[Diritto Disciplinare]  [Proporzionalità della Sanzione]  [Prassi Aziendale]

Se tutti in azienda condividono le password, il singolo dipendente sanzionato può difendersi? La giurisprudenza ha elaborato criteri precisi per distinguere la prassi consolidata, che attenua o esclude la colpa, dalla mera tolleranza episodica, che non la esclude.

1. La rilevanza della prassi aziendale nel giudizio disciplinare

Il principio di proporzionalità della sanzione disciplinare, desumibile dall’art. 2106 c.c. e dal costante orientamento della Cassazione civile, impone di valutare la condotta del lavoratore non in astratto, ma nel contesto organizzativo in cui essa si è svolta. Questo principio acquista particolare rilievo nei casi di utilizzo di credenziali altrui: se l’azienda ha tollerato o addirittura favorito la condivisione delle credenziali, la responsabilità disciplinare del singolo dipendente non può essere valutata come se tale contesto non esistesse.

2. Il caso del Tribunale di Varese: la prassi del non log-out

Una delle pronunce più significative in materia è stata emessa dal Tribunale di Varese (n. 181/2023). Il Tribunale si è occupato di una dipendente che non effettuava il log-out dal sistema nelle brevi assenze dalla postazione, lasciando di fatto le credenziali accessibili ai colleghi. Il datore di lavoro aveva irrogato una sanzione disciplinare. Il Tribunale ha annullato la sanzione, affermando che:

• la condotta della dipendente costituiva una prassi generalizzata e consuetudinaria, seguita da tutti gli operatori dell’ufficio;
• tale prassi era tollerata anche dai superiori gerarchici;
• in assenza di una comunicazione formale di revoca della prassi, la dipendente non poteva ritenersi colpevole di una violazione disciplinare.

3. I criteri distintivi: prassi consolidata vs. tolleranza episodica

La giurisprudenza distingue in modo netto tra le due fattispecie, con effetti opposti sulla responsabilità disciplinare:

4. L’irrilevanza della prassi sul piano penale

Un punto critico, spesso frainteso: la prassi aziendale consolidata può incidere sull’elemento soggettivo del reato (dolo), come visto nel Post precedente, ma NON esclude di per sé la configurabilità oggettiva dell’accesso abusivo. Se il sistema è protetto e le regole interne vietano la condivisione, anche la prassi più consolidata non ‘legalizza’ la condotta. Il piano penale e quello disciplinare seguono logiche parzialmente diverse, con standard di prova distinti.

5. Obblighi del datore di lavoro: prevenire la prassi illegittima

Il datore di lavoro che tollera la condivisione delle credenziali si espone a una doppia vulnerabilità. Da un lato, indebolisce la propria posizione nella gestione dei procedimenti disciplinari (non può sanzionare per una condotta che ha implicitamente accettato). Dall’altro, può essere chiamato a rispondere in sede privacy per la mancata adozione delle misure di sicurezza prescritte dall’art. 25 DPR 15/2018.

La prevenzione richiede un approccio strutturato: policy scritta che vieti espressamente la condivisione; formazione periodica documentata; sistemi tecnici che rendano difficile (o impossibile) la condivisione; verifica periodica del rispetto delle regole; intervento tempestivo sulle violazioni riscontrate.

6. Il cambio di mansioni e la perdita della qualità legittimante

Un caso particolare di prassi scorretta riguarda il cambio di mansioni senza aggiornamento delle credenziali. La Corte d’Appello di Napoli (n. 418/2025) ha affermato che il datore di lavoro è tenuto a verificare periodicamente la sussistenza delle condizioni per la conservazione dei profili di autorizzazione e a disattivare tempestivamente le credenziali di autenticazione degli incaricati che abbiano cambiato mansione. La qualità che legittima l’accesso ai dati va valutata in relazione alle mansioni effettivamente svolte, non a quelle formalmente attribuite.