Le pubbliche amministrazioni sono soggette a obblighi stringenti in materia di sicurezza informatica, che assumono rilievo ancora maggiore in presenza di utilizzo di dispositivi elettronici personali da parte dei dipendenti. Il quadro normativo si articola su più livelli e prevede responsabilità precise per i dirigenti che non adempiono.

La normativa di riferimento

Il Codice dell’amministrazione digitale (art. 12) prevede che le pubbliche amministrazioni adottino ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali. In caso di uso di dispositivi elettronici personali, l’amministrazione deve adottare ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati (art. 12, comma 3-bis). Il D.Lgs. n. 138/2024 (art. 24) impone ai soggetti essenziali e importanti l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi.

Le misure obbligatorie

• Adozione di misure tecniche e organizzative adeguate, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali
• Informazione e formazione dei lavoratori sull’uso sicuro dei dispositivi, anche attraverso la diffusione di apposite linee guida
• Limitazione e controllo degli accessi, con sistemi di autenticazione forte e meccanismi di autorizzazione basati sul ruolo
• Tracciamento e audit delle operazioni, con conservazione dei file di log per un periodo adeguato
• Custodia e controllo dei documenti informatici con modalità che riducano al minimo i rischi di distruzione, perdita o accesso non autorizzato
• Piani di emergenza e continuità operativa, predisposti nel rispetto delle linee guida AgID
• Diversificazione e aggiornamento tempestivo dei prodotti di sicurezza informatica in presenza di rischi specifici

La responsabilità per mancata formazione

La Corte dei Conti ha chiarito in più occasioni che la mancata dimostrazione, da parte dell’amministrazione, di aver fornito un’adeguata informazione e formazione ai dipendenti sull’uso sicuro dei dispositivi elettronici personali comporta rilevanti implicazioni in termini di responsabilità. L’amministrazione non può imputare al dipendente la colpa grave per i danni derivanti da un uso improprio dei dispositivi in assenza di tale adempimento, e può essere chiamata a rispondere in proprio per i danni subiti dall’ente o da terzi (Corte dei Conti, Sez. II Centrale di Appello, n. 398/2023; Corte dei Conti Emilia Romagna n. 95/2022).

La mancata informazione e formazione incide negativamente sulla valutazione della performance dei dirigenti responsabili (art. 12 CAD; art. 31 D.L. n. 76/2020) e può esporre l’ente a sanzioni da parte degli organi di controllo. Per converso, la tolleranza amministrativa e la carenza di sistemi di sicurezza informatica adeguati attenuano la responsabilità del dipendente: il caso del medico che aveva infettato il sistema informatico aziendale accedendo alla propria posta personale è stato risolto in appello a favore del dipendente proprio perché l’amministrazione aveva implicitamente tollerato l’uso occasionale (Corte dei Conti n. 398/2023).

Inquadramento normativo

La questione della riqualificazione di un rapporto di consulenza svolto da un soggetto titolare di partita IVA in rapporto di lavoro subordinato è disciplinata, in via generale, dagli articoli 2094 e 2222 del Codice civile, che definiscono rispettivamente il lavoro subordinato e il lavoro autonomo. L’articolo 2094 del Codice civile dispone che “è prestatore di lavoro subordinato chi si obbliga mediante retribuzione a collaborare nell’impresa, prestando il proprio lavoro intellettuale o manuale alle dipendenze e sotto la direzione dell’imprenditore”. L’articolo 2222 del Codice civile stabilisce invece che “quando una persona si obbliga a compiere verso un corrispettivo un’opera o un servizio, con lavoro prevalentemente proprio e senza vincolo di subordinazione nei confronti del committente, si applicano le norme di questo capo”.

La distinzione tra lavoro subordinato e lavoro autonomo è quindi fondata, in via principale, sull’esistenza o meno del vincolo di subordinazione, inteso come assoggettamento del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro. In assenza di tale vincolo, la prestazione si qualifica come autonoma.

Criteri giurisprudenziali per la riqualificazione

La giurisprudenza di legittimità ha costantemente affermato che, ai fini della qualificazione del rapporto di lavoro come autonomo o subordinato, occorre guardare alle concrete modalità di svolgimento della prestazione, a prescindere dal nomen iuris utilizzato dalle parti nel contratto. In particolare, la Corte di Cassazione ha ribadito che il requisito fondamentale della subordinazione è il vincolo di soggezione del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro, che si manifesta nell’emanazione di ordini specifici e nell’esercizio di un’attività di vigilanza e controllo sull’esecuzione delle prestazioni lavorative.

Tuttavia, quando l’elemento dell’assoggettamento alle direttive altrui non sia agevolmente apprezzabile a causa della peculiarità delle mansioni (in particolare per attività intellettuali o professionali), la giurisprudenza ammette il ricorso a criteri complementari e sussidiari, quali la continuità delle prestazioni, l’osservanza di un orario determinato, il versamento a cadenze fisse di una retribuzione prestabilita, il coordinamento dell’attività lavorativa all’assetto organizzativo dato dal datore di lavoro, l’assenza in capo al lavoratore di una sia pur minima struttura imprenditoriale, l’utilizzo di mezzi e attrezzature aziendali, l’inserimento stabile nell’organizzazione aziendale.

Questi elementi, seppur privi ciascuno di valore decisivo, possono essere valutati globalmente come indizi probatori della subordinazione. La valutazione di tali elementi è rimessa al giudice di merito, il cui accertamento è insindacabile in sede di legittimità se sorretto da motivazione adeguata e immune da vizi logici e giuridici.

Onere della prova

L’onere della prova della subordinazione grava su chi agisce per la riqualificazione del rapporto, ossia sul consulente che intende ottenere il riconoscimento della natura subordinata della propria prestazione. Secondo la giurisprudenza, il consulente deve provare l’essenza della subordinazione attraverso gli indici sintomatici che la rendono ostensibile nel mondo fenomenico: non è necessario provare la prestazione a tempo indeterminato, ma occorre dimostrare la presenza di elementi che, valutati complessivamente, consentano di ricondurre il rapporto allo schema tipico del lavoro subordinato.

Una volta provata la subordinazione, è onere del datore di lavoro provare i requisiti formali richiesti dalla legge per le tipologie contrattuali diverse dal rapporto di lavoro subordinato a tempo indeterminato.

Elementi sintomatici della subordinazione

La giurisprudenza individua una serie di elementi che, se presenti, possono costituire indizi della natura subordinata del rapporto, tra cui:

• L’assoggettamento del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro, che si manifesta nell’emanazione di ordini specifici e nell’esercizio di un’attività di vigilanza e controllo sull’esecuzione delle prestazioni lavorative.
• L’inserimento stabile del lavoratore nell’organizzazione aziendale, con svolgimento di mansioni essenziali per il ciclo produttivo dell’impresa.
• L’osservanza di un orario di lavoro predeterminato e la presenza continuativa presso la sede aziendale.
• Il versamento di una retribuzione fissa e periodica, senza rischio economico per il lavoratore.
• L’utilizzo di mezzi e attrezzature messi a disposizione dall’azienda.
• L’assenza di una struttura imprenditoriale autonoma in capo al lavoratore.
• La continuità e la durata della prestazione, specie se protratta per un periodo pluriennale e con carattere di esclusività.

Tali elementi, se valutati complessivamente, possono condurre il giudice a ritenere che il rapporto, pur formalmente qualificato come autonomo e gestito tramite partita IVA, sia in realtà un rapporto di lavoro subordinato.

Rilevanza del nomen iuris e della volontà delle parti

La volontà delle parti e la qualificazione formale del rapporto (ad esempio, la stipulazione di un contratto di consulenza con partita IVA) non sono elementi assorbenti ai fini della qualificazione giuridica del rapporto. La giurisprudenza ritiene che, in caso di contrasto tra dati formali e dati fattuali relativi alle caratteristiche e modalità delle prestazioni, occorre dare prevalente rilievo alle modalità concrete di svolgimento del rapporto.

Solo nei casi in cui la conformazione fattuale del rapporto appaia dubbia, non ben definita o non decisiva, l’indagine deve essere svolta in modo tanto più accurato sulla volontà espressa in sede di costituzione del rapporto.

Applicazione ai rapporti con partita IVA

La disciplina sopra esposta trova applicazione anche ai rapporti di consulenza svolti da soggetti titolari di partita IVA. La Corte di Cassazione ha più volte affermato che la titolarità di partita IVA e la fatturazione delle prestazioni non sono di per sé elementi idonei a escludere la natura subordinata del rapporto, se le modalità concrete di svolgimento della prestazione rivelano la presenza degli elementi tipici della subordinazione.

In particolare, la Corte ha precisato che la presunzione relativa di riconducibilità delle prestazioni rese da titolari di partita IVA a rapporti di collaborazione coordinata e continuativa (prevista dall’art. 69-bis d.lgs. n. 276/2003, ora abrogato) opera solo in presenza di specifiche condizioni (durata, prevalenza economica, postazione fissa presso il committente) e che, in ogni caso, la prova della subordinazione deve essere fornita dal lavoratore.

Cosa deve dimostrare il consulente

Nel caso pratico prospettato, il consulente che da tre anni opera con partita IVA e chiede la riqualificazione del rapporto in lavoro subordinato deve dimostrare, con idonea prova, che il rapporto si è concretamente svolto secondo le modalità tipiche del lavoro subordinato. In particolare, dovrà fornire elementi probatori che attestino:

• L’assoggettamento al potere direttivo, organizzativo e disciplinare del datore di lavoro (ad esempio, ricezione di ordini specifici, controllo sull’esecuzione delle prestazioni, obbligo di attenersi a direttive aziendali).
• L’inserimento stabile nell’organizzazione aziendale, con svolgimento di mansioni essenziali per il ciclo produttivo dell’impresa.
• L’osservanza di un orario di lavoro predeterminato e la presenza continuativa presso la sede aziendale.
• Il versamento di una retribuzione fissa e periodica, senza rischio economico per il lavoratore.
• L’utilizzo di mezzi e attrezzature messi a disposizione dall’azienda.
• L’assenza di una struttura imprenditoriale autonoma in capo al lavoratore.
• La continuità e la durata della prestazione, specie se protratta per un periodo pluriennale e con carattere di esclusività.

La prova può essere fornita mediante documentazione (ad esempio, e-mail, ordini di servizio, badge di ingresso, documenti aziendali) e testimonianze che attestino le modalità concrete di svolgimento della prestazione.

Se il consulente riesce a dimostrare la sussistenza degli elementi sopra indicati, il giudice potrà riqualificare il rapporto come lavoro subordinato, con conseguente applicazione della relativa disciplina (tutele retributive, contributive, assicurative, ecc.). In caso contrario, se la prova della subordinazione non viene fornita, il rapporto resterà qualificato come autonomo.

La valutazione della sussistenza della subordinazione è rimessa al giudice di merito, che deve motivare adeguatamente la propria decisione sulla base delle risultanze istruttorie.

Conclusione

In sintesi, il consulente con partita IVA che chiede la riqualificazione del rapporto in lavoro subordinato ha ragione solo se riesce a dimostrare, con idonea prova, che il rapporto si è concretamente svolto secondo le modalità tipiche del lavoro subordinato, ossia con assoggettamento al potere direttivo, organizzativo e disciplinare del datore di lavoro, inserimento stabile nell’organizzazione aziendale, osservanza di un orario di lavoro, retribuzione fissa e assenza di rischio economico. La titolarità di partita IVA e la qualificazione formale del rapporto non sono elementi assorbenti, ma occorre guardare alle modalità concrete di svolgimento della prestazione. L’onere della prova della subordinazione grava sul consulente.

Per la rilevanza del tema e della sede in cui è trattato, si condivide il Parere della Corte Internazionale di Giustizia dello scorso 21 maggio 2026.

La valutazione d’impatto sulla protezione dei dati (DPIA) è uno degli strumenti più importanti introdotti dal GDPR per la gestione dei rischi legati al trattamento dei dati personali. Nel contesto del monitoraggio dei lavoratori e del BYOD, la sua omissione può avere conseguenze gravi.

Quando è obbligatoria la DPIA

L’art. 23 del D.Lgs. n. 51/2018 prevede che quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento debba effettuare una valutazione d’impatto prima di procedere al trattamento. I criteri che indicano un rischio elevato comprendono: la profilazione sistematica dei comportamenti; il trattamento su larga scala di categorie particolari di dati; il monitoraggio sistematico di aree accessibili al pubblico; le decisioni automatizzate con effetti giuridici significativi; il trattamento di dati di soggetti vulnerabili.

Nel contesto BYOD, il TAR Bologna (n. 618/2022) ha precisato che ogniqualvolta il trattamento dei dati comporti rischi elevati per i diritti e le libertà degli interessati, il titolare è tenuto ad effettuare la DPIA. Questo si applica tipicamente ai sistemi di monitoraggio dell’attività dei dipendenti, agli strumenti di geolocalizzazione e ai software che raccolgono dati sulle abitudini lavorative.

Le conseguenze dell’omessa DPIA

La mancata effettuazione della DPIA, in presenza di un obbligo, costituisce una violazione grave della normativa sulla protezione dei dati personali e comporta: l’irrogazione di sanzioni amministrative da parte del Garante, la cui entità è determinata in base alla gravità della violazione, al numero degli interessati coinvolti e alla durata; l’obbligo di adeguarsi alle prescrizioni del Garante, adottando le misure correttive indicate e, se del caso, sospendendo o cessando il trattamento illecito; la possibile responsabilità amministrativa per danno erariale, qualora la sanzione sia posta a carico di un ente pubblico e sia imputabile a condotte gravemente colpose dei dirigenti.

Il caso Corte dei Conti Valle d’Aosta (n. 36/2025)

La Corte dei Conti (Sez. Valle d’Aosta n. 36/2025) ha condannato il dirigente responsabile per aver insistito sulla legittimità della pubblicazione di atti contenenti dati personali dei dipendenti, nonostante le chiare prescrizioni del Garante e la normativa vigente. La Corte ha sottolineato che la tutela della dignità e della riservatezza del lavoratore deve prevalere su esigenze organizzative non adeguatamente bilanciate. La sanzione irrogata dal Garante per la violazione delle prescrizioni in materia di protezione dei dati personali può determinare una responsabilità amministrativa per danno erariale a carico dei dirigenti responsabili, qualora il comportamento omissivo abbia causato un esborso economico per l’ente.

L’obbligo di adempimento alle prescrizioni del Garante

La giurisprudenza ha sottolineato che la mancata impugnazione del provvedimento del Garante comporta l’obbligo di eseguirlo, e che la resistenza ingiustificata alle prescrizioni dell’Autorità può integrare colpa grave. Il dirigente pubblico che, nonostante le prescrizioni del Garante, persiste in un comportamento non conforme, si espone a responsabilità disciplinare e amministrativa.

Sommario: 1. Premessa metodologica e caratteri strutturali del settore. — 2. Il fondamento costituzionale e comunitario. — 3. Il sistema delle fonti: gerarchia e stratificazione. — 3.1. Le fonti primarie. — 3.2. Le fonti regolamentari e tecniche. — 4. L’intreccio tra fonti pubbliche e private: profili di compatibilità con la riserva di legge. — 5. L’autonormazione del datore di lavoro. — 5.1. Il DVR come fulcro dell’autodeterminazione normativa. — 5.2. La procedimentalizzazione del rischio e la colpa organizzativa. — 5.3. Obblighi non delegabili e criteri di delega. — 5.4. La ripartizione degli obblighi in caso di appalto. — 6. L’estensione all’ente collettivo: il d.lgs. n. 231/2001. — 7. I criteri di imputazione: dalla colpa specifica al dolo eventuale. — 8. Il ruolo della giurisprudenza. — 9. Profili problematici e conclusioni.

1. Premessa metodologica e caratteri strutturali del settore

Il diritto penale del lavoro si configura, nell’ordinamento italiano vigente, come un apparato normativo composito e stratificato, assistito da un sistema sanzionatorio a prevalente impronta penale, sebbene non manchino numerose fattispecie di illecito amministrativo per violazioni di minor disvalore nel contesto delle complessive strategie preventive. La disciplina penale in materia trova collocazione prevalentemente al di fuori del codice, costituendo un settore in crescita normativa esponenziale, dominato dalla tecnica della norma penale in bianco e dal frequente rinvio a fonti di rango subordinato, regolamentare o finanche privato.

Tale peculiarità strutturale impone all’interprete un approccio metodologico attento alla pluralità delle fonti di riferimento: norme costituzionali, fonti primarie codicistiche ed extracodicistiche, fonti comunitarie, regolamenti, norme tecniche, buone prassi, procedure standardizzate e, infine, atti di autonormazione del datore di lavoro. La coesistenza e la tensione tra queste diverse fonti costituisce il problema dogmatico fondamentale del settore, al crocevia tra il principio di riserva di legge ex art. 25, comma 2, Cost. e le esigenze di flessibilità tipiche di un diritto della prevenzione che deve confrontarsi con la mutevolezza e la specificità dei rischi aziendali.

L’analisi del sistema delle fonti non può dunque limitarsi alla ricognizione del dato normativo formale, ma deve estendersi al rapporto tra eteroregolazione e autonormazione, tra precetto pubblico e disciplina privata, tra norma di comportamento e norma sanzionatoria, in una prospettiva integrata che la giurisprudenza di legittimità, e in particolare le Sezioni Unite penali, ha progressivamente contribuito a definire.

2. Il fondamento costituzionale e comunitario

Il sistema di tutela penale della sicurezza del lavoro affonda le proprie radici nel quadro costituzionale, che offre un triplice fondamento valoriale: la tutela della salute come diritto fondamentale dell’individuo e interesse della collettività (art. 32 Cost.); la tutela del lavoro in tutte le sue forme e applicazioni, con il riconoscimento dei diritti dei lavoratori (art. 35 Cost.); il limite alla libertà di iniziativa economica privata, che non può svolgersi in contrasto con l’utilita sociale o in modo da recare danno alla sicurezza, alla liberta, alla dignità umana (art. 41, comma 2, Cost.).

Quest’ultima disposizione riveste una particolare rilevanza sistematica: essa attribuisce alla legge il compito di bilanciare gli interessi contrapposti (liberta di impresa e tutela della sicurezza dei lavoratori) e ha costituito l’asse portante del dibattito dottrinale sulla legittimità costituzionale dell’autonormazione. Parte della dottrina  ha sostenuto che il rinvio a regolamentazioni private attribuirebbe a soggetti privati compiti di bilanciamento che l’art. 41, comma 2, Cost. riserva invece alla legge, determinando una violazione della riserva di legge in materia penale.

Sul piano comunitario, la svolta decisiva è impressa dalla Direttiva quadro 89/391/CEE del Consiglio del 12 giugno 1989, che ha introdotto l’obbligo primario, a carico del datore di lavoro, di valutare tutti i rischi cui sono esposti i lavoratori, ponendo le basi del modello di armonizzazione europea della disciplina. L’ordinamento italiano ha scelto di ricorrere alla sanzione penale anche rispetto a violazioni di pericolo astratto, a differenza di quanto accaduto in Germania e Spagna, dove, in assenza di eventi di danno a carico dei lavoratori, sono stati previsti per lo più illeciti amministrativi. Ne consegue che la disciplina della sicurezza sul lavoro nel sistema italiano è eminentemente penale e si compone di una miriade di incriminazioni, in larga parte contravvenzionali.

3. Il sistema delle fonti: gerarchia e stratificazione

Il diritto penale del lavoro si caratterizza per una struttura delle fonti a doppio livello: un primo livello, costituito dalle regole di condotta (spesso non contenute in norme di legge, ma in fonti regolamentari o finanche in linee guida e buone prassi) e un secondo livello, formato dalle sanzioni amministrative o penali (per lo più contravvenzioni) per il caso di inosservanza delle prime, che ne forniscono il precetto. Si forma cosi un corpo normativo che la dottrina ha efficacemente definito ‘ipertestuale’.

3.1. Le fonti primarie: il codice penale e il d.lgs. n. 81/2008

Il nucleo delle fonti primarie è costituito dal d.lgs. 9 aprile 2008, n. 81 (Testo Unico in materia di salute e sicurezza nei luoghi di lavoro), che ha condensato la precedente legislazione frammentata operando una razionalizzazione del sistema. Tale Testo Unico dialoga con le fattispecie codicistiche attraverso l’elemento normativo ‘colpa’ presente nei rispettivi fatti tipici, e per il tramite di nozioni tecniche più specifiche.

Sul versante codicistico, le fattispecie di riferimento sono: i delitti colposi contro la vita e l’incolumità individuale (artt. 589 e 590 c.p., nella forma aggravata dalla violazione delle norme per la prevenzione degli infortuni); i delitti contro l’incolumità pubblica (rimozione od omissione dolosa di cautele, art. 437 c.p.; omissione colposa di cautele, art. 451 c.p.;  disastro colposo, art. 449 c.p.), nonché le disposizioni a tutela dei rapporti di lavoro (art. 509 c.p.) e quelle previdenziali (art. 2 del d.l. n. 463/1983). Le contravvenzioni previste nel d.lgs. n. 81/2008 svolgono una duplice funzione: presidiare il rispetto delle regole cautelari più importanti, integrando di per sé un illecito anche in assenza di evento avverso; e fornire, nei reati di evento, il supporto per la costruzione dell’elemento soggettivo della colpa specifica.[1]

3.2. Le fonti regolamentari e tecniche

Il sistema si completa con un cospicuo apparato di fonti di rango subordinato: norme regolamentari (decreti ministeriali), norme tecniche (specifiche approvate da organismi di normalizzazione internazionali, europei o nazionali, la cui osservanza non e obbligatoria ma costituisce criterio privilegiato di valutazione ex art. 2, lett. u), d.lgs. n. 81/2008), buone prassi (soluzioni organizzative e procedurali elaborate da regioni, INAIL e organismi paritetici e validate dalla commissione consultiva permanente ex art. 6, d.lgs. n. 81/2008), procedure standardizzate e circolari ministeriali. La peculiarita di tali fonti risiede nel fatto che, pur non avendo carattere formalmente normativo nel senso tradizionale, esse assumono rilevanza penale come criteri per la costruzione della colpa: la loro violazione puo integrare la colpa specifica ovvero, in assenza di una norma cautelare scritta, offrire il parametro per la valutazione della colpa generica secondo il canone dell’agente modello.

4. L’intreccio tra fonti pubbliche e private: profili di compatibilità con la riserva di legge

La caratteristica più originale, e sistematicamente più problematica, del diritto penale del lavoro contemporaneo é rappresentata dall’emersione, accanto alle fonti pubbliche, di un sistema di fonti private di derivazione aziendale che concorrono a definire il contenuto del precetto penale. La colpa per inosservanza può manifestarsi sotto forma di ‘discipline’ (violazione di regole contenute nel regolamento aziendale, nel documento di valutazione dei rischi o nel piano operativo) oppure di ‘ordini’, ossia trasgressione di un comando o divieto impartito dal datore di lavoro nei confronti di un lavoratore determinato.

Tale inosservanza può essere fonte di responsabilità penale non solo in caso di evento avverso, ma anche in sua assenza: il trasgressore integra di per sé una contravvenzione ai sensi degli artt. 20 e 59 del d.lgs. n. 81/2008. Il problema, sotto il profilo del principio di legalità, è che si tratta di fonti private che assolvono una funzione precettiva tipicamente riservata alla legge. La dottrina ha proposto diverse soluzioni: taluni escludono che tale meccanismo violi la riserva di legge, poiché il precetto penale formale (la fattispecie contravvenzionale o il reato colposo) è pur sempre contenuto in una fonte legislativa; altri sostengono invece che l’attribuzione a soggetti privati del compito di definire gli standard di sicurezza costituisca una forma di delega normativa costituzionalmente illegittima.

La risposta del legislatore e stata l’adozione di un paradigma partecipativo di gestione della sicurezza, che coinvolge, accanto al datore di lavoro, i lavoratori, le realtà associative e sindacali e la pubblica amministrazione, assicurando la validazione pubblica delle buone prassi ex art. 6 del Testo Unico. Tale meccanismo di validazione, pur non risolvendo compiutamente il problema della riserva di legge, opera come filtro istituzionale che conferisce alle regole private una legittimazione para-pubblica.

5. L’autonormazione del datore di lavoro

L’autonormazione del datore di lavoro si sostanzia nella capacità e nell’obbligo giuridico di individuare, valutare e gestire i rischi presenti nell’ambiente di lavoro, adottando misure di prevenzione e protezione adeguate. Il d.lgs. n. 81/2008, agli artt. 28, 29 e 30, disciplina tale compito normativo con riguardo alla valutazione del rischio, alla sua documentazione e ai modelli di organizzazione e gestione. L’autonormazione permea altresì numerose altre disposizioni, come l’art. 75 relativo ai dispositivi individuali di protezione, che impone di impiegarli quando i rischi non possano essere eliminati o sufficientemente ridotti da misure tecniche di prevenzione o da mezzi di protezione collettiva.

5.1. Il documento di valutazione dei rischi (DVR) come fulcro dell’autodeterminazione normativa

Il documento di valutazione dei rischi (DVR) costituisce lo strumento centrale dell’autonormazione aziendale. La sua elaborazione è un obbligo non delegabile del datore di lavoro (art. 17 del d.lgs. n. 81/2008), da redigersi in collaborazione con il responsabile del servizio di prevenzione e protezione (RSPP) e il medico competente (art. 29 del d.lgs. n. 81/2008). La valutazione dei rischi deve essere globale e documentata, finalizzata a individuare le misure di prevenzione e protezione e a elaborare il programma delle misure atte a garantire il miglioramento nel tempo dei livelli di salute e sicurezza.

Secondo la consolidata giurisprudenza di legittimità, il datore di lavoro ha l’obbligo di analizzare e individuare ‘con il massimo grado di specificità, secondo la propria esperienza e la migliore evoluzione della scienza tecnica, tutti i fattori di pericolo concretamente presenti all’interno dell’azienda, e redigere il DVR indicando le misure precauzionali e i dispositivi di protezione adottati’ (Cass. pen., sez. IV, 2 dicembre 2016, n. 27295). L’autonormazione soddisfa cosi un’esigenza fondamentale di determinatezza e concreta praticabilità delle misure di protezione: solo riferendosi alle procedure interne all’azienda è possibile comprendere quale sia il comportamento doveroso e possibile in concreto per il singolo garante.

Il DVR deve essere custodito presso l’unità produttiva e aggiornato in relazione ai mutamenti organizzativi e produttivi, nonché all’evoluzione della tecnica, della prevenzione o della protezione, e a seguito di infortuni significativi (art. 29 del d.lgs. n. 81/2008).

5.2. La procedimentalizzazione del rischio e la colpa organizzativa

Accanto all’obbligo di valutazione e documentazione dei rischi, la giurisprudenza ha sviluppato la categoria della procedimentalizzazione delle attività, che impone al datore di lavoro di definire le modalità operative per lo svolgimento in sicurezza delle attività pericolose (anche di quelle non ordinarie, uniche o particolari) individuando i rischi specifici e stabilendo le cautele necessarie. L’omessa procedimentalizzazione integra un profilo di colpa specifica in rapporto causale con l’infortunio (Cass. pen., sez. IV, 2 dicembre 2016, n. 27295).

La violazione delle norme cautelari private generate dall’autonormazione aziendale dà luogo alla categoria della colpa organizzativa, procedurale o protocollare. La natura privata della cautela consente altresì di rinvenire la colpa non solo nella trasgressione delle procedure, ma anche nell’insufficiente, errata o mancata valutazione del rischio: è colpevole il datore di lavoro che abbia redatto un DVR incompleto, non specifico, non aggiornato o inadeguato rispetto alla concreta realtà aziendale. Tale costruzione della colpa conosce diversi corollari applicativi: la designazione dell’RSPP con i conseguenti obblighi di formazione e informazione dei lavoratori; la gestione del rischio mediante misure organizzative, procedurali, tecniche e operative.

5.3. Obblighi non delegabili e criteri di delega

Il d.lgs. n. 81/2008 distingue tra obblighi non delegabili (tra cui la valutazione dei rischi e la redazione del DVR, art. 17) e obblighi delegabili a soggetti dotati di adeguata professionalità e autonomia. Tuttavia, la delega a terzi (consulenti, RSPP) non esonera il datore di lavoro dall’obbligo di verificarne l’adeguatezza e l’efficacia: la posizione di garanzia, che discende dalla legge e dalla posizione organizzativa nell’impresa, non viene meno per effetto della delega (Cass. pen., sez. III, 6 aprile 2021, n. 12940). Anche nelle aziende fino a dieci lavoratori, le procedure standardizzate non esonerano dall’obbligo di predisporre il DVR, che deve individuare i pericoli e specificare le misure di prevenzione.

5.4. La ripartizione degli obblighi in caso di appalto e subappalto

La complessità del sistema delle fonti si accentua nelle ipotesi di appalto e subappalto. In tali casi, ciascun datore di lavoro è tenuto alla elaborazione del proprio DVR, mentre il committente, e solo esso, deve redigere il Documento Unico di Valutazione dei Rischi da Interferenze (DUVRI), che coordina le misure preventive relative alle interferenze tra i diversi soggetti presenti nel cantiere (Cass. pen., sez. III, 13 febbraio 2023, n. 5907). Gli obblighi di coordinamento e attuazione delle misure di prevenzione gravano su tutti i datori di lavoro coinvolti, anche se subappaltatori.

Gli obblighi di sicurezza ricadono sul datore di lavoro indipendentemente dalla proprietà dei luoghi di lavoro: egli risponde anche con riguardo agli impianti strutturali e ai locali in cui si svolge l’attività lavorativa (Cass. pen., sez. III, 29 aprile 2019, n. 17685). La responsabilità penale e civile si estende al legale rappresentante della società, che risponde solidalmente con la società in sede di regresso nei confronti dell’ente previdenziale (Corte d’Appello di Roma, 28 marzo 2023, n. 1140).

6. L’estensione all’ente collettivo: il d.lgs. n. 231/2001 e i modelli organizzativi

Una trasformazione profonda del sistema è intervenuta con l’introduzione dell’art. 25-septies nel d.lgs. n. 231/2001 (ad opera della l. n. 123/2007), che ha esteso la responsabilità amministrativa degli enti ai delitti colposi di omicidio e lesioni gravi o gravissime commessi con violazione delle norme antinfortunistiche. Il diritto penale del lavoro guarda ora a un novero di soggetti responsabili ampliato: in presenza del reato colposo di omicidio o lesioni per inosservanza di norme di sicurezza, è possibile chiamare in giudizio anche l’ente collettivo nel cui interesse o a vantaggio del quale sia stata realizzata l’inosservanza.

L’ente può esonerarsi dalla responsabilità dimostrando di aver adottato ed efficacemente attuato, prima della commissione del fatto, un modello di organizzazione e gestione (MOG) idoneo a prevenire reati della specie di quello verificatosi. Tale modello costituisce la forma più articolata e istituzionalizzata di autonormazione: l’ente struttura un intero sistema di governance della sicurezza, con un Organismo di Vigilanza indipendente incaricato di controllarne l’effettiva attuazione. L’idea di protocolli elaborati dagli organismi di categoria accomuna la disciplina della sicurezza sul lavoro a quella della responsabilità dell’ente: la nozione di modello organizzativo nel sistema 231 riecheggia quella di procedura standardizzata nel sistema del Testo Unico.

7. I criteri di imputazione della responsabilità penale: dalla colpa specifica al dolo eventuale

Il criterio di imputazione ordinario nel diritto penale del lavoro è la colpa, nelle sue declinazioni di colpa specifica (per violazione di norme cautelari scritte) e colpa generica (per negligenza, imprudenza, imperizia). La violazione delle norme cautelari antinfortunistiche rileva come colpa specifica e costituisce altresì il presupposto per la contestazione delle circostanze aggravanti speciali dei delitti colposi di omicidio (art. 589, comma 2, c.p.) e lesioni (art. 590, comma 3, c.p.), determinando la procedibilità d’ufficio per le lesioni gravi o gravissime (art. 590, ultimo comma, c.p.).

La Suprema Corte, nel notissimo caso ThyssenKrupp (Cass. pen., SS.UU., 24 aprile 2014, n. 38343), ha affrontato la questione del confine tra dolo eventuale e colpa con previsione (c.d. colpa cosciente ex art. 61, n. 3, c.p.). Le Sezioni Unite hanno confermato la soluzione tradizionale della colpa cosciente aggravata, escludendo il dolo eventuale. Nondimeno, la giurisprudenza successiva ha precisato che il dolo eventuale può essere ravvisato nella rappresentazione e volizione dell’inadeguatezza degli interventi in materia di sicurezza in funzione di risparmio di spesa, allorché il datore di lavoro si rappresenti la probabilità concreta dell’evento come conseguenza della propria condotta e, ciononostante, accetti il rischio (Cass. pen., sez. III, 28 marzo 2022, n. 11059).

La Corte ha altresì precisato, nel richiamare l’obbligo di collocazione di cui all’art. 437 c.p., che il contenuto dell’obbligo giuridico antinfortunistico fa riferimento ‘alle esperienze acquisite e alle situazioni anormali prevedibili, alle conoscenze acquisite in base al progresso tecnico, sempre aggiornate in relazione alle modifiche della produzione incidenti sulla sicurezza’. E il rinvio a tale esperienza tecnica accreditata che conferisce alle regole cautelari private la forza di precetto giuridico. Sul piano dell’accertamento in sede civile, le Sezioni Unite penali (Cass. pen., SS.UU., 4 giugno 2021, n. 22065) hanno affermato che il giudice civile può riesaminare i fatti emersi nel procedimento penale, anche conclusosi con sentenza assolutoria, e valutare le prove atipiche. La responsabilità civile del datore di lavoro può essere accertata in via incidentale anche in assenza di un giudicato penale di condanna, quando il reato è venuto meno per cause estintive quali la prescrizione, l’amnistia o la morte dell’indiziato.

8. Il ruolo della giurisprudenza nel sistema delle fonti

La giurisprudenza svolge nel diritto penale del lavoro un ruolo che trascende la mera applicazione della norma scritta, assurgendo a vera e propria fonte integrativa del sistema. Ciò è reso inevitabile dalla tecnica legislativa adoperata: il frequente ricorso a clausole generali (come quella dell’art. 2087 c.c., che impone all’imprenditore di adottare le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro), il rinvio a regole tecniche, le norme penali in bianco, l’indeterminatezza dei comportamenti precauzionali richiesti. Tutti questi elementi affidano al giudice il compito di concretizzare il contenuto del precetto.

La funzione della giurisprudenza si esplica su tre livelli fondamentali: interpretazione delle norme, attraverso la quale viene precisato il contenuto degli obblighi di prevenzione; individuazione dei criteri di imputazione, con la definizione del confine tra dolo e colpa, tra colpa specifica e generica, tra colpa organizzativa e colpa individuale; delimitazione dei confini dell’autonormazione, attraverso la verifica dell’adeguatezza dei DVR e delle procedure aziendali.

In questo quadro, il principio di legalità in materia penale si confronta con le esigenze proprie di un diritto che deve necessariamente adattarsi all’evoluzione tecnica e organizzativa. La giurisprudenza ha trovato un punto di equilibrio affermando che il rinvio alle regole cautelari contenute in norme private o tecniche è costituzionalmente compatibile, a condizione che il precetto penale formale sia contenuto in una norma di legge e che le regole private o tecniche siano richiamate, direttamente o indirettamente, da tale norma.

9. Profili problematici e conclusioni

Il sistema delle fonti nel diritto penale del lavoro manifesta tensioni strutturali che la dottrina e la giurisprudenza non hanno ancora del tutto risolto. Il principale nodo problematico rimane quello della compatibilità dell’autonormazione con il principio di riserva assoluta di legge ex art. 25, comma 2, Cost.: se e vero che le fattispecie penali sono sempre contenute in norme legislative, è altrettanto vero che il contenuto del comportamento vietato (o dovuto) e spesso determinato, in modo sostanziale, da regole private (i protocolli aziendali, il DVR, le procedure standardizzate) la cui violazione può integrare la colpa specifica o la colpa organizzativa.[2]

Un secondo profilo problematico è quello dell’accessibilità e prevedibilità del precetto cautelare. Il deficit di determinatezza del livello di sicurezza doveroso (segnalato anche dalla Corte EDU con riguardo alle carenze normative pubbliche) è in parte compensato, ma anche esasperato, dall’autonormazione: se la procedura aziendale è redatta in modo inadeguato o incompleto, il lavoratore (e lo stesso datore) non è in grado di comprendere quale sia il comportamento concretamente richiesto. Da qui l’importanza che la giurisprudenza attribuisce alla specificità e completezza del DVR, quale garanzia di effettività del sistema preventivo.

Un terzo profilo riguarda il coordinamento tra il sistema penale-lavoristico e quello della responsabilità amministrativa degli enti ex d.lgs. n. 231/2001: la duplicazione degli strumenti sanzionatori impone una visione integrata che tenga conto sia della responsabilità della persona fisica sia di quella dell’ente, e della interazione tra i modelli organizzativi e il sistema di prevenzione disciplinato dal Testo Unico.

In conclusione, il sistema delle fonti nel diritto penale del lavoro si configura come un insieme stratificato e dinamico di norme legislative, regolamentari, tecniche e private, integrate dalla giurisprudenza di merito e legittimità. L’autonormazione del datore di lavoro, realizzata attraverso la valutazione dei rischi, la procedimentalizzazione delle attività pericolose, l’adozione di misure di prevenzione e protezione, la formazione e informazione dei lavoratori e la verifica dell’adeguatezza del DVR, ne costituisce il perno organizzativo. La sua centralità è tanto più significativa in quanto tali misure di auto-disciplina si pongono al crocevia tra obbligo giuridico e scelta organizzativa, tra norma e fatto, tra prevenzione e sanzione.

---

 

 

L’art. 2087 c.c. impone all’imprenditore di adottare tutte le misure necessarie a tutelare l’integrità fisica e la personalità morale dei lavoratori. La giurisprudenza di legittimità, richiamando costantemente la sentenza delle Sezioni Unite n. 38343/2014 (ThyssenKrupp), ha progressivamente definito cosa significa “necessarie”: non le misure ragionevoli, non quelle economicamente sostenibili, ma quelle corrispondenti alla massima sicurezza praticabile secondo l’esperienza, la tecnica e la scienza del momento. Il confine tra questo parametro e quello della “massima sicurezza possibile” in senso assoluto è sottile, ma le sue implicazioni pratiche per il datore di lavoro sono decisive.

1. La norma di chiusura: l’art. 2087 c.c. e la sua funzione nel sistema prevenzionistico

L’art. 2087 c.c. è definito dalla dottrina e dalla giurisprudenza “norma di chiusura” del sistema prevenzionistico. La sua funzione è duplice: colmare le lacune della normativa speciale e innalzare il livello di protezione oltre il minimo legale quando l’esperienza e la tecnica lo consentano.

La norma non individua misure specifiche ma impone un obbligo di risultato modulato su tre parametri: la particolarità del lavoro, l’esperienza e la tecnica. Questo significa che il contenuto dell’obbligo si aggiorna continuamente in relazione all’evoluzione delle conoscenze scientifiche e tecnologiche disponibili nel settore di riferimento. Ciò che era adeguato cinque anni fa può non esserlo oggi.

Il combinato dell’art. 2087 c.c. con il D.lgs. 81/2008 definisce un sistema in cui la normativa speciale indica il minimo obbligatorio e la norma codicistica impone di andare oltre ogni volta che l’evoluzione della tecnica lo renda possibile.

2. Il parametro della massima sicurezza praticabile: la sentenza ThyssenKrupp e i suoi sviluppi

La sentenza delle Sezioni Unite n. 38343/2014 (caso ThyssenKrupp) ha fissato il principio che ancora oggi orienta la giurisprudenza: il datore di lavoro ha l’obbligo di analizzare, secondo la propria esperienza e la migliore evoluzione della scienza tecnica, tutti i fattori di pericolo concretamente presenti nell’azienda e di adottare le misure più avanzate disponibili nel settore.

La Cassazione penale, sez. IV, con la sentenza n. 34696 del 24 ottobre 2025 richiama direttamente questo principio, precisando che il DVR deve essere elaborato con il massimo grado di specificità e che senza la piena consapevolezza di tutti i rischi non è possibile una adeguata politica antinfortunistica. La Corte ribadisce che la condotta del lavoratore può considerarsi interruttiva del nesso causale solo quando si collochi al di fuori dell’area di rischio definita dalla lavorazione in corso, non quando rientri nel normale rischio professionale.

3. Massima sicurezza possibile o praticabile: una distinzione con conseguenze concrete

La distinzione tra “massima sicurezza tecnologicamente possibile” e “massima sicurezza praticabile” non è meramente teorica.

La Cassazione penale, sez. III, con la sentenza n. 47904 del 1° dicembre 2023, affronta il tema nel contesto emergenziale del Covid-19, chiarendo che il legislatore dell’emergenza aveva temporaneamente modulato il parametro verso la “sicurezza adeguata” ai protocolli, in deroga alla regola giurisprudenziale della massima sicurezza tecnologicamente possibile. La motivazione è significativa: nel caso del rischio Covid, il livello massimo tecnologicamente possibile era sostanzialmente indefinibile. La Corte riconosce dunque che il parametro ordinario è quello della massima sicurezza praticabile; non un ideale astratto, ma il livello più elevato concretamente raggiungibile con le conoscenze e le tecnologie disponibili nel settore al momento del fatto.

Questo significa che il datore di lavoro non può giustificare l’omissione di una misura di sicurezza con argomenti di costo o di convenienza organizzativa, se quella misura è praticabile e conosciuta nel settore. Può invece dimostrare che la misura omessa non era ancora consolidata nella comunità scientifica o tecnica di riferimento al momento dell’infortunio.

4. La posizione di garanzia e la delega di funzioni

Un aspetto spesso sottovalutato riguarda la trasmissibilità degli obblighi prevenzionistici mediante delega. La Cassazione penale, sez. IV, con la sentenza n. 40682 del 3 ottobre 2024, richiamando le Sezioni Unite ThyssenKrupp, chiarisce le condizioni rigorose cui è subordinata l’efficacia della delega: deve riguardare un ambito ben definito e non l’intera gestione aziendale, deve essere espressa, effettiva e non equivoca, e deve investire un soggetto qualificato per professionalità ed esperienza, dotato dei relativi poteri di organizzazione, gestione, controllo e spesa.

Una delega generica, affidata a soggetto privo delle competenze necessarie o sprovvisto dei poteri di spesa, non trasferisce la posizione di garanzia: il datore di lavoro resta penalmente responsabile. Il principio ha implicazioni dirette sulla struttura organizzativa delle aziende e sulla definizione dei ruoli di sicurezza, in particolare nelle organizzazioni complesse dove la gestione della sicurezza è distribuita su più livelli.

5. Le implicazioni operative

Il quadro giurisprudenziale delineato impone al datore di lavoro un aggiornamento continuo delle misure di prevenzione in relazione all’evoluzione delle conoscenze tecnico-scientifiche del settore. Non è sufficiente rispettare la normativa vigente al momento dell’adozione del DVR: se nel frattempo si sono consolidate nuove prassi o tecnologie di protezione, il mancato aggiornamento può fondare la responsabilità penale in caso di infortunio.

Sul piano della delega, la struttura organizzativa della sicurezza deve essere progettata con attenzione: ogni passaggio di responsabilità richiede una delega formalmente corretta, affidata a soggetto competente e dotato di autonomia di spesa. La responsabilità del vertice aziendale non si esaurisce con la firma della delega: permane un obbligo di vigilanza sull’adeguatezza del sistema.

La Cassazione penale, nelle sentenze rese tra il 2023 e il 2025, ha consolidato un orientamento severo in materia di adeguatezza del DVR. Il documento che non indica procedure operative specifiche, che si limita a prevedere generiche attività di sorveglianza o che omette la valutazione di rischi connaturati all’attività aziendale non costituisce adempimento degli obblighi di legge: costituisce prova dell’inadempimento.

1. Il quadro normativo: cosa richiede l’art. 28 del D.lgs. 81/2008

L’art. 28 del D.lgs. 9 aprile 2008, n. 81, individua con precisione il contenuto necessario del Documento di Valutazione dei Rischi. Non è sufficiente una relazione che elenchi le categorie di rischio presenti: il documento deve contenere l’indicazione delle misure di prevenzione e protezione attuate, le procedure per la loro attuazione, i ruoli organizzativi responsabili, un programma di miglioramento nel tempo dei livelli di sicurezza e la specificazione delle mansioni che richiedono competenze particolari.

La norma impone, inoltre, una valutazione che riguardi tutti i rischi per la sicurezza e la salute durante l’attività lavorativa, compresi quelli connessi alle specifiche tipologie contrattuali e alle caratteristiche dei singoli lavoratori.

Il D.lgs. 81/2008 non lascia al datore di lavoro margini per graduare la profondità dell’analisi in funzione dei costi o delle dimensioni aziendali: l’obbligo è di contenuto e non di forma, e la giurisprudenza lo interpreta nel senso della massima sicurezza possibile, non della massima sicurezza ragionevole.

2. L’orientamento consolidato della Cassazione (2023-2025)

La giurisprudenza recente ha individuato con precisione i profili di insufficienza che fondano la responsabilità penale del datore di lavoro.

Con la sentenza Cass. pen., sez. IV, n. 15699 del 22 aprile 2025, la Corte ha confermato la condanna di un datore di lavoro il cui DVR prevedeva, per i lavoratori non addetti ai carrelli elevatori, una generica attività di sorveglianza rispetto al rischio di caduta di materiali dall’alto. La Corte ha accertato che il DVR considerava solo il rischio per i lavoratori operanti a bordo di carrelli elevatori, mentre per gli altri lavoratori prevedeva una mera generica attività di sorveglianza. La motivazione evidenzia che “il citato documento, generico quanto alla gestione del rischio con riferimento a qualsivoglia lavoratore, cioè relativamente ai lavoratori svolgenti mansioni diverse dall’utilizzo dei carrelli elevatori, prevedendo sul punto una mera generica attività di sorveglianza”. La motivazione è tranciante: un documento che non gestisce il rischio ma si limita a nominarlo non soddisfa l’obbligo di valutazione.

Con la sentenza Cass. pen., sez. III, n. 2557 del 22 gennaio 2024, la Corte ha affrontato il caso di un infortunio avvenuto durante operazioni di imbracatura. Il DVR non disciplinava le modalità di scelta dei ganci in relazione al peso del carico, lasciando alla discrezionalità dei singoli operai una decisione con significative implicazioni di sicurezza. La Corte ha accertato dunque che il DVR era generico o inadeguato rispetto alla scelta dei ganci e al rischio di caduta del carico, evidenziando che “il DVR non disciplinava nel dettaglio come orientare la scelta, da parte degli operai, del gancio da utilizzare in relazione al peso dei pezzi che dovevano essere agganciati, considerato che la tipologia di ganci è assai ampia e variabile in relazione al peso da sollevare”. La Cassazione ha così confermato la condanna, ritenendo che la formazione dei lavoratori non esonera il datore di lavoro dall’obbligo di prevedere, a monte, tale fonte di rischio e di disciplinare ogni singola attività lavorativa in modo da escludere il più possibile la discrezionalità del lavoratore.

Con la sentenza Cass. pen., sez. IV, n. 34696 del 24 ottobre 2025, la Corte ha affrontato un caso di infortunio per scivolamento, in assenza di DVR, accertando che che “il rischio di caduta, in quanto frequente, concreto e non eliminabile, doveva essere valutato attentamente dal datore di lavoro attraverso la redazione del Documento di Valutazione dei Rischi e adottando le misure preventive idonee a fronteggiare il pericolo o almeno a ridurne la pericolosità e non poteva, invece, essere lasciato ad iniziative autonome ed estemporanee degli stessi lavoratori”. La motivazione evidenzia che il DVR deve essere elaborato con il massimo grado di specificità, restandone il datore di lavoro garante, e che l’essenzialità di tale documento deriva dal fatto che, senza la piena consapevolezza di tutti i rischi per la sicurezza, non è possibile una adeguata politica antinfortunistica. La motivazione enuncia un principio di portata generale: il rischio frequente, concreto e non eliminabile non può essere lasciato ad iniziative autonome ed estemporanee dei lavoratori. Il DVR deve essere elaborato con il massimo grado di specificità, e la sua funzione non è descrittiva ma operativa: deve consentire l’adozione di una politica antinfortunistica effettiva.

Merita infine attenzione la sentenza Cass. pen., sez. IV, n. 21704 del 22 maggio 2023, che ha confermato la responsabilità amministrativa dell’ente ai sensi del D.lgs. 231/2001 per morte di un lavoratore, rilevando l’inidoneità congiunta del modello organizzativo e del DVR. La Corte ha qualificato come colpa di organizzazione la scelta di non prevedere procedure per l’intervento in ambienti con presenza di agenti pericolosi, quando tale rischio era prevedibile e la lacuna aveva causato l’infortunio mortale.

3. I profili di inadeguatezza più ricorrenti

Dall’analisi della giurisprudenza emergono alcune tipologie di insufficienza sistematicamente sanzionate.

La prima è la genericità delle misure: il DVR che si limita a indicare l’adozione di dispositivi di protezione individuale senza specificare le circostanze d’uso, le modalità di verifica e i responsabili del controllo non costituisce adempimento dell’art. 28.

La seconda è l’omissione di rischi specifici connessi alle mansioni: la valutazione deve essere analitica rispetto alle singole attività lavorative, non per categorie generali di rischio.

La terza è la mancanza di procedure operative: il DVR deve indicare come svolgere in sicurezza le attività, non soltanto quali rischi esistono. La Cassazione ha chiarito che la formazione non sostituisce la procedura; le due misure sono complementari, non alternative.

La quarta, rilevante sul piano civilistico, è l’assenza di data certa o il riferimento a una sede di lavoro diversa da quella in cui il dipendente presta la propria attività (Cass. civ., sez. lav., ord. n. 23162 del 31 luglio 2023).

4. Le implicazioni per i datori di lavoro

Il DVR non è un documento di compliance formale: è lo strumento attraverso cui il datore di lavoro dimostra di aver analizzato i rischi della propria organizzazione e di aver adottato le misure idonee a gestirli. Un documento generico o incompleto non esonera dalla responsabilità penale in caso di infortunio: al contrario, costituisce, nelle parole della Cassazione, prova sintomatica di un adempimento meramente formale degli obblighi di sicurezza.

Le aziende che hanno adottato DVR redatti con criteri di semplicità estrema, privi di procedure operative specifiche o non aggiornati a seguito di modifiche organizzative rilevanti, sono esposte a un rischio significativo che non si esaurisce nella sanzione contravvenzionale: in caso di evento avverso, il DVR inadeguato fonda la responsabilità penale del datore di lavoro e, ove ne ricorrano i presupposti, la responsabilità amministrativa dell’ente ai sensi del D.lgs. 231/2001.

I software di monitoraggio dell’attività dei dipendenti (keylogger, sistemi di logging della navigazione internet, applicazioni di tracciamento della produttività) sono strumenti sempre più diffusi nelle aziende. La loro legittimità, tuttavia, è subordinata al rispetto di precisi obblighi informativi e procedurali. Il mancato rispetto di queste regole ha conseguenze gravi, prima tra tutte l’inutilizzabilità dei dati raccolti.

L’obbligo informativo: cosa deve sapere il lavoratore

L’obbligo informativo non si esaurisce in una generica comunicazione, ma richiede che il lavoratore sia messo in condizione di conoscere in modo chiaro, preventivo e trasparente: quali strumenti sono utilizzati per il monitoraggio; quali dati vengono raccolti; le modalità di funzionamento dei software; le finalità specifiche del trattamento dei dati; le modalità di esercizio dei diritti previsti dalla normativa privacy.

La Cassazione (n. 18168/2023) ha ribadito che il datore di lavoro deve dimostrare di aver effettivamente portato a conoscenza del lavoratore sia la possibilità che le comunicazioni effettuate tramite strumenti aziendali possano essere monitorate, sia la natura, la portata e il livello di invasività del monitoraggio. La mera pubblicazione di un disciplinare interno non è sufficiente se non contiene regole dettagliate sulla conservazione e il trattamento dei dati raccolti e se non è accompagnata da un’informativa ai sensi dell’art. 13 GDPR (Corte d’Appello Roma n. 4371/2023).

L’accordo sindacale o l’autorizzazione amministrativa

L’installazione di impianti e sistemi di controllo è subordinata a un accordo collettivo con le rappresentanze sindacali o, in mancanza, a un’autorizzazione dell’Ispettorato nazionale del lavoro. Questa procedura non riguarda gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, come il computer o il telefono aziendale, ma si applica ai sistemi di monitoraggio aggiuntivi.

La DPIA per i sistemi di monitoraggio

Quando il trattamento, per l’uso di nuove tecnologie e per la sua natura, presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve effettuare una valutazione d’impatto (DPIA) prima di procedere al trattamento. Il criterio della ‘larga scala’ e del ‘trattamento sistematico’ sono indicatori del rischio. La DPIA deve contenere una descrizione del trattamento, una valutazione della necessità e proporzionalità, una stima dei rischi e le misure adottate per mitigarli.

L’inutilizzabilità dei dati raccolti illegittimamente

La conseguenza più rilevante del mancato rispetto degli obblighi informativi e procedurali è l’inutilizzabilità dei dati raccolti a fini disciplinari. La Cass. n. 18168/2023 e la Corte d’Appello di Roma (n. 4371/2023) hanno confermato questo principio. Questo significa che un datore di lavoro che ha installato un sistema di monitoraggio senza accordo sindacale o senza informativa adeguata non potrà utilizzare i dati così raccolti per sostenere un procedimento disciplinare, anche se quei dati provano effettivamente una condotta illecita del dipendente.

Il divieto di sorveglianza continua e generalizzata

La Corte Costituzionale (n. 164/2022) ha sottolineato che la disciplina dei controlli a distanza è espressione di un bilanciamento tra le esigenze dell’impresa e la tutela della dignità e libertà del lavoratore, e che ogni deroga deve essere interpretata restrittivamente. La giurisprudenza ha chiarito che il controllo a distanza non può mai tradursi in una sorveglianza costante e generalizzata che annulli ogni spazio di riservatezza e autonomia del lavoratore. L’uso di software di monitoraggio che consenta un controllo continuo, dettagliato e non selettivo dell’attività lavorativa è stato ritenuto illegittimo, anche in presenza di esigenze organizzative, se non accompagnato da adeguate garanzie e limitazioni.

Uno degli aspetti più delicati del diritto disciplinare del lavoro riguarda la distinzione tra il primo episodio di utilizzo improprio degli strumenti aziendali e la recidiva. La giurisprudenza più recente ha elaborato principi precisi che devono essere conosciuti sia da chi gestisce procedimenti disciplinari sia da chi si trova a difendersi.

Il principio: la sanzione deve essere graduata

La giurisprudenza conferma che la proporzionalità della sanzione disciplinare impone una rigorosa distinzione tra primo episodio e recidiva. La Corte d’Appello di Messina (n. 639/2024) ha annullato una sospensione disciplinare eccessiva rispetto alla violazione contestata, affermando che in assenza di recidiva la sanzione deve essere graduata in modo da non risultare eccessiva rispetto alla condotta, tenendo conto delle circostanze oggettive e soggettive.

Recidiva vs. reiterazione: una distinzione fondamentale

La Corte d’Appello di Roma (n. 1442/2024) ha distinto nettamente tra recidiva e mera reiterazione: la reiterazione richiede semplicemente la ripetizione nel tempo della medesima infrazione sul piano storico fattuale, mentre per recidiva deve intendersi la ripetizione dell’infrazione da parte di persona già sanzionata per tale condotta. In assenza di una precedente sanzione, la recidiva non può essere invocata per giustificare una sanzione più grave.

L’obbligo di contestazione specifica della recidiva

La recidiva, per produrre effetti aggravanti, deve essere oggetto di specifica e tempestiva contestazione. La Corte d’Appello di Bologna (n. 509/2025) ha chiarito che la preventiva contestazione dell’addebito al lavoratore deve riguardare, a pena di nullità della sanzione o del licenziamento disciplinare, anche la recidiva o comunque i precedenti disciplinari che la integrano, ove questa rappresenti elemento costitutivo della mancanza addebitata.

La molteplicità degli episodi come aggravante autonoma

La Corte d’Appello di Bari (n. 603/2025) ha affermato che indipendentemente dal formale rilievo di una recidiva, la molteplicità degli episodi, oltre ad esprimere un’intensità complessiva maggiore dei singoli fatti, delinea una persistenza che è di per sé ulteriore negazione degli obblighi del dipendente, ed una potenzialità negativa sul futuro adempimento di tali obblighi. Tuttavia, la stessa Corte ha precisato che la recidiva in senso tecnico, quale presupposto per il licenziamento, richiede la comminazione di due provvedimenti di sospensione disciplinare nell’arco di un anno.

Il licenziamento per recidiva: le condizioni

La Corte d’Appello di Reggio Calabria (n. 387/2025) ha confermato che il licenziamento per recidiva è legittimo solo se fondato su almeno tre sanzioni conservative legittime comminate nell’arco temporale previsto dal contratto collettivo, e che la recidiva deve essere contestata e provata. La Corte d’Appello di Messina (n. 748/2024) ha annullato un licenziamento irrogato senza specifica contestazione della recidiva, ribadendo che il licenziamento disciplinare, quale sanzione più grave, esige l’apertura di specifico procedimento disciplinare con previa contestazione degli addebiti e rispetto del contraddittorio secondo l’art. 7 L. n. 300/1970.

La tutela delle informazioni aziendali come segreti commerciali non è automatica: la legge richiede che ricorrano precisi requisiti. Comprenderli è fondamentale sia per le imprese che vogliono proteggere il proprio patrimonio informativo, sia per i professionisti che devono valutare la fondatezza di una pretesa di tutela.

I tre requisiti dell’art. 98 del Codice della Proprietà Industriale

1. Segretezza

L’informazione deve non essere nel suo insieme o nella precisa configurazione e combinazione dei suoi elementi generalmente nota o facilmente accessibile agli esperti e agli operatori del settore. La giurisprudenza ha precisato che la segretezza non richiede l’assoluta irraggiungibilità delle informazioni, ma è sufficiente che la loro acquisizione da parte di un concorrente comporti sforzi o investimenti apprezzabili e che l’insieme organizzato delle informazioni non sia liberamente accessibile (Trib. Milano n. 5705/2025). La protezione può essere accordata anche quando le informazioni siano isolatamente reperibili a costi contenuti, purché l’insieme organizzato sia frutto di attività di raccolta e aggregazione da parte del detentore.

2. Valore economico

L’informazione deve avere valore economico in quanto segreta. Il valore economico è correlato all’attitudine dell’informazione a fornire un vantaggio concorrenziale, consentendo di mantenere o incrementare la propria quota di mercato. Non è richiesto un valore di scambio astratto, ma la capacità dell’informazione di incidere sul posizionamento dell’impresa nel settore di riferimento (Trib. Milano n. 5705/2025).

3. Misure ragionevolmente adeguate

L’informazione deve essere sottoposta a misure ragionevolmente adeguate a mantenerla segreta. La sussistenza di misure ragionevolmente adeguate è valutata in concreto, considerando sia le misure tecniche (limitazione degli accessi, tracciatura, cifratura, segregazione degli archivi) sia quelle giuridiche (accordi di riservatezza, regolamenti interni). L’assenza di misure effettive e documentate può escludere la tutela come segreto commerciale.

Il caso Tribunale di Torino (n. 3934/2025)

Il Tribunale di Torino ha negato la protezione come segreto commerciale in assenza di misure adeguate, nonostante la natura riservata delle informazioni. Questo caso evidenzia che non è sufficiente che le informazioni abbiano un valore strategico per l’impresa: occorre dimostrare concretamente di averle protette con misure proporzionate al rischio.

Perdita della segretezza per esfiltrazione

In caso di esfiltrazione, la perdita della segretezza comporta la perdita del valore economico e, quindi, la cessazione della tutela, salvo che il titolare abbia adottato tutte le misure ragionevoli per prevenire la diffusione (Trib. Milano n. 5705/2025). Questo significa che l’impresa che subisce un’esfiltrazione di dati deve agire tempestivamente, sia per bloccare la diffusione sia per documentare le misure di prevenzione adottate, al fine di conservare la legittimazione ad agire.