Il datore di lavoro può svolgere controlli tecnologici su un singolo lavoratore se emerge un fondato sospetto circa la commissione di un illecito anche in assenza delle condizioni previste dall’articolo 4 dello Statuto dei lavoratori, a patto che sussistano alcune condizioni: deve essere assicurato un corretto bilanciamento tra le esigenze di protezione dei beni aziendali e la tutela della dignità personale, e il controllo deve riguardare dati acquisiti dopo l’insorgenza del sospetto.
Con l’affermazione di questo principio di diritto, la Cassazione (sentenza 25732/21 pubblicata ieri) ricostruisce i principi da applicare in tema di controllo a distanza dei lavoratori nel caso in cui sussista il sospetto della commissione di un illecito.
La controversia riguarda una Fondazione che ha subito un danno alla rete informatica per via di un virus. A seguito di accertamenti effettuati sul computer di una dipendente, l’ente ha appurato che tale virus era stato introdotto nella rete aziendale attraverso un file scaricato dalla lavoratrice da siti web visitati per ragioni private, estranee all’attività lavorativa. La dipendente è stata licenziata, sia per aver utilizzato i mezzi informatici messi a disposizione dal datore di lavoro per fini privati, sia per i danni causati al patrimonio aziendale dalla sua condotta; oltre ha impugnare il licenziamento, la lavoratrice ha ottenuto un provvedimento del Garante Privacy con il quale è stata intimata al datore di lavoro l’immediata interruzione di qualsiasi ulteriore trattamento dei dati personali.
Dopo diverse pronunce contrastanti, la vicenda è finita in Corte di cassazione, dove i giudici di legittimità, con la sentenza 25732, hanno fatto ordine sui principi guida da applicarsi su un tema così delicato, anche tenendo conto delle innovazioni all’articolo 4 dello Statuto apportare nel 2015 dal Jobs Act.
La Suprema corte ha, innanzitutto, fatto chiarezza sul tema dei cosiddetti “controlli difensivi”, ricordando che è necessario distinguere tra i controlli che vengono svolti a difesa del patrimonio aziendale e che riguardano tutti i dipendenti, e i controlli relativi a singoli lavoratori verso i quali sussiste il fondato sospetto della commissione di un illecito. La prima tipologia di controlli, secondo la sentenza della Corte, rientra pienamente nel campo di applicazione dell’articolo 4 dello Statuto e, come tale, è soggetta alle regole e alle procedure previste da tale norma, a pena di illegittimità dei controlli medesimi. La seconda tipologia di controlli, invece, deve ritenersi estranea al perimetro applicativo dell’articolo 4, in quanto scaturisce dalla necessità di accertare e sanzionare gravi illeciti di un singolo lavoratore: questo vuol dire che se un datore di lavoro sospetta che un dipendente stia commettendo un illecito, può effettuare controlli a distanza utilizzando strumenti tecnologici senza seguire le rigide procedure previste dallo Statuto dei lavoratori.
Questa facoltà, secondo i giudici, incontra un limite importante: il controllo difensivo dovrebbe essere attuato ex post, ossia dopo che il datore di lavoro abbia avuto il fondato sospetto che sia stato compiuto un illecito da parte di uno o più lavoratori. Questo tipo di controllo può, inoltre, estendersi solo alla raccolta delle informazioni acquisite dal quel momento in poi, non potendo invece abbracciare le informazioni e i dati acquisiti senza il rispetto dell’articolo 4 prima di quel momento: in tal modo, infatti, si finirebbe per estende a dismisura l’area del controllo difensivo.