Controllo sul computer aziendale: quando è legittimo?

Il datore di lavoro  può eseguire un controllo sul computer aziendale di un singolo lavoratore se ha un fondato sospetto circa la commissione di un illecito da parte di quest’ultimo, a condizione che sia assicurato un corretto bilanciamento tra le esigenze di protezione dei beni aziendali e la tutela della dignità e della riservatezza del lavoratore e che, soprattutto, il controllo abbia ad oggetto dati acquisiti dopo l’insorgenza del sospetto (cfr. Corte di Cassazione, sez. lav., 22 settembre 2021, n. 25732)

 

Il fatto

 

Una lavoratrice veniva licenziata per giusta causa perché, durante l’orario di lavoro, aveva utilizzato il computer aziendale per visitare numerosi siti web per ragioni private. Durante una di queste sessioni di navigazione, aveva scaricato un file affetto da un virus. Il virus si era poi propagato per tutta la rete aziendale, criptando files, rendendoli illeggibili e, quindi, inutilizzabili.

Il datore di lavoro veniva a conoscenza dei tempi e della quantità di navigazione della lavoratrice in occasione di un controllo sul computer aziendale, eseguito per individuare quale fosse la fonte del virus che aveva causato gravi danni al patrimonio aziendale.

La lavoratrice impugnava il licenziamento, invocando, fra l’altro, anche la violazione dell’art. 4 dello Statuto dei Lavoratori, che fissa le regole per i controlli a distanza che il datore di lavoro può eseguire sul lavoratore, mediante analisi degli strumenti informatici dati in dotazione.

 

I giudizi di merito

 

Il Tribunale dichiarava l’illegittimità del licenziamento e disponeva la reintegra nel posto di lavoro.

Il Tribunale escludeva la violazione dell’art. 4 l. 300/70, perché il controllo sul computer aziendale era stato eseguito per bonificare il sistema informatico dal virus e non per sorvegliare l’adempimento della prestazione lavorativa. Il licenziamento, tuttavia, era illegittimo perché considerato quale sanzione eccessivamente sproporzionata rispetto ai fatti contestati. Le mansioni della lavoratrice non erano incompatibili con il numero degli accessi riscontrati, molti dei quali avvenuti in orario notturno, e dunque non ricorreva un’ipotesi di sostanziale interruzione della prestazione lavorativa.

Anche la Corte d’Appello confermava che l’art. 4 l. 300/70 non poteva dirsi violato.

Il contenzioso approdava pertanto in Cassazione.

 

Il caso di specie: il controllo sul computer aziendale è illegittimo

 

Il corpo centrale della sentenza in commento è dedicato all’esegesi dell’art. 4 l. 300/70, nella sua formulazione ante e post Jobs Act. Prima di ripercorrere tali passaggi, però, riportiamo la decisione della Suprema Corte per il caso sopraesposto.

La Suprema Corte accoglie il primo motivo della lavoratrice, con il quale veniva denunciata la violazione e la falsa applicazione dell’art. 4 l. 300/70, ritenendo che il controllo posto in essere dal datore di lavoro sul computer aziendale assegnato alla dipendente fosse stato illegittimo. Per giungere a questa conclusione e per verificare la legittimità o meno della raccolta o dell’utilizzo dei dati, la Suprema Corte ritiene necessario rispondere a specifici quesiti:

1. il datore aveva un fondato sospetto circa l’attività illecita compiuta dal lavoratore e dei danni provocati?
2. era stato assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali e la dignità e la riservatezza del lavoratore?
3. i dati informatici rilevanti, utilizzati poi in sede disciplinare, sono stati raccolti prima o dopo l’insorgere del fondato sospetto?

Dopo aver  verificato, nel caso in esame, la sussistenza del  fondato sospetto e il corretto bilanciamento dei diversi interessi in gioco, la Suprema Corte ha accolto il ricorso della lavoratrice in ragione della mancata verifica da parte del Giudice di merito dell’ultimo profilo di indagine prospettato, relativo al momento di effettiva raccolta dei dati informatici poi trasfusi nella contestazione d’addebito, pronunciando il seguente principio di diritto:

“Sono consentiti i controlli anche tecnologici posti in essere dal datore di lavoro finalizzati alla tutela di beni estranei al rapporto di lavoro o ad evitare comportamenti illeciti, in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto. Non ricorrendo le condizioni suddette la verifica della utilizzabilità a fini disciplinari dei dati raccolti dal datore di lavoro andrà condotta alla stregua della L. n. 300 del 1970, art. 4, in particolare dei suoi commi 2 e 3”

 

Scopri la nostra consulenza in materia di diritto del Lavoro

 

Una panoramica sui “controlli difensivi”

 

Il testo originario dell’art. 4 Statuto dei Lavoratori

 

La Suprema Corte offre una panoramica sul tema dei “controlli difensivi” eseguiti dal datore di lavoro per accertare i comportamenti illeciti e lesivi del patrimonio e dell’immagine aziendale. La loro peculiarità è quella di non rientrare nel campo di applicazione dell’art. 4 della l. 300/70, perché, ai fini della loro legittimità, non è richiesta né l’autorizzazione sindacale né quella amministrativa.

La Corte analizza il testo originario dell’art. 4 l. 300/70 e spiega come esistessero due distinti livelli di tutela della sfera privata del lavoratore:

– il primo, di portata maggiore, accordato dal comma 1, prevedeva il divieto assoluto di utilizzo di strumenti che permettessero il controllo a distanza del lavoratore;

– il secondo, era quello affievolito, disciplinato dal comma 2, ammetteva i controlli, purché fossero rispettate specifiche procedure di garanzia (accordo con le rappresentanze sindacali o, in difetto, intervento dell’Ispettorato del lavoro).

Secondo la Suprema Corte la particolarità dei controlli difensivi consiste nel fatto che possono essere svolti anche in difetto dei presupposti di legittimità di cui al comma 2 dell’art. 4 l. 300/70 in presenza di tre condizioni:

1. il controllo deve essere specificatamente finalizzato ad accertare determinati comportamenti illeciti del lavoratore;
2. gli illeciti da accertare dovevano essere lesivi del patrimonio o dell’immagine aziendale;
3. i controlli dovevano essere disposti ex post ossia dopo l’attuazione del comportamento in addebito o il sospetto della sua commissione.

In ogni caso, anche nella versione originaria della norma, il datore di lavoro non poteva esercitare liberamente i controlli difensivi, ma doveva rispettare i principi di buona fede e correttezza, nonché i principi di proporzionalità e pertinenza.

 

Il testo del nuovo art. 4 Statuto dei Lavoratori: si può ancora parlare di “controlli difensivi”

 

Ciò chiarito, la Suprema Corte esamina il testo dell’art. 4 l. 300/70, così come riformato nel 2015, e si chiede se i controlli difensivi come sopra definiti esulino, o meno, dal campo di applicazione di tale disposizione.

A seguito delle modifiche introdotte con la riforma del 2015, l’art. 4 l. 300/70, in sintesi, prevede:

1. la possibilità per il datore di lavoro di controllare a distanza l’attività dei lavoratori esclusivamente per a) esigenze organizzative e produttive; b) sicurezza del lavoro; c) tutela del patrimonio aziendale, previo accordo collettivo stipulato dalla RSU o previa autorizzazione della DTL;
2. l’esclusione dalla disciplina di cui sopra in relazione agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze;
3. la specificazione che le informazioni in tal modo raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che al lavoratore venga data un’adeguata informazione sulle modalità d’uso degli strumenti e sull’effettuazione dei controlli, anche nel rispetto di quanto previsto dal d.lgs. n. 196/2003.

Nel nuovo testo, è specificatamente inserita l’ipotesi di controllo a distanza finalizzato alla tutela del patrimonio aziendale e anche per essa è richiesta l’autorizzazione sindacale o quella amministrativa. Tale modifica ha spinto giurisprudenza e dottrina ad interrogarsi circa la sopravvivenza della categoria dei controlli difensivi come sopra definiti.

Con la pronuncia in commento, la Suprema Corte distingue tra:

• controlli difensivi in senso lato, che richiedono il rispetto delle garanzie previste dall’art. 4, perché riguardano tutti i dipendenti nello svolgimento della prestazione di lavoro che li pone a contatto con il patrimonio aziendale;
• controlli difensivi in senso stretto, che invece esulano dall’art. 4, anche se effettuati con strumenti tecnologici, perché non hanno ad oggetto la normale attività del lavoratore, ma sono diretti ad accertare specifiche condotte illecite ascrivibili, in base a concreti indizi, a singoli dipendenti.

Tale ultima categoria di controlli è dunque sempre mirata, in relazione ad uno specifico comportamento del dipendente, e viene eseguita ex post, in un momento successivo all’insorgenza del fondato sospetto, risultando legata ad un evento eccezionale e straordinario che richiede l’accertamento di gravi illeciti commessi dal singolo lavoratore e si situa, anche oggi, all’esterno del perimetro applicativo dell’art. 4.

 

Scopri la nostra consulenza in materia di diritto del lavoro

 

Potrebbe interessarti anche “Rinuncia al preavviso e obblighi contributivi”