Cassazione Civile, Sentenza n. 32760/2021 del 09/11/2021

Esito

La controversia

Somai era stato sanzionato con la sospensione dal servizio e dalla retribuzione per 1 giorno perché, nel periodo 19-23 dicembre 2011, aveva utilizzato il terminale aziendale per collegamenti a siti a carattere ludico/commerciale. Il Tribunale di Roma annullò la sanzione ritenendo che i dati ricavati dai controlli informatici costituissero controllo a distanza dell'attività lavorativa e, nella disciplina previgente al D.Lgs. 151/2015, l'uso di tali dati per fini disciplinari richiedeva le garanzie previste dall'art. 4, comma 2, della legge n.300/1970 (Statuto dei Lavoratori). La società appellò sostenendo che i controlli erano «difensivi» e funzionali alla tutela del patrimonio aziendale e dunque estranei al divieto; la Corte d'Appello di Roma respinse l'appello ravvisando l'assenza di prova che i controlli fossero strettamente funzionali alla tutela del patrimonio e constatando che i dati acquisiti erano stati usati per contestare la violazione degli obblighi di diligenza. Bulgari propose ricorso in Cassazione, che ha rigettato il ricorso confermando il principio applicabile ai fatti (ante D.Lgs. 151/2015).

La decisione

La Corte di Cassazione ha rigettato il ricorso proposto da Bulgari e dichiarato assorbito il ricorso incidentale. Ha confermato che, alla data dei fatti (2011), i dati raccolti tramite strumenti utilizzati dal lavoratore per rendere la prestazione non potevano essere utilizzati per provare l'inadempimento contrattuale senza l'osservanza delle garanzie previste dall'art.4, comma 2, della legge n.300/1970. Ha inoltre rilevato che la società non aveva dimostrato che il sistema di controllo fosse strettamente funzionale alla tutela del patrimonio aziendale e che i dati fossero stati ottenuti e utilizzati in modo conforme a quel limite. Condanna della ricorrente al pagamento delle spese di giudizio con liquidazione degli onorari indicati nella sentenza.

Norme richiamate

• Legge 20 maggio 1970 n.300 (Statuto dei Lavoratori), art.4

  Nella formulazione previgente al D.Lgs. 14/9/2015 n.151 l'art.4 imponeva limiti al controllo a distanza dell'attività dei lavoratori: l'installazione di impianti/strumenti che consentono controllo a distanza richiedeva le garanzie del comma 2 e i dati raccolti tramite strumenti utilizzati dal lavoratore per rendere la prestazione non potevano essere impiegati per contestare l'inadempimento senza rispettare tali garanzie

• D.Lgs. 14 settembre 2015 n.151 (c.d. Jobs Act) - modifica art.4 L. n.300/1970

  La modifica del 2015 ha ridimensionato il divieto, prevedendo che la disposizione non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione; conseguentemente, dopo l'entrata in vigore, gli elementi raccolti tramite tali strumenti possono essere utilizzati anche per verificare la diligenza del dipendente. Tuttavia i fatti del caso sono anteriori a questa modifica

• D.Lgs. n.196/2003 (Codice della privacy) artt.2, 3, 11, 114

  Richiamate dalla ricorrente in ordine alla tutela della privacy; nel giudizio la disciplina della protezione dei dati è stata considerata nel quadro complessivo, ma il punto centrale è stato il divieto normativo di utilizzare i dati raccolti tramite strumenti usati dal lavoratore per provare inadempimenti in assenza delle garanzie dello statuto

• Codice Civile artt. 2086, 2104, 2106

  L'azienda invocava i doveri di direzione dell'impresa e il diritto di vigilare sull'adempimento del lavoratore (artt.2086,2104) e la possibilità di sanzionare (art.2106). La Corte ha riconosciuto tali poteri ma ha precisato che sono limitati dalle norme speciali sul controllo a distanza (art.4 L.300/70) vigenti al momento dei fatti

• Codice di procedura civile artt.115 e 421

  Richiami relativi alla valutazione delle prove e all'onere probatorio; la Corte ha ritenuto non fondata la censura della società sulla valutazione delle prove, confermando che l'istruttoria non ha dimostrato la funzionalità esclusiva dei controlli alla tutela del patrimonio

Massime di principio

• Per fatti anteriori al D.Lgs. 151/2015, i dati raccolti tramite strumenti utilizzati dal lavoratore per rendere la prestazione (es. PC aziendale, terminali) non possono essere impiegati per provare l'inadempimento contrattuale se il controllo equivale a controllo a distanza senza le garanzie previste dall'art.4, comma 2, della L. n.300/1970
• L'onere probatorio è a carico del datore di lavoro che afferma di aver adottato controlli limitati alla tutela del patrimonio: deve dimostrare che le misure erano strettamente funzionali a tale tutela e non a finalità di vigilanza dell'attività lavorativa
• Dopo il D.Lgs. 151/2015 la disciplina è cambiata e gli elementi raccolti tramite strumenti usati per rendere la prestazione possono, in maggiore misura, essere utilizzati per verificare la diligenza del lavoratore, ma è comunque opportuno rispettare principi di proporzionalità e privacy
• Best practice per il datore di lavoro: adottare policy chiare e comunicate, ottenere preventivamente le necessarie intese sindacali quando richiesto dalla normativa vigente, configurare tecnicamente i sistemi per limitare il monitoraggio alla finalità di sicurezza/asset protection, documentare la stretta necessità delle misure e i criteri di accesso ai dati
• In caso di contestazione disciplinare basata su dati informatici, è utile acquisire prove supplementari (testimonianze, log tecnici contestualizzati, misure di sicurezza) e rispettare la correttezza procedurale per ridurre il rischio di annullamento della sanzione