La sottrazione non autorizzata di dati aziendali — tramite chiavette USB, servizi cloud personali come Dropbox o Google Drive, oppure stampe cartacee — rappresenta uno dei rischi più gravi per il patrimonio informativo delle imprese. La giurisprudenza ha elaborato un sistema di tutele su tre livelli: disciplinare, civile e penale.

Il profilo disciplinare

L’esfiltrazione di dati aziendali tramite supporti removibili, cloud personali o stampe costituisce una grave violazione degli obblighi di diligenza, fedeltà e riservatezza posti a carico del lavoratore dagli articoli 2104 e 2105 c.c., nonché dalle policy aziendali e dagli eventuali accordi di riservatezza sottoscritti. La giurisprudenza ha costantemente ritenuto che la sottrazione, la copia o la divulgazione non autorizzata di dati aziendali costituisca giusta causa di licenziamento, in quanto idonea a ledere irrimediabilmente il vincolo fiduciario.

La Corte d’Appello di Roma (n. 1923/2023) ha confermato la legittimità del licenziamento per giusta causa nei confronti di una dipendente che aveva copiato e trasferito massivamente dati aziendali su supporti esterni e aveva consentito l’accesso da remoto a soggetti non autorizzati. Il Tribunale di Milano (n. 5705/2025) ha ritenuto che la copia massiva di file e documenti aziendali, specie se seguita dalla cancellazione degli stessi dai dispositivi aziendali, costituisca una violazione disciplinare di gravità tale da giustificare il licenziamento.

Il profilo civile: segreti commerciali e concorrenza sleale

Sul piano civile, la sottrazione e l’utilizzo non autorizzato di dati aziendali può integrare una violazione dei segreti commerciali ai sensi degli articoli 98 e 99 del Codice della Proprietà Industriale, con conseguente responsabilità per il risarcimento del danno. Il Tribunale di Milano (n. 5705/2025) ha condannato gli ex dipendenti che avevano sottratto e detenuto informazioni segrete all’inibitoria dell’uso dei dati, all’eliminazione e distruzione dei supporti contenenti le informazioni, al pagamento di penali per ogni violazione e al risarcimento del danno emergente.

La condotta può inoltre integrare atti di concorrenza sleale ai sensi dell’art. 2598 n. 3 c.c., con conseguente diritto al risarcimento del danno e all’adozione di misure inibitorie e correttive, come il ritiro dal commercio di prodotti realizzati utilizzando i dati sottratti.

Il profilo penale

Sul piano penale, la sottrazione, la rivelazione o l’impiego a proprio o altrui profitto di segreti commerciali apprese per ragioni di lavoro integra il reato di cui all’art. 623 c.p., punito con la reclusione fino a due anni, aumentata se il fatto è commesso tramite strumenti informatici. La Cassazione (n. 3000/2020) ha chiarito che il concetto di ‘profitto’ comprende ogni utilità, anche non patrimoniale, e che la tutela penale si estende a tutte le informazioni riservate che costituiscono il know-how aziendale, anche se non brevettabili. L’accesso abusivo a un sistema informatico da parte del dipendente, anche se abilitato ma in violazione delle prescrizioni organizzative, integra il reato di cui all’art. 615-ter c.p. (Cass. pen. n. 27900/2023).

Quando la copia è lecita: il diritto di difesa

La Corte d’Appello di Roma (n. 1923/2023) ha affermato che il diritto di difesa può avere valenza scriminante di una condotta illecita solo nel rispetto dei doveri di correttezza, pertinenza e non eccedenza. L’inoltro strettamente necessario e proporzionato, limitato ai dati pertinenti, può costituire scriminante, mentre la sottrazione massiva e indiscriminata di dati, specie se accompagnata da modalità fraudolente (installazione di software non autorizzati, accesso da remoto di terzi), esula dall’ambito del diritto di difesa.

L’adozione di modelli BYOD senza le necessarie cautele espone il datore di lavoro a responsabilità significative sul piano amministrativo, civile e, in taluni casi, penale. La legge impone l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi. La mancanza di misure adeguate non richiede un danno effettivo per far sorgere responsabilità.

Responsabilità amministrativa

La mancata adozione di misure proporzionate, anche in assenza di un danno effettivo, comporta per il datore di lavoro una responsabilità oggettiva in relazione al rischio professionale. Il D.Lgs. n. 138/2024 (art. 24) stabilisce che i soggetti che rilevano di non essere conformi alle misure minime sono tenuti ad adottare senza indebito ritardo tutte le misure correttive appropriate e proporzionate. La Corte d’Appello di Napoli (n. 4501/2025) ha affermato che la responsabilità per incidenti informatici non è subordinata alla prova di un danno effettivo, ma discende dalla sola inadeguatezza delle misure adottate rispetto al rischio tipico dell’attività svolta.

Inutilizzabilità dei dati raccolti illecitamente

Una conseguenza particolarmente rilevante in ambito disciplinare riguarda l’inutilizzabilità dei dati raccolti in violazione delle norme sui controlli a distanza. La Cass. n. 18168/2023 e la Corte d’Appello di Roma (n. 4371/2023) hanno confermato che i dati raccolti senza adeguata informativa o in assenza di accordo sindacale non possono essere utilizzati a fini disciplinari. Ciò significa che, anche se il datore di lavoro ha effettivamente accertato una condotta illecita del dipendente, il procedimento disciplinare può essere compromesso dall’illegittimità delle prove.

Responsabilità civile risarcitoria

Il datore di lavoro risponde civilmente dei danni subiti dai lavoratori e dai terzi a causa dell’inadeguatezza delle misure di sicurezza adottate. La Corte dei Conti (n. 398/2023 e n. 95/2022) ha chiarito che in assenza di adeguata informazione e formazione ai dipendenti, il datore di lavoro non può imputare al dipendente la colpa grave per i danni derivanti da un uso improprio dei dispositivi, e può essere chiamato a rispondere in proprio per i danni subiti dall’ente o da terzi.

Il caso del virus informatico (Corte d’Appello Roma n. 4371/2023)

In un caso di licenziamento per giusta causa, la Corte d’Appello di Roma ha ritenuto legittima la sanzione espulsiva nei confronti di una lavoratrice che aveva utilizzato il computer aziendale per fini privati, provocando la diffusione di un virus che aveva criptato dati e reso inutilizzabili le cartelle elettroniche aziendali. La Corte ha valorizzato la consapevolezza della lavoratrice circa le regole d’uso degli strumenti informatici e la recidiva. Tuttavia, in un caso analogo, la Corte dei Conti (n. 398/2023) ha escluso la responsabilità del dipendente valorizzando che l’amministrazione aveva implicitamente tollerato l’uso occasionale per fini personali e non aveva adeguatamente informato del disciplinare.

L’adozione di un modello BYOD impone al datore di lavoro obblighi stringenti in materia di sicurezza informatica e protezione dei dati personali. Il GDPR, recepito nell’ordinamento italiano dal D.Lgs. n. 101/2018, impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. In presenza di trattamenti che presentano rischi elevati per i diritti e le libertà delle persone fisiche, è obbligatoria la valutazione d’impatto (DPIA) prima di procedere al trattamento.

Le misure tecniche richieste

Separazione logica e fisica dei dati

La separazione logica e fisica tra dati aziendali e dati personali del dipendente rappresenta un requisito fondamentale per la gestione sicura dei dispositivi BYOD. Le soluzioni tecniche considerate più efficaci dalla prassi e dalla giurisprudenza sono la virtualizzazione degli ambienti di lavoro (che isola l’ambiente aziendale da quello personale sullo stesso dispositivo), l’uso di container crittografati per i dati aziendali accessibili solo tramite autenticazione forte, la gestione centralizzata delle policy di sicurezza che permette la cancellazione selettiva dei dati aziendali senza incidere su quelli personali, e la segmentazione delle reti con sistemi Mobile Device Management (MDM).

Autenticazione forte

Devono essere implementati sistemi di autenticazione forte, preferibilmente a più fattori, con meccanismi di autorizzazione che limitino l’accesso alle informazioni in base al ruolo e alle necessità operative. L’adeguatezza dell’autenticazione forte in BYOD deve essere valutata in funzione del rischio e della diversità dei dispositivi.

Tracciamento e audit

È necessario implementare sistemi di tracciamento delle operazioni (log) e di audit periodico per verificare la legittimità degli accessi ai dati effettuati dagli incaricati, l’integrità dei dati e delle procedure informatiche, nonché la corretta conservazione dei file di log (Trib. Milano n. 9157/2023).

Il principio di accountability

Il principio di accountability impone al titolare del trattamento non solo di adottare misure adeguate, ma anche di essere in grado di dimostrare in ogni momento la conformità delle proprie scelte e processi alle prescrizioni normative. Nel contesto BYOD ciò si traduce in: redazione e aggiornamento di policy interne che disciplinino l’uso dei dispositivi personali; informativa e consenso trasparenti ai lavoratori; tenuta di un registro dei trattamenti effettuati tramite dispositivi personali; esecuzione di audit periodici; procedure chiare per la gestione degli incidenti, inclusa la notifica al Garante e agli interessati in caso di data breach (TAR Bologna n. 618/2022).

La DPIA in ambito BYOD

Come chiarito dal TAR Bologna (n. 618/2022), ogniqualvolta il trattamento dei dati comporti rischi elevati per i diritti e le libertà degli interessati — come nel caso del BYOD — il titolare è tenuto a effettuare una valutazione d’impatto sulla protezione dei dati. La DPIA deve contenere una descrizione del trattamento, una valutazione della necessità e proporzionalità, una stima dei rischi e le misure adottate per mitigarli. La mancata effettuazione della DPIA espone il datore di lavoro a sanzioni amministrative da parte del Garante e, nei casi più gravi, a responsabilità per danno erariale.

La diffusione dei social media ha aperto nuovi fronti nel diritto del lavoro. La giurisprudenza italiana si è confrontata ripetutamente con casi in cui la pubblicazione di contenuti offensivi, denigratori o diffamatori ha giustificato sanzioni disciplinari, fino al licenziamento per giusta causa.

Il principio fondamentale: limiti alla libertà di espressione

La Corte di Cassazione ha costantemente affermato che la libertà di manifestazione del pensiero del lavoratore, anche attraverso i social media, incontra limiti precisi: il rispetto dei doveri di correttezza, buona fede e tutela della reputazione del datore di lavoro. La pubblicazione di contenuti offensivi, diffamatori o denigratori nei confronti dell’azienda o dei suoi rappresentanti può integrare giusta causa di licenziamento, soprattutto quando la diffusione avvenga tramite profili o pagine accessibili a un numero indeterminato di persone.

Il caso Facebook (Cass. n. 10280/2018)

La Corte di Cassazione ha ritenuto che la pubblicazione su Facebook di espressioni gravemente offensive nei confronti dell’azienda e dei suoi rappresentanti, accessibili a una platea indeterminata di utenti, integra una condotta diffamatoria idonea a ledere irrimediabilmente il vincolo fiduciario e a giustificare il licenziamento per giusta causa. La Corte ha sottolineato che la valutazione della gravità della condotta deve tenere conto dell’ampiezza della diffusione, del contenuto del messaggio e della sua idoneità a ledere l’immagine aziendale.

Post contro i superiori (Cass. n. 27939/2021)

La Cassazione ha confermato il licenziamento per giusta causa di un lavoratore che aveva pubblicato su Facebook contenuto gravemente offensivo e sprezzante nei confronti dei superiori, ritenendo la condotta insubordinata e idonea a ledere il vincolo fiduciario. Il post era accessibile a una platea ampia di utenti, il che ne aggravava la portata lesiva.

Comunicazioni private vs. pubbliche: una distinzione rilevante

La Cassazione ha precisato (n. 21965/2018) che la rilevanza disciplinare di una comunicazione su social media dipende anche dalla sua dimensione pubblica o privata. Un messaggio inviato in una chat privata può avere una rilevanza disciplinare diversa rispetto a un post pubblicato su un profilo aperto a tutti. I criteri di valutazione sono la genericità o la specificità del destinatario, la carica dispregiativa del contenuto e la sua idoneità a ledere la reputazione.

I criteri di lesività elaborati dalla giurisprudenza

• Il contenuto deve essere oggettivamente offensivo, superando i limiti della critica legittima
• Il post deve riferirsi specificamente all’azienda, ai suoi dirigenti o all’amministrazione di appartenenza
• L’ampiezza della diffusione aggrava la lesività: un profilo pubblico è più grave di uno privato
• Comunicare un mero ‘inadempimento contrattuale’ a una società in modo generico, senza carica dispregiativa, non integra diffamazione (Cass. pen. n. 4448/2020)