Art. 4 St. Lav. e controlli difensivi: facciamo il punto

Last Updated on Settembre 12, 2023

Di recente la Cassazione è tornata a pronunciarsi sui controlli difensivi consolidando l’orientamento secondo cui tali controlli non rientrerebbero nell’ambito di applicazione dell’art. 4 St. Lav. anche dopo la riforma del Jobs Act. 

Vediamo insieme a cosa è necessario fare attenzione.

Il nuovo Articolo 4 dello Statuto dei Lavoratori e la recente giurisprudenza sui controlli difensivi 

I controlli difensivi sono una fattispecie di creazione giurisprudenziale elaborata durante la vigenza della vecchia formulazione dell’articolo 4 dello Statuto dei lavoratori per consentire controlli diretti alla protezione del patrimonio aziendale da atti illeciti, anche al di fuori dei limiti statutari. Si riteneva, infatti, che l’area coperta dall’art. 4 fosse solo quella avente ad oggetto, direttamente o indirettamente, l’attività lavorativa, mentre i controlli difensivi dovevano considerarsi estranei a quest’ambito, essendo invece finalizzati ad accertare condotte illecite.

La fattispecie dei controlli difensivi sembrava superata con la riforma del 2015 (c.d. Jobs Act) che ha inserito nell’art. 4 St. lav. tra le esigenze legittimanti il ricorso a strumenti di controllo a distanza quelle di tutela del patrimonio aziendale. 

Secondo il nuovo testo dell’art. 4 St. Lav., infatti, il lavoratore può essere controllato a distanza, con strumenti che non vengono usati per lo svolgimento della prestazione lavorativa, ma alle seguenti condizioni:

1. lo strumento deve essere stato previamente autorizzato con accordo sindacale o dall’Ispettorato, nazionale o territoriale, del Lavoro;
2. il controllo deve rispondere a esigenze quali quelle organizzative e produttive, di tutela del patrimonio aziendale e di sicurezza del lavoro;
3. il datore deve aver previamente informato il lavoratore sulle modalità di uso e di effettuazione dei controlli che lo strumento consente;
4. il controllo deve essere esperito in conformità alla normativa privacy, secondo i principî di necessità, correttezza, pertinenza e non eccedenza.

Dunque, nell’attuale formulazione dell’articolo 4 dello Statuto dei Lavoratori anche i controlli aventi ad oggetto la tutela del patrimonio aziendale sono assoggettati ai presupposti di legittimità ivi previsti.

Si è posta, pertanto, la questione se i controlli difensivi debbano ormai ritenersi completamente attratti nell’area di operatività dell’art. 4 St. lav.

Sul punto si è pronunciata negli ultimi due anni più volte la Cassazione che, al contrario, ha sostenuto la sopravvivenza dei controlli difensivi (Cass. 18168/2023, Cass. 25732/2021 e Cass. 34092/2021).

In particolare, i giudici di legittimità distinguono tra:             

1. controlli a difesa del patrimonio aziendale che riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della prestazione lavorativa che li pone a contatto con tale patrimonio;
2. controlli difensivi «in senso stretto», diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se queste si verificano durante lo svolgimento della prestazione di lavoro.

Mentre i primi dovranno necessariamente essere realizzati nel rispetto delle previsioni del nuovo art. 4, i secondi, anche se effettuati con strumenti tecnologici, non avendo ad oggetto l’attività del lavoratore, si situano all’esterno del perimetro applicativo dell’art. 4 (Cass. 25732/2021).

Ciò, naturalmente, non vuol dire che il datore di lavoro, in presenza di un sospetto di attività illecita, possa controllare liberamente il lavoratore: in nessun caso può essere giustificato un sostanziale annullamento di ogni forma di garanzia della dignità e riservatezza del lavoratore.

Come precisato dalla Suprema Corte «occorrerà, nel rispetto della normativa europea e dell’art. 8 della Convenzione europea dei diritti dell’uomo come interpretato dalla giurisprudenza della Corte europea, assicurare un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, con un contemperamento che non può prescindere dalle circostanze del caso concreto» (Cass. 18168/2023).

Il controllo difensivo in senso stretto, inoltre, deve essere posto in essere  ex post, ossia a seguito del comportamento illecito di uno o più lavoratori su cui il datore abbia un fondato sospetto. Può, quindi, parlarsi di controllo ex post solo ove, a seguito del fondato sospetto del datore circa la commissione di illeciti ad opera del lavoratore, il datore stesso provveda, da quel momento, alla raccolta delle informazioni.

In sintesi, la Suprema Corte ha chiarito che se è vero che i controlli diretti ad accertare fatti illeciti commessi da singoli dipendenti sono estranei ai vincoli e alle strette maglie del nuovo articolo 4 dello Statuto dei Lavoratori, è altrettanto vero che affinché siano leciti è necessario che:

• sia assicurato un corretto bilanciamento tra le esigenze di protezione degli interessi e dei beni aziendali e la tutela della dignità e della riservatezza del lavoratore (ciò avviene mediante l’adempimento dell’obbligo informativo da parte del datore e il rispetto del Codice della privacy);
• il controllo muova da un fondato sospetto;
• il controllo sia ex post rispetto all’insorgere del sospetto.

Il nuovo art. 4 St. Lav. e i controlli sulla mail del dipendente

La riforma dell’articolo 4 St. Lav. ha introdotto una significativa novità in materia di controlli sull’uso di internet e della posta aziendale, beni necessari allo svolgimento della prestazione lavorativa.

Il nuovo art. 4, infatti, stabilisce che per gli strumenti di lavoro e per quelli di registrazione degli accessi e delle presenze che consentono il controllo a distanza non sono necessari l’accordo sindacale né l’autorizzazione amministrativa.

Inoltre, i dati raccolti dagli strumenti di lavoro in dotazione ai dipendenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro (quindi, anche a quelli disciplinari) a due condizioni:

1. predisposizione di una policy aziendale che dia adeguata informazione ai lavoratori circa gli strumenti che consentono il controllo a distanza, le modalità e le regole di utilizzo di tali strumenti, il tipo di controlli che potranno essere effettuati dall’azienda, i dati conservati e i soggetti abilitati ad accedervi, nonché le eventuali sanzioni che potranno essere comminate al dipendente/trasgressore.
2. rispetto della normativa privacy, nel senso che il trattamento dei dati deve essere conforme ai principî di necessità, correttezza, pertinenza e non eccedenza.

Controlli sulla mail dopo la cessazione del rapporto di lavoro

Diverso è, invece, il discorso in caso di controllo della posta aziendale del dipendente dopo la cessazione del rapporto di lavoro.

In tale ipotesi bisogna fare attenzione alla normativa in materia di privacy e ai principî generali di necessità, minimizzazione e limitazione della conservazione dei dati in relazione alle finalità perseguite.

Sul punto si è più volte pronunciato il Garante privacy secondo cui il datore, in conformità ai principî in materia di protezione dei dati personali, dopo la cessazione del rapporto di lavoro «deve rimuovere gli account di posta elettronica aziendali riconducibili a persone identificate o identificabili (in un tempo ragionevole commisurato ai tempi tecnici di predisposizione delle misure), previa disattivazione degli stessi e contestuale adozione di sistemi automatici volti ad informarne i terzi ed a fornire a questi ultimi indirizzi alternativi riferiti all’attività professionale del titolare del trattamento, provvedendo altresì ad adottare misure idonee ad impedire la visualizzazione dei messaggi in arrivo durante il periodo in cui tale sistema automatico è in funzione» (Provvedimento del 04/12/2019 n. 216).

L’adozione di tali misure tecnologiche ed organizzative consente di contemperare l’interesse del titolare ad accedere alle informazioni necessarie all’efficiente gestione della propria attività e a garantirne la continuità con la legittima aspettativa di riservatezza sulla corrispondenza da parte di dipendenti/collaboratori nonché dei terzi.

Dunque, non è possibile – ad esempio – mantenere attivo l’account di posta elettronica del dipendente cessato, prendere visione del contenuto e impostare un sistema di inoltro verso un altro dipendente della società.

La finalità legittima di non perdere contatti utili e di proseguire l’attività aziendale si può perseguire con trattamenti meno invasivi e, quindi, conformi alla disciplina di protezione dei dati e, in particolare, al principio di minimizzazione degli stessi (art. 5, par. 1, lett. c del GDPR) per cui il titolare del trattamento deve trattare solo i dati «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (Provvedimento dell’11/01/2023 n. 8).

Conclusioni

Sia che si tratti di controlli difensivi in senso stretto sia che si tratti di controlli difensivi in senso ampio, è indispensabile che le imprese abbiano una policy ex art. 4, in linea con quanto previsto dalla norma citata, e rispettino la normativa in materia di privacy.

Lo Studio è a disposizione per assistere le imprese nella redazione di Policy aziendali ex art. 4 e negli adempimenti Privacy, avendo costituito team dedicati per assistere i clienti sotto tali aspetti.

Per maggiori informazioni: comunicazione@toffolettodeluca.it