Una delle questioni più dibattute nella giurisprudenza lavoristica e penale riguarda la distinzione tra l’inoltro occasionale di posta elettronica aziendale su caselle esterne e il dirottamento sistematico. La differenza non è solo qualitativa: ha conseguenze decisive in termini di sanzione disciplinare, responsabilità civile e, nei casi più gravi, penale.

I sette criteri elaborati dalla giurisprudenza

1. Intensità, durata e ripetizione

Un singolo episodio, privo di elementi di reiterazione, viene generalmente qualificato come occasionale. La ripetizione costante, la programmazione automatica o la trasmissione sistematica di un elevato numero di messaggi configura un dirottamento sistematico. La Cass. pen. n. 29497/2025 ha valorizzato il fatto che l’imputato aveva trasferito in circa tre settimane un numero elevato di schede tecniche e documenti dal proprio account aziendale a quello personale, dopo aver predisposto modifiche tecniche al sistema per agevolare l’operazione.

2. Modalità tecniche dell’inoltro

L’utilizzo di regole automatiche di inoltro, la creazione di filtri o script che trasferiscono continuativamente tutta la posta su caselle esterne, oppure l’accesso massivo a intere cartelle, sono indici di sistematicità. Al contrario, l’invio manuale e sporadico di singoli messaggi, in assenza di automatismi, depone per l’occasionalità.

3. Finalità e contesto

La giurisprudenza distingue tra l’inoltro motivato da esigenze contingenti (ad esempio, lavorare da remoto su un documento specifico) e il dirottamento finalizzato all’appropriazione di informazioni riservate o alla concorrenza sleale. La finalità di utilizzo extra-aziendale, specie se in favore di un concorrente o per l’avvio di un’attività autonoma, contribuisce a qualificare la condotta come sistematica.

4. Violazione delle policy aziendali

La presenza di regolamenti interni che vietano l’inoltro di posta aziendale su caselle esterne costituisce parametro fondamentale. L’inosservanza reiterata e consapevole è indice di sistematicità. La Cass. pen. n. 565/2018 ribadisce che integra il delitto di accesso abusivo la condotta di chi, pur essendo abilitato, viola le condizioni e i limiti risultanti dalle prescrizioni impartite dal titolare del sistema.

5. Impatto sull’organizzazione aziendale

Il dirottamento sistematico che comporti la sottrazione o l’indisponibilità di dati per il datore di lavoro assume particolare gravità. La Cass. pen. n. 27900/2023 ha sottolineato la necessità di accertare se la condotta di prelievo o duplicazione di dati rientri nel perimetro dei poteri attribuiti al dipendente e se la copia esuli dalle autorizzazioni.

6. Consapevolezza e dolo

La sistematicità si accompagna di regola a piena consapevolezza della violazione dei doveri di fedeltà e riservatezza. La giurisprudenza valorizza elementi quali la pianificazione, la segretezza delle operazioni, l’occultamento delle tracce, la cancellazione dei dati dai sistemi aziendali. Nel caso deciso da Cass. pen. n. 29497/2025, la consapevolezza era desumibile dall’orario degli accessi (serali e festivi) e dall’attività concorrenziale successiva.

7. Contesto complessivo

La giurisprudenza invita a una valutazione complessiva del contesto, considerando la posizione del dipendente, il ruolo ricoperto, la natura delle informazioni trasferite e la reazione dell’azienda. La Cass. civ. n. 24204/2025 sottolinea che la valutazione deve tenere conto delle policy aziendali, delle informative fornite e della proporzionalità delle misure adottate, con attenzione alla distinzione tra controlli difensivi ex post e controlli massivi preventivi.

La distinzione tra inoltro occasionale e dirottamento sistematico non si fonda su un unico parametro, ma su una pluralità di indici sintomatici che devono essere valutati congiuntamente. La sistematicità si configura quando ricorrono reiterazione e continuità, utilizzo di strumenti tecnici per automatizzare il trasferimento, violazione consapevole delle policy, finalità di appropriazione o concorrenza sleale, impatto negativo sulla disponibilità dei dati e occultamento delle operazioni.

La valutazione della proporzionalità della sanzione disciplinare si basa su una serie articolata di criteri che emergono chiaramente dalla normativa vigente e che vengono applicati costantemente dalla giurisprudenza in materia. Conoscere approfonditamente tali criteri risulta fondamentale per chiunque sia chiamato a gestire procedimenti disciplinari o a difendere i propri diritti nell’ambito di un contenzioso, poiché consente di orientarsi correttamente in un ambito complesso e delicato.

I criteri fondamentali

• Gravità oggettiva della condotta

La sanzione deve essere proporzionata alla gravità oggettiva dell’infrazione commessa. Nel caso specifico dell’uso improprio della posta elettronica o degli strumenti informatici messi a disposizione dall’azienda, la valutazione tiene conto non solo della natura e dell’entità dell’abuso, ma anche della frequenza e della durata delle condotte scorrette, nonché dell’eventuale danno effettivamente arrecato all’azienda o all’ente di appartenenza. Per esempio, l’invio occasionale di messaggi a carattere personale viene considerato in modo differente rispetto a un utilizzo sistematico, massivo e reiterato nel tempo.

• Intenzionalità e consapevolezza

Le infrazioni commesse con intenzionalità devono essere punite con maggiore rigore rispetto a quelle dovute a semplice negligenza o distrazione. La giurisprudenza attribuisce particolare valore alla distinzione tra un uso improprio accidentale o casuale e un comportamento doloso, cioè finalizzato a danneggiare l’ente, a compromettere la sua attività o a trarre un indebito vantaggio personale a discapito dell’organizzazione.

• Presenza di recidiva

La presenza di recidiva rappresenta un elemento aggravante molto rilevante nella valutazione complessiva della sanzione disciplinare. Se il dipendente ha già ricevuto richiami formali o sanzioni per condotte analoghe in passato, la reiterazione dell’illecito giustifica l’irrogazione di una sanzione più severa e restrittiva, in quanto indica una persistente inosservanza delle regole aziendali.

• Circostanze del fatto

Nel determinare la tipologia e la durata della sanzione si considerano attentamente anche le circostanze specifiche del caso, come i precedenti disciplinari di servizio, il grado ricoperto dal dipendente, la sua età e l’anzianità di servizio. La giurisprudenza prende inoltre in esame la posizione di responsabilità affidata al lavoratore e la sua condotta complessiva all’interno dell’organizzazione, valutando se vi siano elementi che possano attenuare o aggravare la sanzione.

• Danno effettivamente arrecato

La sanzione disciplinare deve essere proporzionata non solo alla violazione formale delle regole, ma anche al danno concreto e misurabile prodotto dalla condotta del dipendente. Nel caso in cui l’uso improprio degli strumenti informatici abbia causato un pregiudizio economico, reputazionale o organizzativo all’azienda, la sanzione potrà essere commisurata in modo più severo, tenendo conto dell’effettiva portata del danno.

• Rispetto delle garanzie procedimentali

Nessun provvedimento disciplinare può essere adottato senza la preventiva contestazione formale dell’infrazione e senza aver acquisito, ascoltato e valutato con attenzione le giustificazioni e le spiegazioni fornite dall’interessato (come previsto dall’articolo 55-bis del D.Lgs. n. 165/2001). La violazione di tali garanzie procedimentali può incidere significativamente sulla legittimità e sulla proporzionalità della sanzione irrogata, comportando la possibilità di annullamento o revisione del provvedimento.

• Tipicità della sanzione

Infine, la giurisprudenza esclude categoricamente la possibilità di irrogare sanzioni atipiche, cioè non previste espressamente dalla normativa o dal contratto collettivo applicabile. Inoltre, va sottolineato che l’esercizio di un diritto riconosciuto esclude sempre l’applicabilità di sanzioni disciplinari, come stabilito dall’articolo 1466 del Codice ordinamentale militare, principio che trova applicazione anche in altri contesti lavorativi.

L’uso della posta elettronica aziendale è disciplinato dall’articolo 4 della Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori). La norma stabilisce che gli strumenti dai quali derivi la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, con informativa adeguata al lavoratore.

Le condotte considerate più gravi dalla giurisprudenza

La giurisprudenza ha progressivamente individuato e tipizzato le condotte che, per la loro gravità, possono giustificare l’irrogazione di sanzioni fino al licenziamento per giusta causa. In particolare risultano di massima gravità:

• Divulgazione di informazioni riservate, segreti industriali o dati sensibili trasmessi a indirizzi esterni senza autorizzazione
• Inoltro non autorizzato di documentazione contrattuale e informazioni tecniche e produttive (Trib. Treviso n. 246/2022)
• Invio di messaggi gravemente offensivi o diffamatori nei confronti di colleghi o superiori (Cass. n. 26682/2017)
• Dirottamento sistematico di posta aziendale su caselle personali (Cass. n. 2722/2012)
• Uso di programmi non autorizzati per occultare comunicazioni o sottrarre dati al controllo aziendale

Il caso del Tribunale di Treviso (n. 246/2022)

Il Tribunale di Treviso ha ritenuto legittimo il licenziamento per giusta causa di una lavoratrice che aveva inoltrato al proprio indirizzo di posta personale una PEC contenente documentazione contrattuale e informazioni tecniche e produttive. La condotta è stata ritenuta idonea a ledere irrimediabilmente il vincolo fiduciario, anche in assenza di una divulgazione a terzi, poiché la potenzialità lesiva dell’uscita dei dati dalla sfera di controllo aziendale è stata ritenuta sufficiente a integrare la giusta causa.

La giurisprudenza considera rilevante disciplinarmente anche l’invio occasionale di messaggi personali, se in violazione di specifiche policy aziendali, e il messaggio oltraggioso nei confronti di colleghi o superiori (Cass. n. 26682/2017). Al contrario, l’utilizzo per finalità sindacali è lecito se non pregiudica l’attività aziendale, mentre un divieto assoluto non sarebbe conforme alla legge (Cass. nn. 35643 e 35644/2022).

[Licenziamento Disciplinare]  [Proporzionalità]  [D.Lgs. 23/2015]  [Corte Costituzionale]  [Tutele Crescenti]

Un dipendente, in giorno di ferie e alle sei di mattina, sincronizza centinaia di file aziendali strategici. L’azienda lo licenzia per giusta causa. La Cassazione si pronuncia: il fatto c’è ed è disciplinarmente rilevante ma il licenziamento è sproporzionato. Il rapporto si risolve con un’indennità, non con la reintegrazione. Una decisione che traccia con precisione il confine tra condotta sospetta e giusta causa, nel quadro di un sistema, il d.lgs. n. 23/2015, che gli interventi della Corte Costituzionale continuano a ridisegnare.

1. Il fatto: una sincronizzazione anomala e un licenziamento contestato

La vicenda esaminata dalla Corte di Cassazione (sez. IV lav., ordinanza 26 febbraio 2026, n. 4371) prende avvio da un episodio apparentemente tecnico: durante una giornata di ferie, alle sei del mattino, un lavoratore effettua la movimentazione e sincronizzazione simultanea di centinaia di file aziendali di importanza strategica. Nessuna giustificazione connessa alle proprie mansioni.

L’azienda contesta la condotta e intima il licenziamento per giusta causa. Il Tribunale di primo grado annulla il licenziamento e ordina la reintegrazione. La Corte d’Appello di Venezia, in parziale riforma, ribalta l’esito sul punto decisivo: accerta la sussistenza del fatto materiale e ne riconosce la rilevanza disciplinare, ma esclude che la condotta integri una giusta causa di licenziamento in assenza di prova di sottrazione, furto o danno effettivo ai dati aziendali. Il risultato: risoluzione del rapporto di lavoro alla data del licenziamento con riconoscimento dell’indennità ex art. 3, comma 1, d.lgs. n. 23/2015, nella misura di 12,5 mensilità.

La Cassazione è investita da entrambi i fronti: il ricorso principale del lavoratore, che chiede la tutela reintegratoria, e il ricorso incidentale della società, che insiste per la giusta causa o, in subordine, per il giustificato motivo soggettivo. Entrambi i ricorsi vengono respinti. La decisione della Corte d’Appello è confermata integralmente.

2. Il principio cardine: il giudizio di proporzionalità è riservato al giudice di merito

Il pilastro argomentativo della Cassazione è il principio, ormai consolidato, per cui il giudizio di proporzionalità tra il licenziamento disciplinare e l’addebito contestato è devoluto al giudice di merito e non è sindacabile in sede di legittimità se non nei casi di motivazione mancante, inconciliabile o manifestamente incomprensibile.

La Corte d’Appello di Venezia aveva costruito un ragionamento lineare e privo di vizi: la condotta era certamente anomala (sincronizzare centinaia di file strategici all’alba di un giorno di ferie non è un comportamento neutro) e risultava disciplinarmente rilevante. Tuttavia, l’elemento che trasforma una condotta disciplinarmente rilevante in giusta causa di licenziamento è la rottura irreversibile del vincolo fiduciario, che a sua volta presuppone qualcosa in più della mera anomalia: la prova di un danno effettivo, della sottrazione di dati, del loro invio a terzi o del loro utilizzo in chiave concorrenziale o fraudolenta.

Quella prova, nel caso di specie, non era stata fornita. E il sospetto, per quanto fondato su elementi concreti, non è giusta causa di licenziamento. La Cassazione conferma: la valutazione della Corte d’Appello è immune da vizi logici o giuridici, e dunque insindacabile.

Il giudizio di proporzionalità tra licenziamento disciplinare e addebito contestato è devoluto al giudice di merito e non è sindacabile in sede di legittimità se non nei casi di motivazione mancante, inconciliabile o manifestamente incomprensibile.

Cass. civ., sez. IV lav., ord. 26/02/2026, n. 4371

3. Il sistema del d.lgs. n. 23/2015: mappa delle tutele e logica della differenziazione

Per comprendere perché il lavoratore non ha ottenuto la reintegrazione, nonostante la condotta del datore di lavoro sia stata ritenuta illegittima, è necessario ripercorrere la struttura del d.lgs. 4 marzo 2015, n. 23, il cosiddetto contratto a tutele crescenti.

Il sistema articola le conseguenze del licenziamento illegittimo su livelli distinti, in ragione della gravità del vizio. L’art. 3, comma 1, dispone che, nei casi in cui risulta accertato che non ricorrono gli estremi del licenziamento per giustificato motivo oggettivo o soggettivo o giusta causa, il giudice dichiara estinto il rapporto di lavoro alla data del licenziamento e condanna il datore di lavoro al pagamento di un’indennità, in misura non inferiore a sei e non superiore a trentasei mensilità.

La reintegrazione, invece, è prevista in ipotesi tassative: i licenziamenti nulli o discriminatori (art. 2) e quelli in cui sia direttamente dimostrata in giudizio l’insussistenza del fatto materiale contestato al lavoratore (art. 3, comma 2), ipotesi quest’ultima estesa, a seguito della sentenza Corte Cost. n. 128/2024, anche ai licenziamenti per giustificato motivo oggettivo in cui sia direttamente dimostrata l’insussistenza del fatto materiale allegato dal datore di lavoro.

Ipotesi di illegittimità	Conseguenza sul rapporto	Tutela	Fonte
Licenziamento nullo o discriminatorio	Rapporto ripristinato	Reintegrazione + risarcimento integrale	Art. 2, d.lgs. 23/2015
Insussistenza del fatto materiale — g.c. o g.m.s.	Rapporto ripristinato	Reintegrazione + risarcimento limitato	Art. 3, co. 2, d.lgs. 23/2015
Insussistenza del fatto materiale — g.m.o.	Rapporto ripristinato	Reintegrazione + risarcimento limitato	Art. 3, co. 2 — Corte Cost. n. 128/2024
Assenza di g.c./g.m. senza insussistenza del fatto (caso in esame)	Rapporto risolto alla data del licenziamento	Indennità 6–36 mensilità, modulabile	Art. 3, co. 1; Corte Cost. n. 7/2024
Datori sottosoglia (<15 dip.) — assenza di g.c./g.m.	Rapporto risolto alla data del licenziamento	Indennità dimezzata, senza tetto max di 6 mens.	Art. 9, co. 1 — Corte Cost. n. 118/2025
Vizi procedurali non gravi	Rapporto risolto alla data del licenziamento	Indennità ridotta 2–12 mensilità	Art. 4, d.lgs. 23/2015

Nel caso della Cassazione n. 4371/2026, la Corte d’Appello ha accertato la sussistenza del fatto materiale e la sua rilevanza disciplinare: questo accerta l’esclusione dell’art. 3, comma 2, che presuppone l’insussistenza del fatto. Il licenziamento è illegittimo non perché il fatto non esiste, ma perché la sanzione è sproporzionata. Rientra quindi nell’art. 3, comma 1: risoluzione del rapporto con indennità, senza reintegrazione.

La giurisprudenza di merito ha applicato questo schema con coerenza. Il Tribunale di Milano (n. 2893/2024) ha precisato che in caso di licenziamento disciplinare privo di contestazione degli addebiti, in assenza dei requisiti dimensionali per la tutela reale, l’illegittimità ricade nell’ambito degli artt. 3, co. 1, e 9 del d.lgs. n. 23/2015, con dichiarazione di estinzione del rapporto e riconoscimento dell’indennità risarcitoria. Il Tribunale di Bergamo (n. 841/2023) ha ribadito che la tutela applicabile in tali casi è quella dell’art. 3, comma 1, con dichiarazione di risoluzione e condanna al pagamento di un’indennità omnicomprensiva.

4. Il regime indennitario riscritto dalla Corte Costituzionale: sentenze n. 7/2024 e n. 118/2025

Corte Costituzionale n. 7/2024: addio al calcolo automatico

Con la sentenza n. 7 del 22 gennaio 2024, la Corte Costituzionale ha dichiarato l’illegittimità costituzionale della previsione che ancorava rigidamente l’indennità di cui all’art. 3, comma 1, d.lgs. n. 23/2015 alla sola anzianità di servizio (due mensilità per ogni anno), senza consentire al giudice alcuna modulazione basata sulle specificità del caso concreto.

La previsione di una misura risarcitoria uniforme, indipendente dalle peculiarità e dalla diversità delle vicende dei licenziamenti intimati dal datore di lavoro, si traduce in un’indebita omologazione di situazioni che possono essere — e sono, nell’esperienza concreta — diverse, in violazione, quindi, del principio di eguaglianza.

Corte Cost., sentenza 22/01/2024, n. 7

La Corte ha chiarito che la tutela reale non costituisce l’unico paradigma costituzionalmente necessario, potendo il legislatore optare per una tutela indennitaria, purché adeguata e dissuasiva. Ma la misura deve essere personalizzata: il giudice deve determinare l’indennità tra il minimo e il massimo normativamente previsti tenendo conto di molteplici criteri — anzianità, dimensioni dell’impresa, comportamento delle parti, natura del vizio. Il calcolo automatico per anni di servizio moltiplicati per due mensilità era incostituzionale perché annullava questa necessaria personalizzazione.

È esattamente l’approccio che il caso in esame dimostra in azione: la Corte d’Appello di Venezia ha riconosciuto 12,5 mensilità (collocate nella fascia medio-alta della forbice) frutto di una valutazione discrezionale immune da vizi, confermata dalla Cassazione come insindacabile in sede di legittimità.

Corte Costituzionale n. 118/2025: il tetto delle sei mensilità per i datori sottosoglia è incostituzionale

Con la sentenza n. 118 del 21 luglio 2025, la Corte Costituzionale ha dichiarato l’illegittimità costituzionale dell’art. 9, comma 1, del d.lgs. n. 23/2015, nella parte in cui fissava a sei mensilità il tetto massimo dell’indennità per i datori di lavoro sottosoglia (meno di quindici dipendenti).

La previsione di una misura risarcitoria uniforme, indipendente dalle peculiarità e dalla diversità delle vicende dei licenziamenti intimati dal datore di lavoro, si traduce in un’indebita omologazione di situazioni che possono essere — e sono, nell’esperienza concreta — diverse, in violazione, quindi, del principio di eguaglianza.

Corte Cost., sentenza 21/07/2025, n. 118

La Corte ha confermato che il sistema può legittimamente prevedere un’indennità dimezzata per i datori sottosoglia, in ragione delle loro minori capacità economiche, ma ha giudicato incostituzionale il tetto fisso di sei mensilità, perché impedisce al giudice di adeguare il risarcimento alle specificità del caso. Anche per i datori sottosoglia, dunque, il giudice può ora muoversi all’interno di una forbice, applicando l’indennità dimezzata senza il vincolo del massimo. Il sistema si uniforma nella struttura: massima flessibilità di modulazione giudiziale, nel rispetto dei limiti estremi fissati dalla legge.

⚠ NOVITÀ GIURISPRUDENZIALE — 2025/2026 Le sentenze Corte Cost. n. 7/2024 e n. 118/2025 impattano su ogni procedimento in corso in cui si discuta dell’indennità ex art. 3, co. 1, d.lgs. n. 23/2015. Il giudice non può più moltiplicare mensilità per anni di servizio: deve svolgere una valutazione motivata delle circostanze concrete, inclusi le modalità del licenziamento, il comportamento delle parti e la natura del vizio. La Cassazione n. 4371/2026 ne è la conferma pratica: 12,5 mensilità come esito di un giudizio discrezionale, non di un calcolo aritmetico.

5. Condotta informatica e proporzionalità: quando il sospetto non è giusta causa

La vicenda offre un’indicazione preziosa per la gestione dei procedimenti disciplinari che originano da anomalie rilevate sui sistemi informativi aziendali. Il nodo interpretativo centrale è questo: i log di accesso, le tracce di sincronizzazione, gli alert dei sistemi di data loss prevention provano il fatto materiale; ma il fatto materiale, per quanto anomalo e disciplinarmente rilevante, non integra automaticamente la giusta causa di licenziamento.

Occorre l’ulteriore prova del danno: la dimostrazione che i file non si siano fermati alla sincronizzazione interna, ma siano stati trasmessi a destinatari esterni, copiati su supporti rimovibili, caricati su cloud personali, ceduti a soggetti terzi o utilizzati per finalità concorrenziali. In assenza di questa prova, la condotta resta collocata nell’area della disciplina: rilevante, sanzionabile, ma non incompatibile con la prosecuzione del rapporto.

Per il datore di lavoro, questo significa che il procedimento disciplinare per condotte informatiche anomale non può fermarsi alla rilevazione tecnica dell’evento: deve essere corredato da un’indagine forense approfondita, capace di ricostruire il percorso dei dati (dove sono andati, chi li ha ricevuti, se ne è stato fatto uso). Solo con quella prova il licenziamento per giusta causa diventa difendibile in giudizio.

6. Implicazioni operative per datori di lavoro e difensori del lavoratore

Per il datore di lavoro

Prima di intimare il licenziamento per giusta causa in caso di anomalie informatiche, è indispensabile documentare non solo la condotta (accesso, sincronizzazione, movimentazione di file), ma anche le sue conseguenze concrete: i file sono stati inviati a indirizzi esterni? Caricati su servizi cloud personali? Aperti o copiati su supporti rimovibili non aziendali? Il sistema di controllo (svolto nel rispetto dell’art. 4, co. 3, St. Lav. e delle norme sulla protezione dei dati) deve essere in grado di produrre questa prova, non solo la registrazione dell’evento tecnico.

La contestazione disciplinare deve descrivere con precisione il fatto, il danno (anche solo potenziale e documentato), le ragioni per cui la condotta è incompatibile con la prosecuzione del rapporto e il precedente disciplinare del lavoratore. Senza questi elementi, il rischio verificatosi nel caso esaminato (accertamento del fatto, esclusione della proporzionalità, risoluzione con indennità) è elevato.

Per il difensore del lavoratore

Quando il licenziamento per giusta causa si fonda su condotte informatiche di cui è accertata la sussistenza del fatto materiale ma non il danno o la sottrazione, la strategia difensiva primaria è la proporzionalità. L’obiettivo non è solo, o non principalmente, dimostrare che il fatto non esiste (il che condurrebbe alla reintegrazione ex art. 3, co. 2), ma dimostrare che il fatto, pur esistente e pur disciplinarmente rilevante, non raggiunge la soglia della giusta causa. Il risultato, risoluzione del rapporto con indennità, è meno favorevole della reintegrazione ma consente di valorizzare l’assenza di danno e di ottenere un’indennità adeguatamente calibrata, oggi libera dai vincoli del calcolo automatico dichiarato incostituzionale.

Il quantum dell’indennità nella nuova architettura costituzionale

Con il superamento del calcolo automatico imposto dalla Corte Costituzionale (n. 7/2024), il giudice valuta l’indennità ex art. 3, co. 1 tenendo conto di: anzianità di servizio, dimensioni dell’impresa, comportamento delle parti (incluse le modalità del procedimento disciplinare), gravità del vizio del licenziamento, natura della condotta contestata. Nel caso esaminato, 12,5 mensilità su una forbice 6–36 suggerisce che siano stati valorizzati l’anzianità del lavoratore, la strategicità dei file coinvolti e la gravità non banale, pur non definitiva, della condotta accertata.

7. Riepilogo della decisione — Cass. civ., sez. IV lav., ord. n. 4371/2026

Aspetto	Esito
Sussistenza del fatto contestato	Accertata: sincronizzazione di centinaia di file aziendali strategici in giorno di ferie, orario antelucano
Rilevanza disciplinare della condotta	Sì: condotta anomala e disciplinarmente rilevante
Proporzionalità della sanzione espulsiva	No: assenza di prova di danno, sottrazione o trafugamento dei dati
Legittimità del licenziamento per giusta causa	Esclusa
Derubricazione a g.m.s. (richiesta della società)	Inammissibile e comunque infondata per difetto di proporzionalità
Risoluzione del rapporto	Sì: alla data del licenziamento, ex art. 3, co. 1, d.lgs. n. 23/2015
Misura dell’indennità (Corte d’Appello, confermata)	12,5 mensilità
Ricorso principale del lavoratore	Respinto
Ricorso incidentale della società	Respinto
Regime indennitario applicabile	Post Corte Cost. n. 7/2024: indennità modulata discrezionalmente nella forbice 6–36 mensilità

✦ NOTA PRATICA Checklist per il datore di lavoro prima del licenziamento per giusta causa da condotta informatica: (1) il sistema di monitoraggio degli accessi ha operato in conformità all’art. 4, co. 3, St. Lav. e alle norme sulla protezione dei dati (informativa agli interessati, accordo sindacale o autorizzazione ispettorato)? (2) è stata svolta un’indagine forense che documenta non solo la condotta ma anche la destinazione dei file? (3) esiste prova dell’invio a indirizzi esterni, della copia su supporti rimovibili o del caricamento su cloud personali? (4) la contestazione disciplinare descrive il fatto, il danno (anche potenziale) e le ragioni dell’incompatibilità con la prosecuzione del rapporto? (5) il fascicolo disciplinare include i precedenti del lavoratore? In assenza dei punti (2) e (3), il rischio di ottenere solo la risoluzione con indennità — anziché la conferma della giusta causa — è molto elevato.

Fonti

Cass. civ., sez. IV lav., ordinanza 26/02/2026, n. 4371; Corte Cost., sentenza 22/01/2024, n. 7; Corte Cost., sentenza 21/07/2025, n. 118; Corte Cost., sentenza n. 128/2024; D.lgs. 4 marzo 2015, n. 23, artt. 2, 3, 4, 9; Trib. Milano, sentenza 05/06/2024, n. 2893; Trib. Milano, sentenza 12/06/2024, n. 3012; Trib. Bergamo, sentenza 31/10/2023, n. 841.

Il BYOD (Bring Your Own Device), ovvero l’utilizzo di dispositivi elettronici personali da parte dei lavoratori per finalità lavorative, si colloca all’incrocio tra la disciplina della protezione dei dati personali, la normativa sui controlli a distanza, le regole in materia di sicurezza sul lavoro e le disposizioni in tema di organizzazione aziendale. Nel settore privato, la disciplina di riferimento si articola principalmente attorno all’articolo 4 della Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), al Codice in materia di protezione dei dati personali, al Regolamento (UE) 2016/679 (GDPR) e alle indicazioni della giurisprudenza di legittimità e di merito. Per analogia, vengono richiamati anche i principi contenuti nell’articolo 12 del Codice dell’amministrazione digitale, pur normativamente riferiti alle pubbliche amministrazioni.

La distinzione fondamentale: strumento di lavoro o strumento di controllo a distanza?

Il primo nodo interpretativo che ogni datore di lavoro deve sciogliere prima di adottare un modello BYOD riguarda la qualificazione giuridica del dispositivo personale: si tratta di uno strumento utilizzato dal lavoratore per rendere la prestazione lavorativa, oppure di uno strumento dal quale derivi anche la possibilità di controllo a distanza?

La risposta non è indifferente. L’articolo 4 della Legge n. 300/1970 dispone espressamente che la disciplina autorizzatoria — che richiede accordo sindacale o autorizzazione dell’Ispettorato nazionale del lavoro — non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa. I dispositivi personali impiegati in regime BYOD rientrano in questa categoria, purché l’utilizzo sia finalizzato esclusivamente all’esecuzione della prestazione e non sia preordinato a un controllo a distanza dell’attività del lavoratore.

Il quadro cambia radicalmente qualora il datore di lavoro implementi, su quei dispositivi, sistemi di monitoraggio o di controllo: software di tracciamento, sistemi di logging, applicazioni di geolocalizzazione, soluzioni di Mobile Device Management con funzioni di sorveglianza. In questi casi si ricade nell’ambito applicativo dell’articolo 4, con la conseguente necessità di accordo sindacale o autorizzazione amministrativa e di informativa specifica ai lavoratori.

La giurisprudenza di legittimità ha precisato che la disciplina dei controlli a distanza si applica anche agli strumenti tecnologici che, pur essendo utilizzati dal lavoratore per rendere la prestazione, consentano al datore di lavoro un controllo ulteriore e non strettamente necessario all’esecuzione della prestazione stessa. Il confine non è sempre netto e la valutazione va condotta caso per caso, tenendo conto delle funzionalità concretamente attivate sul dispositivo.

Il quadro normativo

L’articolo 4, comma 3, della Legge n. 300/1970 stabilisce che le informazioni raccolte tramite strumenti di lavoro sono utilizzabili a tutti i fini connessi al rapporto di lavoro, ma a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina sulla protezione dei dati personali. La Cassazione (n. 4871/2020) ha chiarito che tale obbligo informativo non distingue tra informative rese prima o dopo l’entrata in vigore del D.Lgs. n. 151/2015: ciò che conta è che l’informativa sia idonea a rendere il lavoratore consapevole delle modalità di utilizzo e di controllo.

L’articolo 160-bis del Codice della privacy aggiunge una conseguenza processuale di rilievo: la validità, l’efficacia e l’utilizzabilità in giudizio di atti, documenti e provvedimenti basati su un trattamento di dati personali non conforme alle disposizioni di legge restano disciplinate dalle pertinenti disposizioni processuali. In altri termini, i dati raccolti illecitamente (perché mancava l’accordo sindacale, o perché il lavoratore non era stato adeguatamente informato) potrebbero essere inutilizzabili a fini disciplinari.

L’articolo 16 del D.Lgs. n. 51/2018 impone al titolare del trattamento di mettere in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, fin dalla fase di ideazione dei sistemi (privacy by design), garantendo che per impostazione predefinita siano trattati solo i dati strettamente necessari per ogni specifica finalità (privacy by default).

Gli adempimenti obbligatori per il datore di lavoro

Nel settore privato, l’adozione di modelli BYOD comporta i seguenti principali adempimenti:

• Qualificazione preventiva del dispositivo: valutare se l’utilizzo di dispositivi personali consenta un controllo a distanza dell’attività dei lavoratori, con conseguente applicazione della disciplina autorizzatoria dell’articolo 4 Statuto dei lavoratori.
• Accordo sindacale o autorizzazione dell’INL: stipulare un accordo con le rappresentanze sindacali aziendali o, in mancanza, ottenere l’autorizzazione dell’Ispettorato nazionale del lavoro per l’installazione di sistemi di monitoraggio sui dispositivi personali.
• Informativa trasparente e dettagliata: fornire ai lavoratori un’informativa chiara sulle modalità d’uso degli strumenti, sulle finalità e sulle modalità dei controlli, sulle misure di sicurezza adottate, in conformità all’articolo 13 GDPR. La mera affissione di un disciplinare generico non è sufficiente.
• Misure tecniche e organizzative adeguate: adottare misure idonee a garantire la sicurezza dei dati trattati tramite dispositivi personali, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali (art. 12 CAD; art. 16 D.Lgs. n. 51/2018).
• Policy BYOD: adottare un regolamento interno che disciplini in modo chiaro le condizioni di utilizzo dei dispositivi personali, le responsabilità degli utenti, le modalità di accesso alle risorse aziendali, le misure di sicurezza da rispettare e le conseguenze in caso di violazione.
• Autorizzazione preventiva all’utilizzo: individuare formalmente i soggetti legittimati all’uso di dispositivi personali e le tipologie di dati trattabili, come affermato dal Tribunale di Torino (n. 1561/2021).
• Valutazione d’impatto (DPIA): effettuare una valutazione d’impatto sulla protezione dei dati quando il trattamento presenta rischi elevati per i diritti e le libertà degli interessati, descrivendone i flussi, la necessità, la proporzionalità e le misure di mitigazione.
• Registro dei trattamenti: tenere un registro aggiornato dei trattamenti effettuati tramite dispositivi personali, con indicazione delle categorie di dati, delle finalità e delle misure di sicurezza adottate.
• Formazione del personale: formare adeguatamente i lavoratori sulle misure di sicurezza, sulle procedure di gestione dei dati e sui rischi connessi all’uso di dispositivi personali — perdita, furto, accesso non autorizzato.
• Consultazione sindacale ove necessario: prevedere, nei casi previsti dalla legge, la consultazione delle rappresentanze sindacali e l’adozione di accordi collettivi.

Le misure tecniche specifiche richieste

Le misure tecniche da adottare in regime BYOD devono essere almeno equivalenti a quelle previste per i dispositivi aziendali, con particolare attenzione alle specificità dei dispositivi personali. Il DPR n. 15/2018 (art. 25) richiama le misure minime di sicurezza che rappresentano ancora un riferimento consolidato per valutare l’adeguatezza delle scelte adottate. In concreto si richiede:

• Autenticazione forte: credenziali di autenticazione individuali, codice identificativo e password riservata modificata almeno ogni sei mesi (ogni tre mesi per dati sensibili o giudiziari), con disattivazione in caso di inutilizzo prolungato.
• Profili di autorizzazione limitati al necessario: accesso ai soli dati necessari per le operazioni di trattamento, con verifica periodica almeno annuale.
• Cifratura e pseudonimizzazione: obbligatorie per trattamenti di dati sensibili, biometrici, genetici o relativi alla salute, ai sensi dell’articolo 2-septies del Codice della privacy.
• Aggiornamento dei sistemi: aggiornamento periodico dei programmi di protezione (antivirus, firewall, sistemi di cifratura), almeno annualmente.
• Backup e ripristino: procedure per la custodia di copie di sicurezza e il ripristino della disponibilità dei dati entro i tempi imposti dalla normativa.
• Cancellazione sicura: in caso di dismissione o riutilizzo del dispositivo, procedure per la cancellazione sicura dei dati aziendali, rendendoli non intelligibili e tecnicamente non ricostruibili.
• Custodia del dispositivo: istruzioni per evitare che i dispositivi personali siano lasciati incustoditi e accessibili durante una sessione di trattamento.
• Audit periodici: verifiche sull’efficacia delle misure adottate, per individuare vulnerabilità e garantire la conformità (Trib. Milano n. 9157/2023).

La giurisprudenza sui controlli difensivi

La Cassazione (nn. 18168/2023 e 25732/2021) ha elaborato una distinzione rilevante tra controlli ordinari e controlli difensivi in senso stretto. I controlli difensivi (quelli diretti ad accertare specificamente condotte illecite ascrivibili, in base a concreti indizi, a singoli dipendenti) si situano al di fuori del perimetro applicativo dell’articolo 4 Statuto dei lavoratori, non avendo ad oggetto la normale attività del lavoratore. Anche in questo caso, tuttavia, devono essere rispettati limiti precisi:

• il controllo deve essere attivato in presenza di un fondato sospetto circa la commissione di un illecito;
• deve essere assicurato un corretto bilanciamento tra le esigenze di protezione degli interessi aziendali e la tutela della dignità e della riservatezza del lavoratore;
• il controllo deve riguardare dati acquisiti successivamente all’insorgere del sospetto, e non dati raccolti in via preventiva e generalizzata.

Un controllo che non rispetti queste condizioni (anche se tecnicamente riferito a un dispositivo personale) può risultare illecito, con conseguente inutilizzabilità dei dati raccolti a fini disciplinari. Il confine tra controllo difensivo legittimo e sorveglianza generalizzata illecita dipende dalle circostanze concrete del caso e va valutato con rigore.

Utilizzo senza autorizzazione: una condotta sanzionabile

Il Tribunale di Torino (n. 1561/2021) ha chiarito che l’utilizzo di dispositivi personali per finalità lavorative è consentito solo se espressamente autorizzato e regolamentato dal datore di lavoro. In assenza di autorizzazione, tale utilizzo costituisce violazione delle policy interne e può esporre il datore di lavoro a responsabilità per trattamenti illeciti o non conformi alla normativa sulla privacy. In quel caso, il Tribunale ha ritenuto legittima la sanzione disciplinare irrogata a un dipendente che aveva utilizzato una videocamera personale per finalità lavorative senza autorizzazione, evidenziando il rischio di trattamento illecito di dati.

Gli obblighi di collaborazione del lavoratore

Il rapporto BYOD non è a senso unico: anche il lavoratore è titolare di precisi obblighi. Ai sensi dell’articolo 20 del D.Lgs. n. 81/2008, il lavoratore che utilizza dispositivi personali per finalità lavorative è tenuto a prendersi cura della propria salute e sicurezza e di quella delle altre persone presenti sul luogo di lavoro, su cui ricadono gli effetti delle sue azioni o omissioni, conformemente alla sua formazione, alle istruzioni e ai mezzi forniti dal datore di lavoro. Deve osservare le disposizioni e le istruzioni impartite ai fini della protezione collettiva e individuale e utilizzare correttamente le attrezzature di lavoro e i dispositivi di sicurezza.

Sul versante privacy, la Cassazione (n. 33809/2021) ha precisato che la produzione in giudizio di documenti contenenti dati personali — inclusi quelli acquisiti tramite dispositivo personale — è consentita solo se necessaria per l’esercizio del diritto di difesa e nel rispetto dei principi di correttezza, pertinenza e non eccedenza.

Conclusione

Il BYOD nel settore privato è lecito e praticabile, ma presuppone una rigorosa osservanza delle regole in materia di controlli a distanza, protezione dei dati personali, sicurezza informatica e trasparenza nei confronti dei lavoratori. Il regime giuridico si fonda su un delicato bilanciamento tra le esigenze organizzative dell’impresa, la tutela del patrimonio aziendale, la protezione dei dati personali e la salvaguardia della dignità e della riservatezza dei lavoratori. In assenza di una governance adeguata (che comprenda policy interne, informative specifiche, misure tecniche proporzionate e, ove necessario, accordo sindacale) l’adozione di modelli BYOD può esporre il datore di lavoro a responsabilità civile, sanzioni amministrative del Garante e, cosa spesso sottovalutata, all’inutilizzabilità in sede disciplinare dei dati raccolti.

Nel diritto del lavoro italiano, il fondamento delle sanzioni disciplinari risiede nell’articolo 2106 del Codice civile, che dispone: l’inosservanza delle disposizioni in materia di diligenza, obbedienza e fedeltà può dar luogo all’applicazione di sanzioni disciplinari secondo la gravità dell’infrazione e in conformità delle norme corporative. La legge impone quindi un sistema graduato, costruito attorno al principio di proporzionalità: la sanzione deve essere commisurata alla gravità della condotta e alle circostanze concrete.

Il principio di proporzionalità applicato agli strumenti digitali

L’utilizzo di internet, posta elettronica e dispositivi aziendali è soggetto alle medesime regole generali. L’uso improprio degli strumenti aziendali può costituire violazione degli obblighi contrattuali. A seconda della gravità e della reiterazione della condotta, può essere sanzionato disciplinarmente fino al licenziamento. Il datore di lavoro è tenuto a provare la sussistenza della giusta causa o del giustificato motivo di licenziamento, come previsto dall’articolo 5 della Legge n. 604/1966.

La scala delle sanzioni

Il sistema sanzionatorio si articola in modo progressivo. L’articolo 2106 c.c. non fissa sanzioni predeterminate per ogni fattispecie: spetta al datore di lavoro, guidato dalla contrattazione collettiva e dai regolamenti interni, scegliere la sanzione adeguata. Questa va dal richiamo verbale alla sospensione dal servizio, fino al licenziamento per giusta causa nei casi più gravi. L’assenza di recidiva, l’occasionalità della condotta e l’entità del danno sono sempre fattori che incidono sulla misura della sanzione applicabile.