[GDPR]  [Privacy by Design]  [Accountability]  [Protezione dei Dati]

Il GDPR non è un mero adempimento burocratico: è un sistema di responsabilità che, applicato alla gestione delle credenziali informatiche, impone al datore di lavoro di dimostrare, non solo di affermare, di aver fatto tutto il necessario per proteggere i dati. Il principio di accountability ridisegna l’intera governance della sicurezza informatica aziendale.

1. Il GDPR e la gestione delle credenziali: il quadro

Il Regolamento (UE) 2016/679 non disciplina espressamente la gestione delle credenziali informatiche, ma i suoi principi fondamentali, in particolare il principio di accountability (art. 5, par. 2), il principio di privacy by design e by default (art. 25), e l’obbligo di adottare misure tecniche e organizzative adeguate (art. 32), si applicano con piena forza a questo aspetto della sicurezza informatica aziendale.

2. Il principio di accountability e il suo significato pratico

Il principio di accountability, codificato nell’art. 5, par. 2, GDPR, impone al titolare del trattamento non solo di rispettare i principi di protezione dei dati, ma di essere in grado di dimostrarlo. Applicato alla gestione delle credenziali, questo significa:

• non è sufficiente adottare le misure — occorre documentarle;
• non è sufficiente predisporre procedure — occorre verificarne l’applicazione;
• non è sufficiente affermare di aver formato il personale — occorre provarlo con registri, attestati, firme di presa visione.

Il Tribunale di Bari (n. 1780/2025) ha applicato questo principio con rigore: il datore di lavoro deve fornire la prova positiva di aver valutato autonomamente il rischio e di aver attuato misure organizzative e tecniche idonee. In assenza di tale prova, la responsabilità è presunta.

3. Privacy by design e by default nella gestione delle credenziali

L’art. 25 GDPR impone di progettare i sistemi di gestione delle credenziali tenendo conto, fin dalla fase di ideazione, dei principi di protezione dei dati. In concreto:

• i sistemi devono essere configurati, per impostazione predefinita, in modo da limitare l’accesso ai soli dati necessari per ogni specifica funzione (minimizzazione);
• le credenziali devono scadere automaticamente dopo un periodo di inutilizzo;
• i profili di autorizzazione devono essere aggiornati automaticamente in risposta a variazioni organizzative;
• la condivisione delle credenziali deve essere tecnicamente impedita, oltre che regolamentarmente vietata.

4. L’integrazione con la normativa nazionale: DPR 15/2018 e D. Lgs. 51/2018

Il GDPR si applica in stretto coordinamento con la normativa nazionale. In particolare:

• Il DPR 15/2018 (art. 25) specifica le misure minime per i trattamenti nel settore pubblico, con principi analogici applicabili al settore privato;
• Il D. Lgs. 51/2018 (art. 16) disciplina i trattamenti in materia penale e processuale, con obblighi di pseudonimizzazione e misure rafforzate per i dati sensibili;
• Il D. Lgs. 138/2024 (NIS2) introduce, per i soggetti rilevanti, obblighi specifici di autenticazione a più fattori e gestione sicura delle identità digitali.

5. La DPIA e le credenziali: quando è obbligatoria

La valutazione d’impatto sulla protezione dei dati (DPIA, art. 35 GDPR) è obbligatoria quando il trattamento presenta rischi elevati per i diritti e le libertà degli interessati. Nei contesti in cui il sistema di gestione delle credenziali governa l’accesso a grandi quantità di dati personali, o a dati particolari (sensibili, giudiziari), la DPIA non è opzionale. Il Tribunale di Milano (n. 9157/2023) e la Corte d’Appello (Bologna, n. 618/2022) hanno valorizzato l’assenza di DPIA come elemento aggravante nella valutazione della responsabilità del titolare.

6. Il responsabile del trattamento e la catena di responsabilità

Quando la gestione tecnica delle credenziali è affidata a un soggetto esterno (responsabile del trattamento ex art. 28 GDPR), il datore di lavoro non può scaricare su di esso la responsabilità in caso di violazione. Il Tribunale di Pordenone (n. 329/2023) ha affermato con chiarezza che il titolare del trattamento mantiene un dovere di coordinamento attivo e di somministrazione documentata di istruzioni, non potendosi esimere dal verificare la correttezza del trattamento dei dati, anche quando la gestione tecnica è affidata a un responsabile esterno.

La nomina di un DPO e la stipulazione di un contratto ex art. 28 GDPR non esonerano il titolare dalla vigilanza effettiva.

✦ NOTA PRATICA Il Registro dei Trattamenti (art. 30 GDPR) deve includere, tra i trattamenti descritti, il sistema di gestione delle credenziali, con indicazione: (a) categorie di dati trattati; (b) finalità (sicurezza dei sistemi, accesso ai dati); (c) misure di sicurezza adottate; (d) eventuali responsabili esterni del trattamento; (e) tempi di conservazione dei log di accesso. L’assenza di questa voce nel Registro può essere rilevata in sede di ispezione del Garante come indice di inadempimento complessivo.

[Gestione delle Credenziali]  [Responsabilità Datoriale]  [Offboarding]

Quanto tempo ha il datore di lavoro per revocare le credenziali di un ex dipendente? La normativa non fissa un’ora esatta ma fissa uno standard di tempestività e immediatezza che la giurisprudenza sta applicando in modo sempre più rigoroso.

1. Il principio di tempestività: contenuto e portata

La normativa, sia il DPR 15/2018 che il GDPR e la normativa NIS2, non fissa un termine espresso in ore o giorni per la revoca delle credenziali dopo la cessazione del rapporto di lavoro o la perdita della qualifica. Tuttavia, utilizza termini inequivoci: ‘immediata comunicazione’, ‘tempestiva disattivazione’, ‘immediatezza dell’azione’. La prassi consolidata, in linea con le indicazioni del Garante per la protezione dei dati personali e con le best practice internazionali (ISO 27001), richiede che la revoca avvenga contestualmente o entro poche ore dalla cessazione.

2. Errore umano occasionale vs. negligenza sistemica

La giurisprudenza ha elaborato una distinzione fondamentale, con rilevanti effetti sulla responsabilità del datore di lavoro:

Errore Umano Occasionale	Negligenza Sistemica
Mancato aggiornamento isolato, non reiterato	Omissioni reiterate, strutturali, non corrette
Presenza di procedure organizzative adeguate	Assenza di procedure formalizzate
Personale formato e informato	Mancanza di formazione documentata
Sistemi di controllo e audit attivi	Assenza di controlli periodici
Può non fondare responsabilità del datore	Fonda piena responsabilità datoriale

Le Corti d’Appello di Ancona (n. 18/2021) e di Napoli (n. 4123/2021), riferendosi al settore bancario, hanno affermato che la responsabilità del datore di lavoro è di tipo ‘oggettivo aggravato’ quando si tratta di gestione professionale di dati sensibili: il soggetto si libera solo provando di aver adottato tutte le misure opportune e idonee.

3. L’inversione dell’onere della prova

In caso di danno derivante da accesso non autorizzato reso possibile dalla mancata revoca delle credenziali, l’onere della prova grava sul datore di lavoro: è questi che deve dimostrare di aver adottato misure tecniche e organizzative adeguate e proporzionate. L’assenza di documentazione scritta sulle procedure adottate costituisce elemento a sfavore, che non permette di avvalersi della prova liberatoria. Il Tribunale di Bari (n. 1780/2025) ha ribadito che il datore di lavoro deve fornire la prova positiva di aver valutato autonomamente il rischio e di aver attuato misure idonee.

4. Le cause di esonero: un catalogo ristretto

La responsabilità del datore di lavoro per la mancata revoca può essere esclusa o attenuata solo in presenza di circostanze molto specifiche, la cui prova grava interamente sul datore di lavoro:

• adozione di tutte le misure tecniche e organizzative idonee a prevenire il rischio, secondo lo stato dell’arte;
• evento dannoso causato da una causa esterna imprevedibile e inevitabile, al di fuori della sfera di controllo datoriale (Corte d’Appello L’Aquila, n. 368/2025);
• comportamento colposo del dipendente che, dopo la cessazione, utilizzi indebitamente le credenziali nonostante diffida formale ricevuta (art. 1227 c.c.).

La stipulazione di accordi specifici con il dipendente o la delega della gestione a soggetti esterni NON esonera il datore di lavoro dalla responsabilità, se non è accompagnata da un controllo effettivo dell’esecuzione.

5. Automatizzazione come presidio giuridico

La giurisprudenza più recente suggerisce implicitamente che la prevenzione del rischio di responsabilità passa attraverso la costruzione di procedure automatizzate: disattivazione automatica delle credenziali al momento dell’inserimento della data di cessazione nel sistema HR; alert automatici per credenziali inutilizzate da oltre sei mesi; sistemi di revisione periodica dei profili di autorizzazione. L’automazione non solo riduce il rischio operativo, ma costituisce prova dell’adozione di misure adeguate.

6. La responsabilità in caso di perdita della qualità per cambio di mansioni

La Corte d’Appello di Napoli (n. 418/2025) e la Cassazione penale (n. 43385/2023) hanno specificato che l’obbligo di disattivazione non riguarda solo i casi di cessazione del rapporto, ma anche ogni variazione delle mansioni che faccia venire meno la necessità di accesso a determinati dati. La ‘qualità legittimante’ è funzionale, non formale: si valuta in base alle mansioni effettivamente svolte.

✦ NOTA PRATICA Standard di processo raccomandato: (1) inserimento automatico, nel sistema HR, della data di fine rapporto o di cambio mansioni; (2) workflow automatico di notifica all’IT per la disattivazione delle credenziali entro 2 ore; (3) checklist documentata di tutti i sistemi da cui revocare l’accesso; (4) firma ricevuta dall’IT con timestamp della disattivazione; (5) audit semestrale sulle credenziali attive vs. personale in forza; (6) report annuale al DPO o al responsabile della compliance. Ogni passaggio deve essere documentato: la documentazione è la prova liberatoria.

Quadro normativo di riferimento

Per assumere un lavoratore con un contratto a tempo determinato della durata di 18 mesi, la legge italiana prevede regole precise sulle cosiddette “causali”, cioè le motivazioni che giustificano l’apposizione di un termine al rapporto di lavoro. La disciplina attuale è contenuta nel decreto legislativo 15 giugno 2015, n. 81, come modificato dal cosiddetto “Decreto Dignità” (decreto-legge 12 luglio 2018, n. 87, convertito in legge 9 agosto 2018, n. 96). Queste norme si applicano a tutti i contratti a tempo determinato stipulati dopo l’entrata in vigore del decreto, nonché ai rinnovi e alle proroghe successivi al 31 ottobre 2018.

Durata massima e soglia delle causali

La legge dispone che il contratto di lavoro subordinato può essere stipulato a tempo determinato per una durata massima di 12 mesi senza necessità di indicare alcuna causale, cioè senza dover specificare il motivo per cui si assume a termine. Tuttavia, se si vuole stipulare un contratto di durata superiore a 12 mesi, come nel caso di un’assunzione per 18 mesi, è obbligatorio indicare almeno una delle causali previste dalla legge.

Le causali previste dalla legge

Secondo la legge, il contratto a termine può superare i 12 mesi (fino a un massimo di 24 mesi) solo in presenza di almeno una delle seguenti condizioni:

a) esigenze temporanee e oggettive, estranee all’ordinaria attività, oppure esigenze di sostituzione di altri lavoratori;

b) esigenze connesse a incrementi temporanei, significativi e non programmabili, dell’attività ordinaria.

In altre parole, il datore di lavoro può assumere a termine per più di 12 mesi solo se ricorre una delle seguenti situazioni:

• c’è una necessità temporanea che non rientra nell’attività ordinaria dell’azienda (ad esempio, un progetto straordinario, una commessa eccezionale, un evento imprevisto che richiede personale aggiuntivo per un periodo limitato);
• si deve sostituire un lavoratore assente (ad esempio, per maternità, malattia, aspettativa, ecc.);
• si verifica un aumento temporaneo, significativo e non programmabile dell’attività ordinaria (ad esempio, un picco di lavoro dovuto a una domanda imprevista, una stagione particolarmente intensa non prevedibile, ecc.).

Queste causali devono essere specificate per iscritto nel contratto. In caso di rinnovo, la legge richiede che siano dettagliate le esigenze che giustificano il rinnovo stesso; in caso di proroga, la causale va indicata solo se, con la proroga, si supera il limite dei 12 mesi.

Cosa succede se manca la causale o non è adeguata?

Se si stipula un contratto a termine di durata superiore a 12 mesi senza indicare una delle causali previste, oppure se la causale indicata non è ritenuta valida o sufficientemente specifica, la legge dispone che il contratto si trasforma automaticamente in un contratto a tempo indeterminato dalla data in cui si supera il termine dei 12 mesi. Questo significa che il lavoratore acquista tutti i diritti e le tutele previsti per i rapporti a tempo indeterminato.

La giurisprudenza ha confermato che la mancanza o l’inadeguatezza della causale comporta la conversione del rapporto a tempo indeterminato, anche se il lavoratore ha firmato il contratto e ha lavorato per il periodo previsto.

Esempi pratici di causali

Per chiarire, ecco alcuni esempi di causali che possono essere utilizzate per giustificare un contratto a termine superiore a 12 mesi:

• Sostituzione di un lavoratore in maternità o in lunga malattia;
• Realizzazione di un progetto straordinario commissionato da un cliente;
• Gestione di un picco di lavoro dovuto a una commessa imprevista;
• Avvio di una nuova linea produttiva per un periodo di prova limitato nel tempo.

È importante che la causale sia concreta, specifica e riferita a una situazione effettiva e documentabile. Non sono ammesse causali generiche o formule di stile prive di reale contenuto.

Proroghe e rinnovi

Il contratto a termine può essere prorogato liberamente nei primi 12 mesi; dopo i 12 mesi, ogni proroga richiede la presenza e l’indicazione della causale. Il rinnovo (cioè la stipula di un nuovo contratto a termine tra le stesse parti) è sempre subordinato alla presenza di una delle causali di legge, a prescindere dalla durata.

Limiti massimi

La durata complessiva dei rapporti a termine tra lo stesso datore di lavoro e lo stesso lavoratore non può superare i 24 mesi, comprensivi di proroghe e rinnovi. Se si supera questo limite, il rapporto si trasforma in tempo indeterminato dalla data di superamento.

Forma scritta e obblighi documentali

La legge richiede che il termine del contratto sia sempre indicato per iscritto. Una copia del contratto deve essere consegnata al lavoratore entro cinque giorni lavorativi dall’inizio della prestazione. In caso di rinnovo, la causale deve essere specificata per iscritto; in caso di proroga, la causale va indicata solo se si supera il limite dei 12 mesi.

Conseguenze della violazione

Se il datore di lavoro non rispetta le regole sulle causali, sulla durata massima o sulla forma scritta, il contratto si considera a tempo indeterminato. Inoltre, il lavoratore può agire in giudizio per ottenere la conversione del rapporto e le relative differenze retributive, ma deve impugnare il contratto entro 180 giorni dalla cessazione.

In sintesi

Se vuoi assumere un lavoratore per 18 mesi con un contratto a termine, devi obbligatoriamente indicare una causale tra quelle previste dalla legge, specificandola in modo concreto e dettagliato nel contratto. In assenza di una causale valida, il rapporto si trasforma automaticamente in tempo indeterminato. È fondamentale rispettare la forma scritta e i limiti di durata complessiva, per evitare contenziosi e sanzioni. In caso di dubbi sulla corretta individuazione della causale, è consigliabile consultare un consulente del lavoro o un avvocato specializzato in diritto del lavoro, per garantire la piena conformità alla normativa vigente.

[Privacy & Sicurezza Informatica]  [DPR 15/2018]  [GDPR]  [Obblighi Datoriali]

Il diritto non chiede al datore di lavoro di essere infallibile. Gli chiede di essere diligente. Ecco cosa significa, in concreto, nelle misure di sicurezza per la gestione delle credenziali: un catalogo normativo aggiornato con le conseguenze della violazione.

1. Il quadro normativo: una pluralità di fonti

La gestione delle credenziali di autenticazione è disciplinata da un sistema normativo composito che integra fonti di diverso rango e origine:

• Art. 25, DPR 15 gennaio 2018, n. 15: misure minime di sicurezza per i trattamenti di dati personali nel settore pubblico (con principi applicabili per analogia al settore privato);
• Art. 32, GDPR (UE) 2016/679: obbligo di misure tecniche e organizzative adeguate al rischio;
• Art. 16, D.Lgs. 18 maggio 2018, n. 51: misure di sicurezza per trattamenti in materia penale;
• Art. 24, D.Lgs. 4 settembre 2024, n. 138 (attuazione Direttiva NIS2): misure di gestione dei rischi di cybersicurezza;
• Art. 51, CAD: sicurezza dei sistemi nelle pubbliche amministrazioni.

2. Le misure specifiche: un catalogo operativo

Il disciplinare tecnico allegato al Codice della privacy (richiamato dall’art. 25 DPR 15/2018) dettaglia le misure minime che ogni datore di lavoro che tratta dati personali deve adottare. Non si tratta di semplici raccomandazioni: sono obblighi giuridici la cui inosservanza è sanzionata.

2.1 Credenziali personali e non condivisibili

Ogni incaricato del trattamento deve essere dotato di credenziali di autenticazione individuali, un codice identificativo unico e una componente riservata (password), che gli consentano l’accesso al sistema. Le credenziali non possono essere condivise tra più incaricati.

2.2 Rinnovo periodico delle password

La password deve essere rinnovata dall’incaricato a intervalli regolari: almeno ogni sei mesi per i trattamenti ordinari, almeno ogni tre mesi per i trattamenti che includono dati sensibili o giudiziari. La modifica deve avvenire al primo utilizzo e ogniqualvolta vi sia il sospetto che le credenziali siano state compromesse.

2.3 Disattivazione delle credenziali inutilizzate

Le credenziali inutilizzate per un periodo superiore a sei mesi devono essere disattivate. Questa misura è particolarmente rilevante nei contesti di alto turnover o di presenza di collaboratori occasionali.

2.4 Disattivazione immediata in caso di perdita della qualità

Le credenziali devono essere disattivate immediatamente in caso di perdita della qualità che consente all’incaricato l’accesso ai dati. La ‘perdita della qualità’ include non solo la cessazione del rapporto di lavoro, ma anche il cambio di mansioni che non richiedano più l’accesso a determinati sistemi.

2.5 Profili di autorizzazione limitati al need-to-know

I profili di autorizzazione devono essere configurati in modo da consentire l’accesso ai soli dati e sistemi necessari per l’esecuzione dei compiti assegnati (principio del need-to-know). La verifica della sussistenza delle condizioni per la conservazione dei profili deve essere effettuata almeno annualmente.

2.6 Custodia sicura e istruzioni scritte

Devono essere impartite istruzioni scritte agli incaricati per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi di autenticazione in uso esclusivo dell’incaricato. La mera predisposizione formale delle istruzioni non è sufficiente: occorre verificarne la comprensione e l’applicazione pratica (Trib. Bari, n. 1780/2025).

2.7 Procedura per la gestione delle assenze prolungate

Quando l’accesso ai dati è consentito esclusivamente mediante uso delle credenziali personali, devono essere predisposte procedure scritte per garantire la disponibilità dei dati in caso di assenza prolungata o impedimento dell’incaricato. La custodia di eventuali copie delle credenziali deve essere organizzata garantendo la segretezza e individuando preventivamente per iscritto i soggetti incaricati della custodia.

2.8 Autenticazione a più fattori

L’art. 24 del D. Lgs. 138/2024 (NIS2) impone, per i soggetti rientranti nell’ambito applicativo, l’uso di soluzioni di autenticazione a più fattori. Anche per gli altri soggetti, si tratta di una misura che il giudice tenderà a valutare come attesa nei contesti in cui il rischio è elevato.

3. Le conseguenze della violazione

La violazione delle misure minime espone il datore di lavoro su tre fronti:

• Sanzioni amministrative da parte del Garante (ai sensi dell’art. 83 GDPR, fino al 4% del fatturato mondiale annuo o 20 milioni di euro, secondo il più alto);
• Responsabilità civile extracontrattuale per i danni causati a terzi da accessi non autorizzati resi possibili dalla violazione (art. 2043 c.c.);
• Possibile responsabilità penale in concorso, almeno colposo, per i reati informatici agevolati dalla mancata adozione delle misure.

✦ NOTA PRATICA Check di compliance immediato: (1) Le credenziali sono personali e non condivisibili? (2) Le password vengono rinnovate nei termini previsti? (3) Le credenziali degli ex dipendenti vengono disattivate entro poche ore dalla cessazione? (4) I profili di autorizzazione vengono aggiornati ad ogni cambio di mansioni? (5) Esiste un documento scritto con le istruzioni sulla sicurezza delle credenziali, firmato dagli incaricati? (6) Esiste una procedura documentata per le assenze prolungate? Se una sola risposta è ‘no’, l’azienda è esposta.

[Diritto Disciplinare]  [Proporzionalità della Sanzione]  [Prassi Aziendale]

Se tutti in azienda condividono le password, il singolo dipendente sanzionato può difendersi? La giurisprudenza ha elaborato criteri precisi per distinguere la prassi consolidata, che attenua o esclude la colpa, dalla mera tolleranza episodica, che non la esclude.

1. La rilevanza della prassi aziendale nel giudizio disciplinare

Il principio di proporzionalità della sanzione disciplinare, desumibile dall’art. 2106 c.c. e dal costante orientamento della Cassazione civile, impone di valutare la condotta del lavoratore non in astratto, ma nel contesto organizzativo in cui essa si è svolta. Questo principio acquista particolare rilievo nei casi di utilizzo di credenziali altrui: se l’azienda ha tollerato o addirittura favorito la condivisione delle credenziali, la responsabilità disciplinare del singolo dipendente non può essere valutata come se tale contesto non esistesse.

2. Il caso del Tribunale di Varese: la prassi del non log-out

Una delle pronunce più significative in materia è stata emessa dal Tribunale di Varese (n. 181/2023). Il Tribunale si è occupato di una dipendente che non effettuava il log-out dal sistema nelle brevi assenze dalla postazione, lasciando di fatto le credenziali accessibili ai colleghi. Il datore di lavoro aveva irrogato una sanzione disciplinare. Il Tribunale ha annullato la sanzione, affermando che:

• la condotta della dipendente costituiva una prassi generalizzata e consuetudinaria, seguita da tutti gli operatori dell’ufficio;
• tale prassi era tollerata anche dai superiori gerarchici;
• in assenza di una comunicazione formale di revoca della prassi, la dipendente non poteva ritenersi colpevole di una violazione disciplinare.

3. I criteri distintivi: prassi consolidata vs. tolleranza episodica

La giurisprudenza distingue in modo netto tra le due fattispecie, con effetti opposti sulla responsabilità disciplinare:

Prassi Consolidata	Tolleranza Episodica
Reiterata, generalizzata, diffusa nell’organizzazione	Occasionale, limitata nel tempo o nei soggetti
Percepita come comportamento non vietato o funzionale	Non percepita come prassi legittima
Avallata da superiori gerarchici, anche tacitamente	Non avallata da superiori
Non formalmente revocata con atto esplicito	Non è stata oggetto di comunicazioni specifiche
Effetto: esclude o attenua la colpa disciplinare	Effetto: non esclude la responsabilità

4. L’irrilevanza della prassi sul piano penale

Un punto critico, spesso frainteso: la prassi aziendale consolidata può incidere sull’elemento soggettivo del reato (dolo), come visto nel Post precedente, ma NON esclude di per sé la configurabilità oggettiva dell’accesso abusivo. Se il sistema è protetto e le regole interne vietano la condivisione, anche la prassi più consolidata non ‘legalizza’ la condotta. Il piano penale e quello disciplinare seguono logiche parzialmente diverse, con standard di prova distinti.

5. Obblighi del datore di lavoro: prevenire la prassi illegittima

Il datore di lavoro che tollera la condivisione delle credenziali si espone a una doppia vulnerabilità. Da un lato, indebolisce la propria posizione nella gestione dei procedimenti disciplinari (non può sanzionare per una condotta che ha implicitamente accettato). Dall’altro, può essere chiamato a rispondere in sede privacy per la mancata adozione delle misure di sicurezza prescritte dall’art. 25 DPR 15/2018.

La prevenzione richiede un approccio strutturato: policy scritta che vieti espressamente la condivisione; formazione periodica documentata; sistemi tecnici che rendano difficile (o impossibile) la condivisione; verifica periodica del rispetto delle regole; intervento tempestivo sulle violazioni riscontrate.

6. Il cambio di mansioni e la perdita della qualità legittimante

Un caso particolare di prassi scorretta riguarda il cambio di mansioni senza aggiornamento delle credenziali. La Corte d’Appello di Napoli (n. 418/2025) ha affermato che il datore di lavoro è tenuto a verificare periodicamente la sussistenza delle condizioni per la conservazione dei profili di autorizzazione e a disattivare tempestivamente le credenziali di autenticazione degli incaricati che abbiano cambiato mansione. La qualità che legittima l’accesso ai dati va valutata in relazione alle mansioni effettivamente svolte, non a quelle formalmente attribuite.

✦ NOTA PRATICA Per gli HR e i responsabili della compliance: ogni variazione organizzativa significativa (cambio mansioni, trasferimento, modifica del perimetro di competenza, distacco, comando, inserimento in procedimento disciplinare) deve innescare automaticamente una verifica e, se necessario, un aggiornamento dei profili di autorizzazione informatica. Non è sufficiente aggiornare il contratto o l’organigramma: occorre agire sui sistemi.

[Diritto Penale del Lavoro]  [Elemento Soggettivo]  [Difesa del Lavoratore]

Non ogni accesso formalmente irregolare è penalmente rilevante. La Cassazione ha elaborato criteri precisi per individuare quando l’assenza di dolo o l’errore scusabile escludono la responsabilità penale del dipendente ma le condizioni sono stringenti.

1. Il dolo richiesto dall’art. 615-ter c.p.

Il reato di accesso abusivo richiede il dolo generico: la coscienza e la volontà di introdursi (o mantenersi) nel sistema informatico consapevolmente e in modo contrario alla volontà del titolare. Non è richiesto un dolo specifico orientato a un fine determinato. È questo il significato della clausola giurisprudenziale per cui ‘gli scopi e le finalità che soggettivamente hanno motivato l’ingresso al sistema’ sono irrilevanti ai fini della configurabilità del reato (Cass. pen., SS.UU., n. 4694/2011).

Tuttavia, ove manchi la consapevolezza dell’illiceità dell’accesso, per ragioni oggettivamente giustificabili, il reato non è configurabile. La Cassazione ha affermato che l’assenza di dolo può essere riconosciuta in presenza di specifici elementi concreti.

2. I quattro presupposti per l’errore scusabile

La giurisprudenza (Cass. pen., sez. V, n. 72/2020; Cass. pen., sez. V, n. 27900/2023) ha individuato quattro scenari in cui l’errore scusabile, con conseguente esclusione del dolo, può essere riconosciuto:

a) Autorizzazione espressa o tacita

Se il titolare del sistema ha espressamente autorizzato l’accesso, o ha tollerato in modo sistematico una prassi consolidata di utilizzo condiviso delle credenziali, il dipendente può aver maturato la convinzione, in buona fede, di essere legittimato. La tolleranza deve essere chiara, reiterata e tale da ingenerare un ragionevole affidamento.

b) Assenza di atti univoci di revoca

Se non vi sono stati atti univoci di revoca dell’autorizzazione (modifica della password, comunicazione formale della cessazione dell’incarico, disattivazione tecnica delle credenziali) il dipendente può ragionevolmente ritenere di essere ancora autorizzato. La mera scadenza formale di un incarico, senza comunicazione esplicita, non è automaticamente equiparabile a un atto di revoca.

c) Ambiguità organizzativa

In presenza di un’organizzazione aziendale ambigua, di istruzioni non chiare o contraddittorie circa l’uso delle credenziali, o di deleghe non formalmente revocate, può configurarsi un errore scusabile sull’illiceità della condotta. L’ambiguità deve però essere oggettiva e non autoindotta.

d) Buona fede soggettiva

La buona fede può essere riconosciuta quando l’agente abbia agito nella convinzione, fondata su elementi oggettivi verificabili, di essere legittimato all’accesso: ad esempio, per prassi aziendale consolidata, per delega non revocata, per mancata comunicazione della cessazione dell’incarico.

3. I limiti: la conoscenza della volontà contraria esclude ogni buona fede

La Corte ha tuttavia fissato un limite invalicabile: la buona fede non può essere invocata quando il dipendente era consapevole  (o avrebbe dovuto esserlo con ordinaria diligenza) della volontà contraria del titolare. Un caso illuminante riguarda l’accesso al ‘cassetto fiscale’ di una sorella (Cass. civ., sez. V trib., n. 15899/2021):

Anche qualora volesse parzialmente accedersi alla tesi difensiva, secondo cui la ricorrente si è introdotta nel cassetto fiscale della sorella in virtù della concessione in passato, da parte sua, delle password di ingresso, configurerebbe comunque reato accedervi abusivamente, in un tempo successivo, in contrasto con la volontà della vittima, ad esempio perché l’imputata ben sapeva di aver interrotto con costei i rapporti in seguito ad intense dispute personali.

Cass. civ., sez. V trib., n. 15899/2021

Nel contesto lavorativo, questo significa che il dipendente che abbia ricevuto comunicazione, anche informale, della cessazione del proprio accesso, o che si trovi in una situazione conflittuale con il datore di lavoro, non può invocare la buona fede per giustificare accessi successivi.

4. Prassi aziendale consolidata vs. tolleranza episodica

Nella difesa del dipendente accusato di accesso abusivo, la distinzione tra prassi aziendale consolidata e mera tolleranza episodica è fondamentale. Come si vedrà nel Post 5, solo la prassi consolidata (caratterizzata da reiterazione, generalizzazione e accettazione diffusa) può fondare una difesa credibile sul piano del dolo. La tolleranza occasionale, invece, non è sufficiente a escludere la responsabilità.

✦ NOTA PRATICA Per la strategia difensiva: in caso di contestazione penale per accesso abusivo, gli elementi da raccogliere con priorità sono: la documentazione delle policy aziendali vigenti al momento del fatto; le comunicazioni (anche informali) relative a variazioni di mansioni o autorizzazioni; la eventuale prassi di condivisione delle credenziali tollerata dai superiori; l’assenza di atti formali di revoca dell’accesso. La buona fede va provata con elementi concreti, non può essere meramente allegata.