoscibili e non espressione di puro convincimento soggettivo – che hanno determinato il “fondato sospetto” e l’attivazione del controllo difensivo (Cass. n. 18168/2023; Cass. n. 30079/2024).
2. Perimetro temporale dei dati utilizzabili. Possono essere utilizzati nel procedimento disciplinare solo i dati raccolti successivamente all’insorgere del fondato sospetto. L’esame ex post di dati precedentemente raccolti in violazione dell’art. 4 St. lav. non rende retroattivamente lecito il controllo (Cass. n. 18168/2023; Cass. n. 24204/2025).
3. Doppio binario di garanzia. Anche il controllo difensivo che si colloca fuori dall’art. 4 St. lav. deve rispettare la disciplina generale di protezione dei dati personali (Codice Privacy e Regolamento UE 2016/679), con applicazione dei principi di minimizzazione, proporzionalita, pertinenza, trasparenza e correttezza (Cass. n. 18168/2023; Cass. n. 24204/2025).
4. Qualificazione prioritaria dello strumento. Prima di invocare la disciplina del controllo difensivo, occorre verificare se lo strumento da cui proviene la prova sia qualificabile come “strumento di lavoro” ex art. 4, comma 2, St. lav. Se la qualifica e confermata e la policy aziendale e adeguata, l’utilizzo disciplinare e legittimo a prescindere dal fondato sospetto (Cass. n. 32283/2025).
5. Prove esterne al rapporto. Le risultanze di indagini di polizia giudiziaria sono utilizzabili nel giudizio del lavoro come prove atipiche, e non attivano la disciplina dell’art. 4 St. lav. ne, nel pubblico impiego, il procedimento disciplinare accelerato (Cass. n. 32835/2025).
Le ricadute pratiche
Dal punto di vista operativo, l’elaborazione giurisprudenziale degli ultimi due anni invita a un mutamento di postura sia processuale sia stragiudiziale. Per il datore di lavoro, l’epoca delle istruttorie investigative attivate “a strascico” sulla base di sospetti generici e ormai conclusa: ogni controllo difensivo deve essere preceduto e documentato da una segnalazione, una denuncia o un’evidenza oggettiva, da conservare con cura perche dovra essere portata in giudizio. Per il lavoratore impugnante, l’attenzione si sposta dalla legittimita “in se” dell’attivita investigativa alla verifica dell’effettiva dimostrazione, da parte del datore, delle circostanze materiali e cronologiche da cui sarebbe nato il sospetto.
Sul piano contrattuale e organizzativo, l’arresto del 2025 sulla chat aziendale (Cass. n. 32283/2025) sposta il baricentro sull’adozione di policy aziendali chiare, accessibili e formalmente sottoscritte: strumenti di lavoro ben “etichettati” e regolati permettono di evitare i terreni accidentati del controllo difensivo, ottenendo prove utilizzabili con minore esposizione al rischio di inutilizzabilita.
Consigli strategici per l’avvocato
- Per il difensore del lavoratore: nel ricorso ex art. 18 St. lav. o ex D.Lgs. n. 23/2015, allegare gia in fase iniziale l’inutilizzabilita dei dati posti a base della contestazione, indicando puntualmente la mancata allegazione del “fondato sospetto” e la natura massiva, indiscriminata o cronologicamente retroattiva del controllo. Richiamare espressamente l’onere probatorio del datore secondo Cass. n. 18168/2023 e Cass. n. 30079/2024 e, se il controllo ha riguardato comunicazioni elettroniche, eccepire anche la violazione della disciplina GDPR.
- Per il difensore del datore di lavoro: documentare in modo formale e temporalmente certo l’insorgere del sospetto (segnalazione interna scritta, denuncia, report di sistema), conservando ogni traccia che dimostri come la raccolta delle informazioni sia partita ex post. Privilegiare, ove possibile, l’inquadramento dei dati provenienti da chat, email assegnate e applicativi gestionali come “strumenti di lavoro” ex art. 4, comma 2, St. lav., adottando policy aziendali pubblicate, richiamate nei contratti individuali e accompagnate da informativa privacy GDPR-compliant.
- Per entrambi: nella fase istruttoria, sollecitare la produzione integrale della catena documentale che ha originato il controllo (segnalazioni, ordini di servizio, mandati alle agenzie investigative, log di sistema con timestamp), perche e su quella che si gioca il giudizio di legittimita. Tenere infine presente che il quadro continua a evolversi: ulteriori arresti su intelligenza artificiale generativa nei controlli aziendali e sui sistemi di geolocalizzazione sono attesi nei prossimi mesi e potranno aggiungere nuovi rami al citation graph qui ricostruito.
Il presente articolo ha finalita esclusivamente divulgative e informative. Non costituisce parere legale ne consulenza professionale. Le informazioni riportate si basano su pronunce della Corte di Cassazione reperite nella banca dati BuddaLaw e possono non riflettere l’evoluzione normativa o giurisprudenziale successiva alla data di pubblicazione. Per ogni questione specifica si raccomanda di rivolgersi a un professionista abilitato. L’autore e il gestore del sito declinano ogni responsabilita per l’uso improprio delle informazioni qui contenute.
Questo articolo e stato elaborato e redatto con il supporto di strumenti di intelligenza artificiale e potrebbe contenere errori. Le fonti giurisprudenziali sono state ricercate e verificate sulla banca dati BuddaLaw.