L’adozione di modelli BYOD senza le necessarie cautele espone il datore di lavoro a responsabilità significative sul piano amministrativo, civile e, in taluni casi, penale. La legge impone l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi. La mancanza di misure adeguate non richiede un danno effettivo per far sorgere responsabilità.

Responsabilità amministrativa

La mancata adozione di misure proporzionate, anche in assenza di un danno effettivo, comporta per il datore di lavoro una responsabilità oggettiva in relazione al rischio professionale. Il D.Lgs. n. 138/2024 (art. 24) stabilisce che i soggetti che rilevano di non essere conformi alle misure minime sono tenuti ad adottare senza indebito ritardo tutte le misure correttive appropriate e proporzionate. La Corte d’Appello di Napoli (n. 4501/2025) ha affermato che la responsabilità per incidenti informatici non è subordinata alla prova di un danno effettivo, ma discende dalla sola inadeguatezza delle misure adottate rispetto al rischio tipico dell’attività svolta.

Inutilizzabilità dei dati raccolti illecitamente

Una conseguenza particolarmente rilevante in ambito disciplinare riguarda l’inutilizzabilità dei dati raccolti in violazione delle norme sui controlli a distanza. La Cass. n. 18168/2023 e la Corte d’Appello di Roma (n. 4371/2023) hanno confermato che i dati raccolti senza adeguata informativa o in assenza di accordo sindacale non possono essere utilizzati a fini disciplinari. Ciò significa che, anche se il datore di lavoro ha effettivamente accertato una condotta illecita del dipendente, il procedimento disciplinare può essere compromesso dall’illegittimità delle prove.

Responsabilità civile risarcitoria

Il datore di lavoro risponde civilmente dei danni subiti dai lavoratori e dai terzi a causa dell’inadeguatezza delle misure di sicurezza adottate. La Corte dei Conti (n. 398/2023 e n. 95/2022) ha chiarito che in assenza di adeguata informazione e formazione ai dipendenti, il datore di lavoro non può imputare al dipendente la colpa grave per i danni derivanti da un uso improprio dei dispositivi, e può essere chiamato a rispondere in proprio per i danni subiti dall’ente o da terzi.

Il caso del virus informatico (Corte d’Appello Roma n. 4371/2023)

In un caso di licenziamento per giusta causa, la Corte d’Appello di Roma ha ritenuto legittima la sanzione espulsiva nei confronti di una lavoratrice che aveva utilizzato il computer aziendale per fini privati, provocando la diffusione di un virus che aveva criptato dati e reso inutilizzabili le cartelle elettroniche aziendali. La Corte ha valorizzato la consapevolezza della lavoratrice circa le regole d’uso degli strumenti informatici e la recidiva. Tuttavia, in un caso analogo, la Corte dei Conti (n. 398/2023) ha escluso la responsabilità del dipendente valorizzando che l’amministrazione aveva implicitamente tollerato l’uso occasionale per fini personali e non aveva adeguatamente informato del disciplinare.