Controlli difensivi e violazione dei principi di proporzionalità e ragionevolezza: integrati i reati di cui agli articoli 615 ter e 616 del Codice Penale.
In caso di “controlli difensivi in senso stretto” (diversi cioè da generici controlli volti a verificare la diligenza dei lavoratori nell’espletamento dell’attività lavorativa) sono consentiti, in presenza del fondato sospetto circa la commissione di un illecito, controlli anche tecnologici finalizzati alla tutela di beni estranei al rapporto di lavoro o ad evitare comportamenti illeciti, a condizione che sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali e la tutela della dignità e della riservatezza del lavoratore e sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto.
La decisione della Corte di Cassazione che si segnala risulta molto interessante nella misura in cui – pur partendo da un caso abbastanza particolare che non riguardava direttamente l’azione di controllo del datore di lavoro sui propri dipendenti – consente di fare il punto su quali possano essere i poteri di controllo informatici nelle realtà aziendali ed i principi che devono regolare tale attività al fine di preservare il “controllore” (quanto meno) da contestazioni di natura penale.
1. Il caso oggetto della sentenza
Il caso riguarda l’amministratore del sistema informatico di un’azienda che aveva “spiato” un numero decisamente considerevole di comunicazioni e-mail a danno di un lavoratore, al fine di raccogliere informazioni sullo stato delle trattive in allora in essere per la potenziale nomina del soggetto “controllato” ad amministratore della società.
In particolare, secondo l’accusa, l’amministratore del sistema informatico aziendale si era introdotto nel sistema in modo abusivo, per finalità diverse da quelle per quali era autorizzato, ossia al fine di prendere contezza del contenuto di corrispondenza riservata: da qui l’accusa di accesso abusivo a sistema informatico (art. 615 ter c.p.) e violazione di corrispondenza telematica (art. 616 c.p.).
L’imputato, che era stato condannato in entrambi i gradi di giudizio, ha proposto ricorso per Cassazione avverso la sentenza della Corte di Appello affermando, i) da un lato, di aver esercitato – con l’accesso al sistema informatico – delle facoltà del tutto legittime in quanto amministratore del sistema (in questo senso, soggetto espressamente e pacificamente autorizzato all’accesso e alla permanenza nel sistema) e ii) dall’altro di aver agito per il bene della società, temendo che i comportamenti del soggetto “controllato” potessero danneggiarla.
Secondo la difesa, quindi, la condotta dell’imputato doveva ritenersi del tutto legittima in quanto coerente con i principi dettati in materia dalla giurisprudenza di legittimità, secondo cui “se il controllo è stato effettuato con l’intenzione di ottenere informazioni circa possibili azioni fraudolente in danno della società, la facoltà di accesso al sistema è da considerarsi lecita, sempre che non sia inutilmente pervasiva”.
Secondo la Corte di appello, invece, i controlli dell’amministratore di sistema sarebbero stati illegittimi in quanto posti in essere in violazione dei principi espressi dall’Autorità garante per la Protezione dei dati personali, secondo cui non è comunque consentito un controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.
2. Cenni su limiti e tutele nei cd. “controlli difensivi in senso stretto”.
La Corte di Cassazione, respingendo il quarto motivo di ricorso dell’imputato, ha condiviso la motivazione della Corte di Appello, che aveva accertato come in verità “le attività informatiche poste in essere dall’imputato non costituivano generici controlli volti a verificare la diligenza del dipendente nell’espletamento della sua attività lavorativa, ma costituivano un “controllo difensivo in senso stretto”.
Risulta utile, prima di entrare nel merito della decisione, fare un breve cenno a tale tipologia di controllo (di derivazione giurisprudenziale), che – diversamente dai controlli ex art. 4 St. Lav. aventi ad oggetto, direttamente o indirettamente, l’attività lavorativa – è finalizzata ad accertare condotte illecite e a consentire controlli diretti alla protezione del patrimonio aziendale da atti illeciti, anche al di fuori dei limiti statutari.
Per ogni approfondimento in merito si rimanda alla copiosa giurisprudenza giuslavoristica anche recente, mentre è qui sufficiente richiamare – in estrema sintesi – i principi fondamentali indispensabili per comprendere, poi, gli esiti cui è pervenuto il giudice penale nel caso di specie.
A differenza dei generali controlli tecnologici a “difesa del patrimonio aziendale”, che riguardano tutti i dipendenti (o gruppi di dipendenti) a contatto con tale patrimonio nello svolgimento della prestazione lavorativa, i cd. controlli difensivi «in senso stretto» sono diretti ad accertare specificamente condotte illecite che possano danneggiare il patrimonio aziendale, ascrivibili – in base a concreti indizi – a singoli dipendenti.
L’oggetto del controllo, quindi, non è la prestazione lavorativa di per sé, bensì la sospetta attività illecita (pur se posta in essere durante lo svolgimento della prestazione di lavoro): questa la ragione per la quale non devono sottostare ai requisiti di legittimità dell’art. 4 St. Lav., che generalmente si applicano anche ai controlli a difesa del patrimonio (cfr. Cass. Sez. Lav., sentenza n. 18168 del 26 giugno 2023 e, prima, Cass. 25732/2021).
Sempre secondo la giurisprudenza civilistica, tuttavia, ciò non significa totale assenza di limiti nel potere di controllo “tecnologico”: se è vero che i controlli diretti ad accertare fatti illeciti commessi da singoli dipendenti sono estranei ai vincoli e alle maglie dell’art. 4 St. lav., è altrettanto vero che affinché siano leciti è necessario che i) sia assicurato un corretto bilanciamento – attraverso l’obbligo informatico ed il rispetto delle regole in materia di privacy – tra le esigenze di protezione degli interessi e dei beni aziendali e la tutela della dignità e della riservatezza del lavoratore; ii) che il controllo del datore di lavoro nasca da un “fondato sospetto” di attività illecita da parte del lavoratore controllato; iii) il controllo avvenga solo ex post rispetto all’insorgere del sospetto.
3. La decisione della Corte.
Alla luce di quanto sin qui sinteticamente premesso rispetto ai principi generali in materia elaborati dalla giurisprudenza giuslavoristica, non sorprende l’esito cui è pervenuta la Corte nel caso di specie, nel quale ha effettivamente ravvisato nel comportamento del “controllore” non solo una condotta di controllo illegittima (i cui esiti sono quindi inutilizzabili), ma addirittura un comportamento penalmente rilevante ai sensi degli artt. 615 bis e 616 c.p.
La Corte, infatti, ha anzitutto chiarito che le attività di verifica, contestate all’imputato, “non costitui[ssero] generici controlli volti a verificare la diligenza del dipendente nell’espletamento della sua attività lavorativa, ma costitui[ssero] un controllo difensivo in senso stretto”.
Da qui la necessità di verificare, in ossequio ai principi della giurisprudenza civilistica sopra accennati, se nel caso concreto i controlli difensivi in senso stretto fossero stati posti in essere, assicurando “un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, sempre che il controllo riguardi dati acquisiti successivamente all’insorgere del sospetto”.
La Corte, rispondendo negativamente, ha confermato che la sentenza della Corte di appello aveva fatto buon governo dei principi giuslavoristici sopra indicati, individuando le circostanze di fatto che permettevano di ritenere l’accesso informatico privo dei requisiti di ragionevolezza e proporzionalità.
Più nello specifico, sono state messe in evidenza due circostanze di merito appurate nel corso dei precedenti gradi di giudizio: da un lato, il fatto che l’accesso alla posta elettronica aziendale avesse riguardato anche un ulteriore soggetto, ex dipendente della società, al fine di visualizzare la corrispondenza intercorsa tra quest’ultimo e il dipendente “controllato” e, dall’altro, la sproporzione tra “l’intrusione” nella riservatezza del lavoratore (1542 messaggi scaricati) e le esigenze di protezione dei beni aziendali (solo 97 messaggi visualizzati).
Ciò – conferma la Corte – è avvenuto in violazione dei principi espressi dall’Autorità del Garante per la Protezione dei dati personali che ha escluso, come visto sopra, la possibilità di procedere con controlli massivi, prolungati e indiscriminati dell’attività del lavoratore.
In conclusione, quindi, la carenza dei requisiti per ritenere, nel caso concreto, i “controlli difensivi in senso stretto” legittimi ha di per sé configurato, secondo la Corte, un accesso ed una permanenza illegittimi nel sistema informatico, poiché – appunto -realizzato per ragioni ontologicamente estranee rispetto a quelle per le quali la facoltà di accesso era attribuita all’amministratore di sistema: da qui, la conferma della condanna per il reato di accesso abusivo a sistema informatico e violazione della corrispondenza.