Controlli difensivi lavoratori per condotte estranee al rapporto

Di La Redazione di Diritto & Lavoro

Controlli difensivi lavoratori per condotte estranee al rapporto di lavoro: quadro normativo e giurisprudenziale

Capire dove finisce il legittimo controllo datoriale e dove inizia la violazione della privacy del lavoratore è una delle questioni più delicate del diritto del lavoro contemporaneo. Il tema dei controlli difensivi sui lavoratori per condotte estranee al rapporto di lavoro si colloca esattamente in questo spazio di tensione: da un lato il datore di lavoro ha interesse a tutelare il proprio patrimonio, la propria reputazione e i propri segreti aziendali; dall’altro, il lavoratore gode di garanzie costituzionali e statutarie che limitano la sorveglianza sul luogo di lavoro. Comprendere i confini di questa categoria permette di orientarsi correttamente sia nella gestione del personale sia nella difesa dei diritti individuali.

Il fondamento normativo: l’art. 4 dello Statuto dei Lavoratori

Il punto di partenza di qualsiasi ragionamento sui controlli difensivi è l’art. 4 della legge n. 300/1970 (Statuto dei Lavoratori), nella sua versione riformata dal d.lgs. n. 151/2015 (Jobs Act). La norma distingue tre categorie di strumenti:

• Strumenti di controllo a distanza in senso stretto (primo comma): vietati salvo accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, se giustificati da esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio aziendale.
• Strumenti di lavoro (secondo comma): computer, tablet, smartphone e simili assegnati al dipendente per svolgere la prestazione; i dati raccolti tramite questi strumenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro, purché sia stata fornita adeguata informativa.
• Strumenti di registrazione degli accessi e delle presenze (secondo comma): soggetti alla stessa disciplina degli strumenti di lavoro.

Il terzo comma precisa che le informazioni raccolte ai sensi dei commi precedenti sono utilizzabili «a tutti i fini connessi al rapporto di lavoro», nel rispetto del Codice della Privacy (d.lgs. n. 196/2003) e del Regolamento UE 2016/679 (GDPR). La riforma ha dunque ampliato le possibilità di utilizzo dei dati raccolti, ma non ha eliminato la distinzione tra controlli leciti e controlli illeciti, né ha reso superflua la categoria dei controlli difensivi.

Cosa sono i controlli difensivi: definizione e presupposti

La giurisprudenza ha elaborato la nozione di controlli difensivi per indicare quei controlli che il datore di lavoro pone in essere non per verificare l’adempimento della prestazione lavorativa, ma per accertare comportamenti illeciti del dipendente che ledono beni aziendali estranei al sinallagma contrattuale: furto, appropriazione indebita, divulgazione di segreti commerciali, concorrenza sleale, danneggiamento di beni aziendali.

Perché un controllo possa qualificarsi come difensivo in senso tecnico, la giurisprudenza richiede tradizionalmente tre condizioni cumulative:

1. Specificità: il controllo deve essere diretto ad accertare una condotta illecita determinata e non costituire una sorveglianza generalizzata e indifferenziata sull’attività lavorativa.
2. Estraneità al rapporto: la condotta che si intende accertare deve ledere beni o interessi che esulano dal normale rischio di impresa connesso all’inadempimento contrattuale del lavoratore.
3. Proporzionalità: i mezzi impiegati devono essere proporzionati all’entità del pregiudizio che si intende prevenire o accertare.

La distinzione tra condotta estranea al rapporto di lavoro e mero inadempimento contrattuale è il cuore del problema e la fonte principale del contenzioso giudiziario.

La sentenza n. 19922/2016: il caso del vigilante e il GPS

La Corte Suprema, con la sentenza n. 19922, è intervenuta in tema di controlli difensivi sui lavoratori per condotte estranee al rapporto di lavoro, confermando il seguente principio di diritto: «l’effettività del divieto di controllo a distanza dell’attività dei lavoratori richiede che anche per i cosiddetti controlli difensivi trovino applicazione le garanzie dell’art. 4 secondo comma legge n. 300/1970; ne consegue che, se per l’esigenza di evitare attività illecite o per motivi organizzativi o produttivi, il datore di lavoro può installare impianti o apparecchi di controllo che rilevino anche dati relativi alla attività lavorativa dei dipendenti, tali dati non possono essere utilizzati per provare l’inadempimento contrattuale dei lavoratori medesimi».

Il caso riguardava un addetto alla vigilanza, licenziato poiché nel proprio giro di controllo aveva omesso alcune aziende clienti. Dopo le lamentele di una di esse, la prova della violazione disciplinare era stata ottenuta incrociando i dati registrati dal sistema GPS dell’auto aziendale del lavoratore e da un altro software (patrol manager) usato per lasciare bigliettini «virtuali» di controllo presso le aziende clienti.

Tali sistemi erano stati installati dalla ditta di vigilanza — come disposto dall’art. 4 della legge n. 300/1970 — con accordo sindacale, che espressamente ne prevedeva l’inutilizzabilità ai fini del controllo a distanza dei lavoratori. Il datore di lavoro aveva comunque sostenuto l’utilizzabilità dei dati raccolti, in quanto i controlli sarebbero stati svolti a scopi difensivi, per verificare ex post, sulla base di fondati sospetti, l’illiceità del comportamento del dipendente e tutelare il patrimonio e l’immagine aziendale.

La Suprema Corte ha ribadito l’orientamento restrittivo secondo cui, anche quando il datore di lavoro agisca per controlli «difensivi», ciò debba avvenire nel rispetto dell’art. 4 dello Statuto. A conferma della decisione di merito, la Cassazione ha ritenuto illegittimo il licenziamento, cogliendo l’occasione per meglio definire i confini dei controlli difensivi in due aspetti fondamentali.

Prima precisazione: la generalità del sistema esclude la natura difensiva

La Corte ha ritenuto «non difensivi» i controlli in quanto basati su sistemi — GPS e software — già da tempo installati in modo generalizzato e non adottati specificamente per far fronte a un illecito determinato. Questa precisazione, per quanto discussa in dottrina, ribadisce che il controllo difensivo non può essere la riqualificazione postuma di una sorveglianza strutturale e continuativa: deve nascere come risposta mirata a un sospetto concreto e circoscritto.

→ Leggi anche: Abusi contrattuali nel lavoro temporaneo: cosa vieta la legge italiana

Seconda precisazione: inadempimento contrattuale ≠ condotta estranea al rapporto

Il passaggio più significativo della sentenza riguarda la distinzione tra condotta lesiva di beni estranei al rapporto di lavoro e danno derivante dal negligente adempimento della prestazione. La Corte ha chiarito che il controllo difensivo può dirsi legittimo solo ove sia posto in essere per evitare una specifica condotta lesiva di beni estranei al rapporto di lavoro e non un generico danno per il datore, derivante dal negligente adempimento della prestazione lavorativa da parte dei dipendenti, costituendo questo — a detta della Corte — un naturale rischio d’impresa. La vigilanza omessa dal lavoratore presso le aziende clienti metteva a rischio la reputazione aziendale, ma ciò altro non era che la conseguenza dell’inadempimento del dipendente ai propri doveri contrattuali: non una condotta illecita autonoma, estranea al sinallagma.

L’evoluzione giurisprudenziale dopo il Jobs Act: le Sezioni Unite del 2023

Il dibattito sui controlli difensivi non si è esaurito con la sentenza del 2016. La riforma dell’art. 4 operata dal Jobs Act ha aperto nuovi interrogativi: se gli strumenti di lavoro possono generare dati utilizzabili «a tutti i fini connessi al rapporto di lavoro», la categoria dei controlli difensivi conserva ancora autonoma rilevanza?

Le Sezioni Unite della Cassazione, con la sentenza n. 22910 del 2023, hanno fornito una risposta articolata, distinguendo due sottocategorie di controlli difensivi:

• Controlli difensivi in senso stretto: diretti ad accertare comportamenti illeciti del lavoratore lesivi del patrimonio e dell’immagine aziendale, che esulano dalla prestazione lavorativa. Questi controlli restano soggetti alle garanzie dell’art. 4, primo comma, anche dopo la riforma, e richiedono accordo sindacale o autorizzazione amministrativa.
• Controlli difensivi in senso lato: effettuati tramite strumenti di lavoro assegnati al dipendente, che ricadono nel secondo comma dell’art. 4 riformato. In questo caso, i dati sono utilizzabili purché sia stata fornita adeguata informativa al lavoratore e siano rispettate le norme sulla privacy.

La distinzione è cruciale nella pratica: un’azienda che monitora la posta elettronica aziendale del dipendente tramite il server aziendale — strumento di lavoro — deve rispettare il secondo comma e fornire informativa; un’azienda che installa una telecamera nascosta per sorprendere un dipendente sospettato di furto deve rispettare il primo comma e ottenere accordo sindacale o autorizzazione.

Il commento del Sole 24 Ore sulla sentenza n. 19922

Di controlli difensivi di cui alla sentenza n. 19922 ci parla anche l’articolo pubblicato dal Sole 24 Ore (Firma: Uberto Percivalle e Mila Vasile; Titolo: «Controlli difensivi solo se mirati») che riproduciamo di seguito per completezza del quadro.

I «controlli difensivi» sui dipendenti devono riguardare comportamenti specifici che esulano il rapporto di lavoro. Questa l’indicazione contenuta nella sentenza 19922 della Cassazione relativa a un caso di licenziamento a seguito di controlli effettuati in base all’articolo 4 dello Statuto dei lavoratori nel testo ante riforma Jobs Act.

Il caso riguardava un addetto alla vigilanza, licenziato poiché nel proprio giro di controllo, aveva omesso alcune aziende clienti. Dopo le lamentele di una di esse, la prova della violazione disciplinare era stata ottenuta incrociando i dati registrati dal sistema Gps dell’auto aziendale del lavoratore e da un altro software (patrol manager) usato per lasciare bigliettini «virtuali» di controllo presso le aziende clienti.

Tali sistemi erano stati installati dalla ditta di vigilanza (come disposto dall’articolo 4 della legge 300/1970) con accordo sindacale, che espressamente ne prevedeva l’inutilizzabilità ai fini del controllo a distanza dei lavoratori. Il datore di lavoro aveva comunque sostenuto l’utilizzabilità dei dati raccolti, in quanto i controlli sarebbero stati svolti a scopi difensivi, per verificare ex post, sulla base di fondati sospetti, l’illiceità del comportamento del dipendente e tutelare il patrimonio e l’immagine aziendale.

La Suprema corte ha ribadito l’orientamento restrittivo secondo cui, anche quando il datore di lavoro agisca per controlli «difensivi», ciò debba avvenire nel rispetto dell’articolo 4 dello Statuto. A conferma della decisione di merito, la Cassazione ha ritenuto illegittimo il licenziamento, cogliendo l’occasione per meglio definire i confini dei controlli difensivi in due aspetti. Le precisazioni, pur sul solco di altre decisioni, paiono aggiungere spunti nuovi.

Per un verso la Corte ha ritenuto «non-difensivi» i controlli, in quanto basati su sistemi (Gps e software) già da tempo installati in modo generalizzato e non adottati solo per far fronte a un illecito specifico. Per altro verso, ha ritenuto che il controllo difensivo possa dirsi legittimo solo ove sia posto in essere per evitare una specifica condotta lesiva di beni estranei al rapporto di lavoro e non un generico danno per il datore, derivante dal negligente adempimento della prestazione lavorativa da parte dei dipendenti, costituendo questo – a detta della Corte – un naturale rischio d’impresa. La vigilanza omessa dal lavoratore presso le aziende clienti metteva a rischio la reputazione aziendale, ma ciò altro non era che la conseguenza dell’inadempimento del dipendente ai propri doveri.

La prima precisazione appare curiosa e non molto chiara: posto che l’azienda aveva legittimamente adottato il sistema Gps e il patrol control per finalità non di controllo, l’eventuale esimente «difensiva» del loro uso a fini di controllo dovrebbe essere valutata solo in base a tali esigenze specifiche sopravvenute.

→ Leggi anche: Diritto alla riservatezza del lavoratore: i limiti legali al controllo via email, GPS e telecamere in azienda

La seconda interessante precisazione fa invece sorgere una domanda: a cosa porterebbe la posizione della corte, se avesse dovuto decidere applicando l’articolo 4 post-Jobs act («…le informazioni raccolte…sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto» dalla disciplina privacy). Sembra ragionevole ritenere che, a condizione che ne fosse stata data adeguata informativa, l’azienda avrebbe potuto validamente verificare, a seguito delle lamentele della clientela, le risultanze del Gps, anche a fini disciplinari. Per la conferma, dovremo attendere nuove decisioni: questa volta i giudici non hanno voluto darci anteprime.

Controlli difensivi e GDPR: il ruolo del Garante per la protezione dei dati personali

Il quadro normativo sui controlli difensivi non può essere analizzato senza considerare il Regolamento UE 2016/679 (GDPR) e le linee guida del Garante per la protezione dei dati personali. Il trattamento dei dati raccolti attraverso sistemi di controllo — GPS, badge, software di monitoraggio, log di navigazione — costituisce trattamento di dati personali e deve rispettare i principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione.

In particolare, il datore di lavoro che intenda avvalersi di dati raccolti tramite strumenti tecnologici a fini disciplinari deve:

• aver fornito al lavoratore un’informativa completa e preventiva (art. 13 GDPR) sulle modalità di raccolta e utilizzo dei dati;
• individuare una base giuridica idonea per il trattamento (tipicamente il legittimo interesse del titolare, bilanciato con i diritti del lavoratore);
• rispettare il principio di proporzionalità, evitando trattamenti più invasivi del necessario rispetto allo scopo perseguito;
• conservare i dati per il tempo strettamente necessario all’accertamento dell’illecito.

Il Garante ha adottato nel corso degli anni numerosi provvedimenti in materia di controllo dei lavoratori, ribadendo che la sorveglianza sistematica e continuativa — anche se tecnicamente consentita dall’art. 4, secondo comma, dello Statuto — può risultare sproporzionata e quindi illecita sotto il profilo del GDPR.

Distinzioni operative per il professionista: quando il controllo è difensivo e quando non lo è

Per chi opera nella consulenza del lavoro o nella difesa giudiziale, la distinzione tra controllo difensivo legittimo e controllo illecito si traduce in una serie di verifiche concrete. La tabella concettuale che segue sintetizza i criteri discriminanti elaborati dalla giurisprudenza.

Il controllo è potenzialmente difensivo e legittimo quando:

• è attivato in risposta a un sospetto concreto e specifico di condotta illecita (furto, appropriazione indebita, concorrenza sleale, divulgazione di segreti aziendali);
• la condotta sospettata lede beni aziendali che esulano dal normale rischio di impresa connesso all’inadempimento contrattuale;
• il sistema di controllo è proporzionato e non costituisce sorveglianza generalizzata preesistente;
• sono rispettate le procedure dell’art. 4, primo comma (accordo sindacale o autorizzazione) oppure si tratta di strumenti di lavoro con adeguata informativa (secondo comma).

Il controllo non è difensivo — e i dati raccolti sono inutilizzabili — quando:

• mira ad accertare il mero inadempimento contrattuale del lavoratore (negligenza, scarso rendimento, assenze ingiustificate);
• si basa su sistemi di sorveglianza generalizzata installati senza accordo sindacale o autorizzazione e riqualificati ex post come difensivi;
• non è stata fornita al lavoratore alcuna informativa preventiva sull’utilizzo dei dati a fini disciplinari;
• la condotta accertata rientra nel normale rischio d’impresa e non integra un illecito autonomo.

FAQ sui controlli difensivi lavoratori per condotte estranee al rapporto

Cosa si intende per «condotta estranea al rapporto di lavoro» ai fini dei controlli difensivi?

Si intende un comportamento del lavoratore che, pur avvenendo nel contesto lavorativo, integra un illecito autonomo lesivo di beni aziendali non riconducibili al normale rischio di impresa: furto, appropriazione indebita, divulgazione di segreti commerciali, concorrenza sleale, danneggiamento doloso. Non rientra in questa categoria il mero inadempimento contrattuale — come la negligenza nell’esecuzione della prestazione — che costituisce un rischio fisiologico del rapporto di lavoro.

Il datore di lavoro può usare il GPS dell’auto aziendale per provare un illecito disciplinare?

Dipende dalla qualificazione del sistema e dalla procedura seguita. Se il GPS è installato con accordo sindacale o autorizzazione dell’Ispettorato del Lavoro e l’accordo non ne esclude l’uso disciplinare, i dati possono essere utilizzati. Se invece l’accordo sindacale esclude espressamente tale utilizzo — come nel caso deciso dalla sentenza n. 19922 — i dati sono inutilizzabili. Dopo la riforma del Jobs Act, se il GPS è qualificabile come strumento di lavoro e il lavoratore ha ricevuto adeguata informativa, i dati sono in linea di principio utilizzabili a fini disciplinari.

I controlli difensivi richiedono sempre l’accordo sindacale?

Non sempre. Secondo la distinzione operata dalle Sezioni Unite del 2023, i controlli difensivi in senso stretto — che non passano attraverso strumenti di lavoro assegnati al dipendente — richiedono il rispetto dell’art. 4, primo comma, e quindi accordo sindacale o autorizzazione amministrativa. I controlli effettuati tramite strumenti di lavoro (secondo comma) non richiedono accordo sindacale, ma impongono l’adeguata informativa al lavoratore.

Un licenziamento basato su dati raccolti in violazione dell’art. 4 è sempre illegittimo?

In linea generale sì: i dati raccolti in violazione delle garanzie dell’art. 4 sono inutilizzabili a fini disciplinari, e un licenziamento fondato esclusivamente su tali prove è privo di giusta causa o giustificato motivo soggettivo. Tuttavia, se il datore di lavoro dispone di ulteriori elementi probatori raccolti lecitamente, il licenziamento può essere sorretto da una base probatoria autonoma e sufficiente.

Il GDPR ha cambiato qualcosa rispetto alla disciplina dei controlli difensivi?

Il GDPR ha aggiunto un ulteriore livello di tutela: anche quando il controllo è formalmente lecito ai sensi dell’art. 4 dello Statuto, il trattamento dei dati raccolti deve rispettare i principi del Regolamento europeo. In particolare, il principio di proporzionalità e la necessità di un’informativa preventiva completa rappresentano requisiti autonomi rispetto a quelli statutari, la cui violazione può rendere illecito il trattamento indipendentemente dalla conformità alla legge n. 300/1970.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.