La Corte di Cassazione ed i controlli a distanza dei dipendenti

La vicenda posta al vaglio della Corte.
La rete aziendale era stata infettata da un virus informatico che, partito dal computer di una dipendente, aveva criptato una serie di file ivi presenti, rendendoli illeggibili ed inutilizzabili. La società datrice di lavoro, grazie all’intervento specialistico richiesto, non solo aveva individuato con certezza da quale computer il virus era stato importato, ma aveva anche verificato che la dipendente, rea dell’infezione, aveva a lungo navigato su siti non di interesse aziendale, con conseguente inadempimento della prestazione lavorativa, visto il tempo di navigazione trascorso su detti siti. Partiva, quindi, il procedimento disciplinare che portava al licenziamento della lavoratrice. 
Il conseguente iter giudiziario aveva avuto esiti altalenanti: vittoria della lavoratrice di fronte al competente Tribunale (per mancanza di proporzionalità); della azienda in sede d’appello (per mancata violazione dell’art. 4 dello Statuto, per adeguatezza della sanzione espulsiva tenendo conto della volontarietà dell’azione, posta in essere nonostante la dipendente avesse ricevuto specifiche indicazioni sull’uso degli strumenti informatici e in considerazione dell’ingente numero di accessi su detti siti).
A fronte dell’esito giudiziale la dipendente, per i fini che qui rilevano, ha impugnato la sentenza di II grado avanti la Cassazione, lamentando, in particolare, la violazione, da parte del datore di lavoro, dell’art. 4 dello Statuto.

La sentenza in commento: l’apprezzabile ricostruzione del quadro giuridico.
La lavoratrice lamentava, avanti la Suprema Corte, la violazione dell’art. 4 dello Statuto conseguente all’acquisizione dei dati di navigazione dal browser installato sul suo computer (ritenuta inutilizzabile a fini disciplinari) anche in quanto la medesima non aveva ricevuto adeguata informazione relativamente alle modalità di effettuazione dei controlli sugli accessi da essa compiuti su internet. La Cassazione, prima di esprimere la propria decisione, compie una analitica ricostruzione del quadro giuridico relativo ai controlli a distanza. Inizia ricordando come l’art. 4 dello Statuto, prima della riforma del 2015, vietava i controlli a distanza senza un accordo con le organizzazioni sindacali o, in difetto, senza una preventiva autorizzazione del competente ispettorato del lavoro. Fuori dalla operatività della norma, e quindi sempre leciti ed utilizzabili a prescindere da accordi sindacali o autorizzazioni amministrative, erano i così detti “controlli difensivi” utilizzati cioè per la tutela del patrimonio e dell’immagine aziendale.
Perché i controlli difensivi fossero ritenuti legittimi era, però, necessario che:

1. Fossero utilizzati per accertare un comportamento illecito del lavoratore;
2. Tali illeciti fossero effettivamente lesivi del patrimonio o dell’immagine aziendale;
3. Il controllo fosse eseguito ex post, cioè dopo che il comportamento addebitato al dipendente fosse già iniziato, evitando, quindi, la mera e generalizzata sorveglianza sulle modalità di esecuzione della prestazione lavorativa (in tal senso essa ha ricordato la propria sentenza n. 19922/16 nella quale aveva dichiarato illegittimo l’uso, ai fini disciplinari, del controllo GPS in quanto predisposto ex ante per controllare tutti i dipendenti, prima che maturasse qualsiasi sospetto sul lavoratore poi licenziato).

Tale ultimo requisito, tuttavia, evidenzia la sentenza in commento, era spesso ritenuto dai giudici puramente eventuale essendo sufficiente, per ritenere legittimi i controlli, il mero sospetto della commissione di illeciti, sottoponendo il controllo datoriale ad una mera valutazione di rispetto dei principi generali di correttezza, buona fede, proporzionalità e pertinenza. 
La Corte, nel compiere la ricostruzione giuridica della normativa di riferimento, ricorda che, con la riforma del 2015, anche i controlli “per la tutela del patrimonio aziendale” sono stati espressamente fatti rientrare, dal legislatore, all’interno dell’art. 4 dello Statuto con la conseguenza che essi parrebbero soggetti, ai fini della utilizzabilità ai fini disciplinari, al consenso sindacale o all’autorizzazione dell’Ispettorato. Sulla interpretazione della disposizione riformata (e sugli effetti sui così detti “controlli difensivi”) la Cassazione evidenzia la non univocità degli indirizzi giurisprudenziali e dottrinali intervenuti post riforma.
Ciò detto la Corte, con la sentenza in commento, ha operato una frattura nella nozione di “controlli difensivi” distinguendo:

1. I controlli difensivi  in senso lato. Sono i controlli a difesa del patrimonio aziendale che riguardano tutti i lavoratori o uno specifico gruppo di essi a cui sono affidate specifiche mansioni e che, nell’eseguire la prestazione, vengono in contatto con il patrimonio aziendale. Questo tipo di controlli rientrano, ora, nella nozione di cui all’art. 4 dello Statuto e necessitano, per essere svolti, di accordo sindacale o autorizzazione amministrativa;
2. I controlli difensivi in senso stretto, volti cioè ad “accertare specificatamente condotte illecite ascrivibili a singoli dipendenti”. Tali controlli, anche se effettuati mediante l’uso delle tecnologie, rimangono estranei alla applicazione dell’art. 4 dello Statuto non necessitando di alcun accordo o autorizzazione. 

I requisiti del controllo difensivo in senso stretto.
Ciò non significa, tuttavia, che il datore di lavoro, relativamente ai controlli in senso stretto, sia libero di fare ciò che vuole. 
Evidenzia, da questo punto di vista la Corte, che “l’impiego di controlli tecnologici attraverso un sistema informatico che tenga traccia di tutti i dati relativi all’attività di lavoro svolta dall’insieme dei dipendenti sarebbe privo di ogni selettività e non sarebbe ammissibile, perché non orientato specificatamente sull’attività illecita, ma in modo indifferenziato sulle prestazioni rese da tutti i lavoratori”. 
Per tale ragione, ricordando anche la giurisprudenza della Corte Europea dei diritti dell’uomo, la Corte di Cassazione rammenta che il datore di lavoro dovrebbe sempre:

1. Preventivamente informare i dipendenti dei possibili controlli;
2. Specificare ai lavoratori la natura e l’estensione dei medesimi;
3. Verificare la sussistenza di specifiche ragioni per il ricorso ai controlli (utilizzando le forme meno intrusive);
4. Ricordarsi che il controllo del lavoratore (o dello specifico gruppo dei lavoratori) dovrebbe sempre essere effettuato ex post: solo dopo cioè che l’illecito si è verificato per evitare di legittimare controlli generalizzati sulla attività lavorativa di uno o più dipendenti. A tale proposito la Corte ha chiarito che “può parlarsi di controllo ex post solo ove, a seguito del fondato sospetto del datore di lavoro circa la commissione di illeciti ad opera del lavoratore, il datore di lavoro provveda, da quel momento alla raccolta delle informazioni”.

A seguito di quanto sopra la Cassazione ha accolto il ricorso della lavoratrice per non aver accertato, la Corte d’Appello, se i controlli datoriali fossero stati, o meno, posti in essere dalla dipendente prima dell’insorgere del fondato sospetto. Perché, se così fosse stato, i controlli (in quanto effettuati ex ante rispetto all’illecito) sarebbero rientrati nella attuale formulazione dell’art. 4 dello Statuto e, per tale ragione, inutilizzabili nel procedimento disciplinare con conseguente  invalidità del provvedimento di licenziamento.

Avv. Alessio Veggiari