Il caso in esame riguardava il controllare il pc in uso al dipendente da parte di un datore di lavoro. In particolare veniva contestato al dipendente l’impiego di strumenti informatici di lavoro a fini privati ed in violazione delle disposizioni impartite in ordine all’utilizzo degli stessi nonché dei più elementari doveri di diligenza, correttezza e buona fede nell’esecuzione della prestazione; l’accertata interruzione della prestazione lavorativa, considerati i tempi di navigazione per fini privati; di aver causato gravi danni al patrimonio aziendale sia per la perdita dei dati sia per l’impossibilità per la società datrice di lavoro di accedere alle cartelle elettroniche danneggiate per tutto il tempo necessario al ripristino del sistema; la recidiva, tenuto conto dell’evenienza che, a fronte di una precedente contestazione disciplinare, le era stata applicata, la sanzione del licenziamento per giusta causa, successivamente convertita in via transattiva in sospensione dal servizio.

Le giustificazioni della lavoratrice non erano ritenute idonee a far venir meno gli addebiti e la società procedeva con il licenziamento.

La lavoratrice con ricorso ai sensi ex art. 145 d.lgs. n. 196/2003 adiva l’Autorità Garante per la Protezione dei Dati Personali che ordinava alla società datrice di lavoro di astenersi dall’effettuare qualsiasi ulteriore trattamento dei dati acquisiti dalla cronologia del browser Google Chrome del computer aziendale in uso alla ricorrente per il periodo di interesse, fatta eccezione per la mera conservazione degli stessi ai fini della loro eventuale acquisizione da parte giudiziaria.

All’esito della fase sommaria il Tribunale rigettava il ricorso.

In sede di opposizione veniva invece dichiarata l’illegittimità del recesso e disposta la reintegrazione della lavoratrice nel posto di lavoro

In sede di opposizione, il Tribunale – giudice del lavoro – riteneva che:

la delibera dell’Autorità Garante non ostava alla utilizzazione nel processo dei dati estratti dal computer aziendale in uso alla lavoratrice;
l’acquisizione dei già menzionati dati non si era risolta in un controllo a distanza vietato dall’art. 4 L. n. 300 del 1970, perché la verifica del datore di lavoro era finalizzata a bonificare il sistema informatico dal virus che ne poneva in pericolo il funzionamento, senza alcun intento di sorvegliare la lavoratrice;
il comportamento della lavoratrice non aveva in ogni caso esposto la società datrice di lavoro al rischio dell’applicazione di una sanzione, e, tenuto conto di vari fattori, non si poteva ritenere che il suo comportamento avesse leso irreparabilmente il rapporto di fiducia con la società tanto da legittimare un provvedimento espulsivo.
Investita del reclamo dalla datrice di lavoro e di quello incidentale della lavoratrice, la Corte di appello di Roma, in riforma della sentenza del Tribunale, rigettava il ricorso introduttivo proposto dalla lavoratrice ricorrente, che condannava al pagamento delle spese di entrambi i gradi del giudizio.

La Corte territoriale, tra l’altro:

aveva escluso che fosse configurabile la violazione dell’art. 4 dello Statuto dei lavoratori atteso che, come già accertato dal Tribunale, il controllo sul computer aziendale della lavoratrice si era reso necessario per verificare l’origine del virus;
aveva ritenuto che l’ingente numero di accessi ad internet avesse natura ludica e privata;
aveva, poi, ritenuto provata l’intenzionalità della condotta e proporzionata la sanzione in relazione alla avvenuta violazione delle disposizioni di cui al contratto collettivo nazionale del lavoro applicato dalla datrice di lavoro, avendo la lavoratrice consapevolmente trasgredito alle disposizioni aziendali inerenti all’uso degli strumenti informatici.
I motivi di ricorso
Per la cassazione della sentenza ricorreva la lavoratrice con tre motivi ai quali resisteva con controricorso società datrice di lavoro.

Con il primo motivo di ricorso si denunciava la violazione e falsa applicazione dell’art. 2119 cod. civ. dell’art. 4 della legge 20 maggio 1970 n. 300, dell’art. 160 comma 6 del Codice della privacy, dell’art. 2702 e ss. cod. civ. e degli artt. 115 e 245 cod. proc. civ. per avere ritenuto utilizzabili a fini disciplinari e comunque dimostrabili le informazioni acquisite in violazione dei diritti di informativa e dei diritti stabiliti dal codice della privacy.

Con il secondo motivo di ricorso si denunciava la violazione e falsa applicazione dell’art. 2119 cod. civ., dell’art. 18 comma 4 legge 20 maggio 1970 n. 300 nonché degli artt. 1362,1363, 1364 e 1365 cod. civ. e dell’art. 1370 cod. civ. con riguardo alle disposizioni del codice etico e del sistema disciplinare della società che prevedevano l’applicazione di sanzioni espulsive sulla base di una graduazione di mancanze da gravi a gravissime legate anche all’esistenza di danni per il datore di lavoro, evidenziando la lavoratrice che per il licenziamento per giusta causa sarebbe stata necessaria una condotta in violazione di una o più regole o principi previsti dal Modello, Codice Etico, Protocolli e dagli obblighi informativi dell’organismo di vigilanza tale da esporre la società al rischio di una sanzione prevista dal d.lgs. n. 231 del 2001 e da ledere irreparabilmente il vincolo fiduciario

Con il terzo motivo di ricorso si denunciava la violazione dell’art. 112 cod. proc. civ., degli artt. 1362, 1363, 1364 e 1365 cod. civ. e degli artt. 347 cod. proc. civ. con riferimento alla eccezione di tardività della sanzione sospensiva di 10 giorni applicata alla lavoratrice.

Con precipuo riferimento alla tematica dei controlli, di nostro interesse in questa sede, la Corte prima di fissare la propria decisione effettua un excursus della normativa in tema di “controlli difensivi” e quindi dell’art. 4 St. lav.

Come noto, l’originaria versione dell’art. 4 St. lav. rubricata “Impianti audiovisivi” disponeva:

«1. È vietato l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori. 2. Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti. 3. Per gli impianti e le apparecchiature esistenti, che rispondano alle 8 Corte di Cassazione – copia non ufficiale _ r.g. n. 16932/2019 caratteristiche di cui al secondo comma del presente articolo, in mancanza di accordo con le rappresentanze sindacali aziendali o con la commissione interna, l’Ispettorato del lavoro provvede entro un anno dall’entrata in vigore della presente legge, dettando all’occorrenza le prescrizioni per l’adeguamento e le modalità di uso degli impianti suddetti. 4. Contro i provvedimenti dell’Ispettorato del lavoro, di cui al precedente secondo e terzo comma, il datore di lavoro, le rappresentanze sindacali aziendali o, in mancanza di queste, la commissione interna, oppure i sindacati dei lavoratori di cui al successivo art. 19 possono ricorrere, entro 30 giorni dalla comunicazione del provvedimento, al Ministro per il lavoro e la previdenza sociale”.

L’originaria versione dell’art. 4 St. lav. prevedeva due livelli di protezione della sfera privata del lavoratore:

uno pieno, mediante la previsione del divieto assoluto di uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo fine a sé stesso;
l’altro affievolito, ove le ragioni del controllo fossero state riconducibili ad esigenze oggettive dell’impresa, ferma restando l’attuazione del controllo stesso con l’osservanza di determinate “procedure di garanzia».
Quanto alla ratio, la giurisprudenza della Suprema Corte aveva già evidenziato, da un lato:

che la disposizione in esame era diretta a contenere in vario modo le manifestazioni del potere organizzativo e direttivo del datore di lavoro che, per le modalità di attuazione incidenti nella sfera della persona, potevano ritenersi lesive della dignità e della riservatezza del lavoratore, e
che la garanzia procedurale prevista per impianti ed apparecchiature ricollegabili ad esigenze produttive contemperava l’esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro relativamente alla organizzazione, produzione e sicurezza del lavoro.
La Corte precisava anche «questione centrale, dal punto di vista del tema che oggi occupa la Corte, era verificare se l’esigenza di tutela del patrimonio aziendale potesse esonerare il datore di lavoro intenzionato ad installare apparecchiature di controllo a distanza indipendentemente dalla necessità di ottenere l’accordo sindacale o l’autorizzazione amministrativa».

decisioni degli ermellini, sul punto, erano intervenute più volte e, onde consentire al datore di lavoro di contrastare comportamenti illeciti del personale, aveva teorizzato la categoria dei c.d. “controlli difensivi” che esulerebbero dall’ambito di applicazione dell’art. 4, co. 2, St. lav. (nel testo anteriore alle modifiche di cui all’art. 23, co. 1, del D.Lgs. n. 151 del 2015) e che non richiederebbero l’osservanza delle garanzie ivi previste da parte del datore nell’ipotesi in cui predetti controlli fossero diretti ad accertare comportamenti illeciti e lesivi del patrimonio e dell’immagine aziendale, tanto più se disposti ex post, ossia dopo l’attuazione del comportamento in addebito, così da non poter essere considerati alla stregua di controlli ai fini della mera sorveglianza sull’esecuzione della prestazione lavorativa.

In altri termini, i controlli datoriali a distanza, detti “difensivi”, non sarebbero assoggettati ai presupposti di legittimità stabiliti dal previgente art. 4, co. 2, St. Lav. in presenza di due condizioni necessarie e di una eventuale:

in primo luogo, risulterebbe indispensabile che l’iniziativa datoriale abbia la finalità specifica di accertare determinati comportamenti illeciti del lavoratore;
l’altro presupposto necessario sarebbe che gli illeciti da accertare siano lesivi del patrimonio o dell’immagine aziendale;
terzo presupposto – eventuale – sarebbe che i controlli siano stati disposti ex post, ossia dopo l’attuazione del comportamento in addebito a conferma, peraltro, della veridicità dell’intento datoriale.
In ogni caso, per non lasciare all’arbitrio del datore di lavoro l’attivazione di predetti “controlli difensivi”, gli stessi dovrebbero essere esercitati in ossequio ai principi di buona fede e correttezza, di proporzionalità e pertinenza.

La Suprema Corte si interessava anche della questione della “sopravvivenza” dei “controlli difensivi” nel regime normativo fissato dalla nuova formulazione dell’art. 4 St. lav. 24.

Nella sentenza si ripercorre l’iter normativo sul punto, partendo dall’art. 23 del D.Lgs. 14 settembre 2015, n. 151, prevede, per quanto qui interessa: “1. L’articolo 4 della legge 20 maggio 1970, n. 300 è sostituito dal seguente: «Art. 4 (Impianti audiovisivi e altri strumenti di controllo). – 1. Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo gli impianti e gli strumenti di cui al periodo precedente possono essere installati previa autorizzazione della Direzione territoriale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più Direzioni territoriali del lavoro, del Ministero del lavoro e delle politiche sociali. 2. La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze. 3. Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196.»;
dall’art. 5, comma 2, del d.lgs. 24 settembre 2016, n. 185, dispone: All’articolo 4, comma 1, della legge 20 maggio 1970, n. 300 il terzo periodo è sostituito dai seguenti: «In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione delle (recte: “della”) sede territoriale dell’Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’Ispettorato nazionale del lavoro. I provvedimenti di cui al terzo periodo sono definitivi»

La norma ribadisce implicitamente la regola che il controllo a distanza dell’attività dei lavoratori non è legittimo ove non sia sorretto dalle esigenze indicate dalla norma stessa.

La giurisprudenza di merito e la dottrina si erano già poste la questione della eventuale sopravvivenza dei c.d. “controlli difensivi” dopo la modifica dell’art. 4 St. lav. ad opera dell’art. 23 del d.lgs. n. 151/2015, senza un esito univoco.

Va subito evidenziato, a tale riguardo, che «i controlli aventi ad oggetto il patrimonio aziendale sono, ai sensi della nuova versione dell’art. 4 St. lav., assoggettati ai presupposti di legittimità ivi previsti, per cui si pone la questione se i “controlli difensivi” non debbano oramai ritenersi completamente attratti nell’area di operatività dell’art. 4 St. lav., avendo il legislatore indicato, tra le esigenze da soddisfare mediante l’impiego dei dispositivi potenzialmente fonte di controllo, accanto a quelle organizzative e produttive e a quelle relative alla sicurezza del lavoro, per l’appunto quelle di “tutela del patrimonio aziendale”, ovvero se anche sotto l’impero della nuova versione dell’art. 4 St. lav. debba continuare a riconoscersi ai “controlli difensivi” diritto di cittadinanza».

Ritiene la Corte che possa soccorrere in questo contesto la distinzione tra i “controlli difensivi” in senso lato e quelli in senso stretto.

i primi ineriscono a un insieme generalizzato di lavoratori a contatto con il patrimonio aziendale nello svolgimento del proprio lavoro e richiedono le forme dell’art. 4 St. Lav.;
i secondi riguardano l’accertamento di (sospette) condotte illecite ascrivibili a singoli dipendenti,
così precisando ulteriormente che «In questo senso, il controllo in senso lato riguarda la fisiologia del rapporto di lavoro, mentre quello in senso stretto la patologia, perché accerta non il normale svolgimento del lavoro ma la commissione di illeciti di vario profilo, e quindi eventi “straordinari ed eccezionali”, involgenti uno o pochi lavoratori».
Risulta evidente che secondo la Suprema Corte, il controllo difensivo tecnologico è sempre ammesso ed esulta dall’alveo dell’art. 4 ogni qual volta sia:

occasionato dalla necessità di accertare il sospetto comportamento illecito del lavoratore;
attuato dopo l’insorgere del fondato sospetto sull’esperimento di condotte illecite e lesive degli interessi aziendali da parte di un proprio dipendente.
Trattasi quindi di un controllo esclusivamente ex post che peraltro deve estendersi solo alla raccolta delle informazioni acquisite da quel momento in poi, non potendosi acquisire le informazioni ed i dati acquisiti prima di quel momento senza il rispetto della previsione dell’art. 4 in commento