[Cessazione del Rapporto]  [Accesso Abusivo]  [Responsabilità Datoriale]

Il rapporto di lavoro è cessato, ma le credenziali sono ancora attive. È un errore operativo frequente e le sue conseguenze giuridiche ricadono, a cascata, sull’ex dipendente, sul datore di lavoro e su chiunque abbia avuto accesso a dati protetti.

1. La cessazione del rapporto come perdita automatica del titolo legittimante

La giurisprudenza è categorica: la legittimazione all’accesso ai sistemi informatici aziendali è strettamente e inscindibilmente collegata alla sussistenza del rapporto di lavoro. La cessazione del rapporto per qualunque causa (dimissioni, licenziamento, scadenza del termine, pensionamento, risoluzione consensuale) comporta automaticamente e immediatamente la perdita del titolo legittimante, a prescindere dalla materiale disattivazione delle credenziali da parte del datore di lavoro.

Questo principio, affermato con chiarezza dalla Cassazione penale (sez. V, n. 18284/2019), ha una conseguenza di estrema importanza pratica: la mancata revoca tecnica delle credenziali non ‘sana’ in alcun modo la condotta dell’ex dipendente che vi accede. Non è una lacuna normativa che l’ex dipendente possa sfruttare a suo vantaggio.

2. Il caso paradigmatico: accesso alla casella e-mail aziendale

La sentenza Cass. pen., sez. V, n. 18284/2019 ha affrontato un caso divenuto emblematico nella prassi: un soggetto, dopo la cessazione del rapporto di lavoro, aveva continuato ad accedere alla casella di posta elettronica aziendale, modificando le credenziali e rendendola inaccessibile al legittimo titolare. La Corte ha affermato:

Integra il delitto previsto dall’art. 615-ter cod. pen. colui che, pur essendo abilitato, acceda o si mantenga in un sistema informatico o telematico protetto violando le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso, rimanendo invece irrilevanti, ai fini della sussistenza del reato, gli scopi e le finalità che abbiano soggettivamente motivato l’ingresso nel sistema.

Cass. pen., sez. V, n. 18284/2019

La Corte ha inoltre esteso al settore privato i principi elaborati per il pubblico funzionario, valorizzando i doveri di fedeltà e lealtà che connotano anche il rapporto di lavoro privatistico.

3. Il concorso di reati: dall’accesso abusivo agli ulteriori illeciti

L’ex dipendente che accede ai sistemi con le vecchie credenziali non commette solo il reato di accesso abusivo. A seconda del contenuto dell’accesso e delle operazioni compiute, possono configurarsi in concorso:

• Danneggiamento di dati informatici (artt. 635-bis e ss. c.p.), se l’accesso comporta cancellazione, alterazione o distruzione di dati;
• Violazione di segreti aziendali (art. 623 c.p.), se vengono sottratte informazioni riservate con conseguente danno per il datore di lavoro;
• Trattamento illecito di dati personali (art. 167 D.Lgs. 196/2003), se l’accesso comporta l’acquisizione di dati personali di terzi (clienti, colleghi, fornitori);
• Illeciti civilistici per violazione del patto di non concorrenza o degli obblighi contrattuali di riservatezza.

4. La responsabilità, spesso sottovalutata, del datore di lavoro

La mancata disattivazione tempestiva delle credenziali non è solo una negligenza operativa: è una violazione normativa con conseguenze giuridiche dirette in capo al datore di lavoro, su tre piani distinti.

Piano amministrativo-privacy

L’inosservanza delle misure minime di sicurezza previste dall’art. 25 del DPR 15/2018, che impone la disattivazione delle credenziali in caso di perdita della qualità che consente l’accesso ai dati, espone il datore di lavoro a sanzioni da parte del Garante per la protezione dei dati personali.

Piano civile

Qualora l’accesso abusivo dell’ex dipendente abbia causato danni a terzi (clienti, fornitori, dipendenti), il datore di lavoro può essere chiamato a rispondere in sede civile per responsabilità aquiliana, ove si dimostri che la mancata revoca tempestiva delle credenziali costituiva la causa (concorrente) del danno. Il Tribunale di Catanzaro (n. 847/2023) ha applicato questi principi ritenendo integrata la responsabilità del titolare del trattamento per mancata adozione di misure di sicurezza idonee.

Piano penale

Nei casi più gravi, la tolleranza sistematica di prassi non conformi o la mancata disattivazione delle credenziali può esporre il datore di lavoro a responsabilità penale in concorso, anche sotto il profilo della colpa, se l’omissione ha agevolato la commissione del reato da parte dell’ex dipendente.

5. La tempistica: quanto tempo è ‘troppo’?

La normativa non fissa un termine espresso in ore o giorni, ma impone la ‘tempestività immediata’ della revoca. La prassi consolidata, in linea con le indicazioni del Garante e con le best practice internazionali, richiede che la disattivazione avvenga contestualmente o comunque entro poche ore dalla cessazione del rapporto. Il superamento reiterato di tale standard integra, come si vedrà nel Post 7, una ‘negligenza sistemica’ distinta dall’errore umano occasionale.