[Sicurezza Informatica]  [Automazione]  [Responsabilità Organizzativa]

Affidarsi a un collega che ‘ricorda’ di revocare le credenziali non è una procedura: è un rischio. La giurisprudenza è sempre più esplicita nel sanzionare la revoca manuale come misura insufficiente, in particolare nei contesti in cui il rischio è elevato e il turnover è frequente.

1. Il problema strutturale dei controlli manuali

Le procedure di revoca delle credenziali basate su controlli manuali, non automatizzati, presentano un difetto intrinseco: dipendono dall’attenzione, dalla memoria e dalla disponibilità di persone fisiche in un momento (la cessazione del rapporto o il cambio di mansioni) che è tipicamente caotico, carico di adempimenti concorrenti, e spesso privo di presidi organizzativi adeguati. Il rischio di errore non è un’eccezione: è una costante strutturale di questi sistemi.

La normativa e la giurisprudenza hanno preso atto di questa realtà. Le procedure manuali non sono illegittime in assoluto, ma devono essere accompagnate da presidi compensativi (monitoraggio, audit, alert automatici) che ne riducano il margine di errore a livelli accettabili. In assenza di tali presidi, le procedure manuali sono considerate inadeguate agli standard richiesti.

2. Il quadro normativo: tempestività come sinonimo di automazione

La normativa non prescrive espressamente l’automazione, ma richiede la ‘tempestività immediata’ della revoca. Questo standard, nella pratica, è difficilmente raggiungibile con procedure puramente manuali. Il D.M. 12 luglio 2023, n. 114 (sistema SITAM) dispone che le credenziali non utilizzate da almeno dodici mesi siano disabilitate automaticamente, e che in caso di cessazione del rapporto venga data immediata comunicazione all’ufficio competente perché provveda alla disabilitazione. La Cassazione penale (n. 40295/2024) ha valorizzato l’adozione di sistemi automatici come elemento positivo nella valutazione dell’adeguatezza delle misure di sicurezza.

3. Le conseguenze legali della revoca manuale inadeguata

Il TAR L’Aquila (n. 288/2025) ha affermato che l’abilitazione ai servizi telematici è strettamente personale e il suo trasferimento a terzi costituisce una grave irregolarità che giustifica la revoca delle abilitazioni stesse. Questa pronuncia, riferita all’accesso ai servizi dell’Agenzia delle Entrate, esprime un principio di portata generale: la mancata custodia delle credenziali, resa possibile da procedure di gestione inadeguate, produce effetti giuridici diretti sia per il dipendente che per il datore di lavoro.

Sul piano civilistico, il Tribunale di Frosinone (n. 426/2023) e il Tribunale di Latina (n. 1051/2023) hanno affermato la responsabilità del datore di lavoro per danni da accesso abusivo resi possibili dalla mancata tempestiva revoca delle credenziali. In entrambi i casi, la carenza organizzativa (l’assenza di procedure automatizzate o di presidi compensativi adeguati) è stata il fulcro della valutazione di responsabilità.

4. Il rischio penale: omessa vigilanza e concorso colposo

La Cassazione penale (sez. V, n. 27900/2023 e n. 40295/2024) ha chiarito che il titolare del sistema informatico ha l’onere di adottare tutte le misure idonee a prevenire accessi non autorizzati. Questo onere non si esaurisce nell’adozione formale di misure: include la loro effettiva implementazione e il monitoraggio della loro efficacia. Il datore di lavoro che affida la revoca delle credenziali a un processo manuale privo di verifiche (e che per questa ragione non rileva tempestivamente che un ex dipendente sta ancora accedendo ai sistemi) può essere chiamato a rispondere in concorso, almeno sotto il profilo della colpa, per i reati informatici commessi dall’ex dipendente.

5. Misure compensative per i sistemi con revoca manuale

Per i datori di lavoro che non possono implementare immediatamente sistemi di revoca automatizzata, la giurisprudenza e la prassi del Garante suggeriscono l’adozione di misure compensative che riducano il rischio residuo:

• Disattivazione automatica delle credenziali inutilizzate da oltre sei mesi (misura minima, non sostituibile con procedure manuali);
• Checklist documentata di offboarding informatico, con firma del responsabile IT e timestamp di ogni revoca;
• Alert automatici in caso di accesso con credenziali di personale in stato ‘cessato’ nel sistema HR;
• Audit trimestrale (non solo annuale) in presenza di alto turnover, con report documentato;
• Doppia firma per le revoche: il responsabile HR e il responsabile IT devono entrambi certificare la disattivazione;
• Notifica automatica al DPO per ogni disattivazione tardiva (oltre 24 ore dalla cessazione).

6. Il benchmark internazionale: ISO 27001 e NIS2

Il D. Lgs. 138/2024, attuativo della Direttiva NIS2, impone ai soggetti rientranti nel suo ambito applicativo l’adozione di politiche di controllo dell’accesso, gestione delle identità e soluzioni di autenticazione a più fattori o continua. Questi standard, elaborati nell’ambito della normativa sulla cybersicurezza, stanno progressivamente influenzando la valutazione giudiziale dell’adeguatezza delle misure anche per i soggetti non formalmente destinatari della NIS2. Il giudice che valuta la diligenza di un datore di lavoro nel 2025 non può ignorare che i sistemi automatizzati di gestione delle identità digitali (IAM — Identity and Access Management) sono tecnologia corrente, non avanzata, e che il loro costo è accessibile anche per le medie imprese.

✦ NOTA PRATICA Roadmap di automazione per le PMI: (1) Integrazione HR-IT: il sistema HR deve comunicare automaticamente all’IT ogni evento rilevante (cessazione, cambio mansioni, sospensione); (2) Provisioning automatico: l’assegnazione dei profili di accesso deve avvenire automaticamente all’onboarding sulla base del ruolo; (3) Deprovisioning automatico: la revoca deve avvenire automaticamente entro un’ora dalla cessazione registrata nel sistema HR; (4) Alert per credenziali dormienti: sistema di avviso per ogni credenziale non utilizzata da oltre 90 giorni; (5) Audit log immutabile: ogni operazione di assegnazione, modifica e revoca deve essere registrata in log non modificabili. Questi cinque passaggi non richiedono tecnologia sofisticata: richiedono integrazione tra sistemi già esistenti.

[Obblighi Datoriali]  [DPR 15/2018]  [Privacy by Design]  [Gestione HR]

La dipendente è in maternità da sei mesi. Il suo account è ancora attivo. Il cambio di mansioni è avvenuto ma nessuno ha aggiornato i profili di accesso. Due scenari frequentissimi e due violazioni normative che la giurisprudenza sanziona con crescente rigore.

1. Il problema delle assenze prolungate: un rischio sottovalutato

La gestione delle credenziali durante le assenze prolungate del lavoratore è uno degli aspetti più trascurati della compliance informatica aziendale. Eppure è uno dei più rischiosi. Il lavoratore assente (per maternità, malattia, aspettativa, distacco, sospensione cautelare) mantiene formalmente il rapporto di lavoro, ma le sue credenziali di accesso restano attive su sistemi a cui non ha più ragione di accedere. Chiunque entri in possesso di quelle credenziali può usarle senza che vi sia un titolare ‘vigile’ dall’altro lato.

2. L’obbligo normativo: procedure scritte preventive

Il disciplinare tecnico allegato al Codice della privacy, richiamato dall’art. 25 del DPR 15/2018, è esplicito: quando l’accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso delle credenziali personali, devono essere impartite idonee e preventive disposizioni scritte per assicurare la disponibilità dei dati in caso di prolungata assenza o impedimento dell’incaricato.

La norma non si limita a richiedere che il problema sia gestito: richiede che la soluzione sia preventivamente pianificata e documentata. Le procedure scritte devono individuare: le modalità con cui il titolare garantisce la continuità operativa; i soggetti incaricati della custodia delle credenziali di backup, ove previste; l’obbligo di informare tempestivamente l’incaricato di ogni intervento effettuato durante la sua assenza.

3. La ‘perdita della qualità’: non solo la cessazione del rapporto

L’obbligo di disattivare le credenziali in caso di ‘perdita della qualità che consente l’accesso ai dati personali’ non riguarda solo la cessazione del rapporto di lavoro. La giurisprudenza ha progressivamente ampliato questa nozione in modo significativo.

La Corte d’Appello di Napoli (n. 418/2025) ha affermato con chiarezza che il datore di lavoro è tenuto a verificare periodicamente la sussistenza delle condizioni per la conservazione dei profili di autorizzazione e a disattivare tempestivamente le credenziali degli incaricati che abbiano cambiato mansione o che, per effetto di riorganizzazioni interne, non debbano più accedere a determinati dati. La qualità legittimante è funzionale: si valuta in base alle mansioni effettivamente svolte, non a quelle formalmente attribuite. La Cassazione penale (n. 43385/2023) ha confermato questo orientamento, precisando che l’omessa disattivazione in caso di perdita della qualità può integrare anche responsabilità penale nei casi più gravi.

In concreto, ogni variazione organizzativa rilevante (cambio di mansioni, trasferimento, modifica del perimetro di competenza, distacco, inserimento in procedimento disciplinare, riduzione dell’orario) deve innescare automaticamente una verifica e, se necessario, un aggiornamento dei profili di accesso.

4. La proporzionalità delle misure: valutazione ex ante, non ex post

Un principio spesso frainteso: la proporzionalità delle misure di sicurezza non si valuta dopo il danno, ma prima. Il Tribunale di Brindisi (n. 1449/2021) ha affermato che la valutazione della proporzionalità delle misure deve essere effettuata ex ante, ossia al momento della progettazione e dell’attuazione del trattamento, e non ex post sulla base dell’evento dannoso verificatosi.

Questo significa che il datore di lavoro non può difendersi affermando che, ‘a posteriori’, le misure adottate erano ragionevoli. Deve dimostrare di aver effettuato una valutazione preventiva dei rischi, avendo riguardo alle specificità del trattamento: natura dei dati (ordinari, sensibili, giudiziari), volume, categorie di interessati, vulnerabilità organizzative, stato dell’arte tecnologico, costi di attuazione. E di aver calibrato le misure in ragione di questa valutazione.

Per i trattamenti che includono dati sensibili o giudiziari, la proporzionalità richiede misure rafforzate: cifratura dei dati in transito e a riposo, autenticazione a più fattori, custodia separata dei supporti rimovibili, distruzione certificata dei supporti dismessi, accesso ai log riservato a personale specificatamente autorizzato.

5. La documentazione delle procedure: standard minimi

Il Tribunale di Bari (n. 1780/2025) ha chiarito che l’omessa o inadeguata documentazione delle procedure espone il datore di lavoro a responsabilità sia per violazione degli obblighi di sicurezza, sia per responsabilità contrattuale nei confronti dei lavoratori e degli interessati. La mancata prova di un’adeguata organizzazione e documentazione comporta la responsabilità oggettiva per i danni derivanti da accessi non autorizzati. In caso di ispezione o contenzioso, l’assenza di documentazione scritta sulle procedure adottate costituisce elemento a sfavore che non può essere superato da dichiarazioni retroattive.

6. Il principio di revisione annuale obbligatoria

L’art. 25 DPR 15/2018 impone che almeno annualmente sia verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. Questa non è una mera raccomandazione: è un obbligo minimo la cui inosservanza, di per sé, integra una violazione delle misure minime di sicurezza. La revisione annuale deve essere documentata con un report che indichi: l’elenco dei profili verificati; le variazioni apportate; le motivazioni degli accessi conservati; i profili revocati; l’identità dei soggetti che hanno svolto la verifica.

✦ NOTA PRATICA Trigger per la revisione immediata dei profili di accesso (non attendere la revisione annuale): inizio di maternità/paternità; inizio di aspettativa per qualsiasi causa; cambio di mansioni o ufficio; trasferimento a sede diversa; inserimento in procedimento disciplinare; riduzione dell’orario con modifica delle competenze; riorganizzazione aziendale che riduca il perimetro di responsabilità. Per ciascuno di questi eventi, il sistema HR dovrebbe generare automaticamente una notifica all’IT per la verifica e l’eventuale aggiornamento dei profili. Il workflow deve essere documentato con timestamp di ogni passaggio.

[Responsabilità Datoriale]  [Onere della Prova]  [Accountability GDPR]

In caso di data breach o accesso non autorizzato, il datore di lavoro non è presunto innocente: è presunto inadempiente. Deve essere lui a dimostrare di aver fatto tutto il necessario. Ma cosa significa, concretamente, ‘tutto il necessario’? La giurisprudenza più recente lo dice con precisione inusuale.

1. L’inversione dell’onere della prova: il fondamento normativo

Il principio di accountability sancito dall’art. 5, par. 2 del GDPR non è solo un imperativo di buona governance: è una regola processuale. Il titolare del trattamento (nella quasi totalità dei casi, il datore di lavoro) deve essere in grado di dimostrare la conformità del trattamento ai principi del Regolamento. In caso di danno da accesso non autorizzato ai sistemi informatici, spetta dunque al datore di lavoro provare di aver adottato tutte le misure idonee, non al danneggiato dimostrare le carenze.

Il Tribunale di Bari (n. 1780/2025) ha espresso questo principio nella forma più nitida: il danneggiato può limitarsi a dimostrare l’esistenza del danno e il nesso di causalità rispetto al trattamento illecito, mentre spetta al titolare del trattamento dimostrare di aver adottato tutte le misure idonee per evitare il danno.

2. Prova negativa vs. prova positiva: una distinzione fondamentale

La giurisprudenza ha chiarito che la prova liberatoria del datore di lavoro non può consistere nella mera conformità formale alle prescrizioni di legge. Non è sufficiente affermare di non aver violato norme, questo è solo prova negativa. Occorre la prova positiva, cioè la dimostrazione concreta e documentata di aver:

• valutato autonomamente e specificamente i rischi del trattamento;
• adottato misure tecniche e organizzative calibrate su quei rischi;
• verificato nel tempo l’efficacia concreta delle misure adottate;
• formato adeguatamente il personale incaricato del trattamento;
• documentato ogni passaggio in modo da renderlo verificabile ex post.

La differenza tra prova negativa e prova positiva non è formale: una policy aziendale mai applicata è irrilevante. Un corso di formazione mai documentato è come se non fosse stato svolto. Un audit periodico mai verbalizzato non esiste agli occhi del giudice.

3. Il catalogo della documentazione necessaria

Componendo le indicazioni della giurisprudenza (Trib. Bari 1780/2025; Trib. Roma 8722/2023; Trib. Pordenone 329/2023; Corte dei Conti, sez. Giurisdizionale Trento, 7/2024), è possibile costruire il catalogo minimo della documentazione che il datore di lavoro deve essere in grado di produrre in giudizio:

Documento	Contenuto minimo	Frequenza di aggiornamento
Policy sulle credenziali	Divieto di cessione, obbligo di riservatezza, procedure di segnalazione, sanzioni previste	Annuale o al cambio di sistemi
Registro delle istruzioni scritte	Firma di presa visione di ciascun incaricato, con data e oggetto	Ad ogni onboarding e aggiornamento
Registro delle formazioni	Partecipanti, contenuti, data, attestati individuali	Ogni volta che si eroga formazione
Registro dei profili di autorizzazione	Chi ha accesso a cosa, con quale livello, dal quando al quando	Ad ogni variazione organizzativa
Log delle disattivazioni	Data e ora di revoca, sistema interessato, credenziale disattivata, operatore che ha eseguito	In tempo reale
Report di audit	Verifiche periodiche sui profili attivi vs. personale in forza, anomalie rilevate, azioni correttive	Almeno semestrale
DPIA (se applicabile)	Valutazione del rischio specifico del trattamento, misure adottate, residual risk	Prima del trattamento e al cambio di rischio

4. Il caso dei servizi di pagamento: responsabilità oggettiva aggravata

Per i datori di lavoro che operano nel settore bancario e dei servizi di pagamento, lo standard è ancora più elevato. La Corte d’Appello di Ancona (n. 18/2021) e quella di Napoli (n. 4123/2021) hanno affermato che la responsabilità dell’intermediario per accessi non autorizzati ai sistemi informatici è di tipo oggettivo aggravato: il soggetto si libera solo provando di aver adottato tutte le misure opportune e idonee, nonché fornendo la prova positiva del dolo o della colpa grave del cliente o del dipendente. Non è sufficiente dimostrare la conformità allo standard medio di settore; occorre provare che le misure adottate erano le migliori disponibili.

Questa impostazione, elaborata per il settore bancario, tende progressivamente ad espandersi verso tutti i contesti in cui il trattamento di dati personali è particolarmente sensibile o massivo. Il giudice valuta la responsabilità dell’intermediario professionale con lo stesso metro dell’accorto banchiere: la diligenza qualificata richiesta da chi gestisce dati per professione è ben più alta di quella del privato.

5. Il ruolo della Corte dei Conti: la responsabilità erariale

Un fronte spesso trascurato è quello della responsabilità erariale per i soggetti pubblici. La Corte dei Conti (sez. Giurisdizionale Trento, n. 7/2024) ha affermato che la responsabilità per accessi non autorizzati può essere imputata anche in assenza di dolo o colpa grave, se il sistema di gestione delle credenziali non prevede controlli automatici e procedure di revoca tempestiva, e se non sono state adottate misure tecniche e organizzative idonee a prevenire l’uso improprio delle credenziali da parte di soggetti non più autorizzati. Per i dirigenti pubblici, l’inadeguatezza del sistema di gestione delle credenziali può dunque tradursi in un danno erariale personale.

6. La prova liberatoria nei giudizi davanti al Garante

Nei procedimenti sanzionatori avviati dal Garante per la protezione dei dati personali, la prova liberatoria segue gli stessi principi ma con alcune specificità procedurali. Il titolare deve presentare, nel termine assegnato, memorie difensive corredate dalla documentazione delle misure adottate. L’assenza di documentazione (anche solo parziale) è valutata come elemento aggravante, che può incidere sull’entità della sanzione irrogata. Il Garante ha espressamente indicato, in più occasioni, che l’assenza di audit log e di controlli periodici aggrava la posizione del titolare in caso di data breach.

✦ NOTA PRATICA Lista di controllo per la prova liberatoria: (1) Policy sulle credenziali scritta, datata, firmata dagli incaricati: esiste? (2) Registro delle formazioni con attestati individuali: è aggiornato? (3) Log delle disattivazioni delle credenziali con timestamp: è completo? (4) Report di audit semestrale sui profili di autorizzazione: è stato redatto? (5) Valutazione del rischio documentata prima dell’avvio del trattamento: c’è? Se anche un solo punto manca, il datore di lavoro è esposto. Costruire questo sistema non è un onere burocratico: è la condizione per potersi difendere in giudizio.

[Diritto Disciplinare]  [Subordinazione Gerarchica]  [Difesa del Lavoratore]

Un direttore chiede alla propria dipendente di accedere al sistema usando le sue credenziali. La dipendente obbedisce. Può essere sanzionata disciplinarmente? La risposta della giurisprudenza è articolata e molto più favorevole al lavoratore di quanto si possa pensare.

1. Il problema: subordinazione e sicurezza informatica in rotta di collisione

Nei contesti lavorativi caratterizzati da rapporti gerarchici marcati, il dipendente si trova spesso in una posizione di oggettiva difficoltà quando riceve dal proprio superiore una richiesta che collide con le regole di sicurezza informatica: cedere le proprie credenziali, consentire l’uso della propria postazione, non effettuare il log-out in presenza del responsabile. Il diritto disciplinare deve fare i conti con questa realtà.

La giurisprudenza di merito ha elaborato, negli ultimi anni, una linea interpretativa coerente: il vincolo di subordinazione gerarchica è un elemento di contesto che il giudice del lavoro deve necessariamente valutare nel giudizio di proporzionalità della sanzione disciplinare, e che in presenza di condizioni specifiche può escludere integralmente la responsabilità del lavoratore.

2. Il caso paradigmatico: Trib. Napoli n. 423/2023

La pronuncia del Tribunale di Napoli (25 gennaio 2023, n. 423) è la più compiuta elaborazione di questi principi nella giurisprudenza di merito. Il caso riguardava una dipendente che aveva consentito al proprio direttore di utilizzare la sua postazione e le sue credenziali di accesso. L’azienda aveva irrogato una sanzione disciplinare. Il Tribunale l’ha annullata, valorizzando due ordini di ragioni strettamente correlati.

In primo luogo, la condotta della dipendente era espressione di una prassi aziendale diffusa e tollerata: non si trattava di una deviazione individuale, ma di un comportamento generalizzato che coinvolgeva numerosi colleghi e che non era mai stato oggetto di formale contestazione o revoca. In secondo luogo, e questo è il profilo più innovativo della decisione, il giudice ha specificamente valorizzato la difficoltà, per il lavoratore, di opporsi a richieste provenienti da superiori gerarchici. In un rapporto di lavoro subordinato, l’autorità del superiore non è solo formale: è percepita come un obbligo, e la resistenza a una sua direttiva comporta rischi concreti di ritorsione o conflitto.

3. I cinque elementi del giudizio di esculpazione

Componendo le indicazioni della giurisprudenza — Trib. Napoli Nord 423/2023, Trib. Varese 181/2023, Cass. pen., sez. V, n. 72/2020 — è possibile individuare cinque elementi concreti che il giudice valuta per escludere la responsabilità disciplinare del dipendente che ha ceduto le credenziali su richiesta del superiore:

Elemento	Contenuto	Effetto
Prassi generalizzata	La condotta era diffusa nell’organizzazione, non limitata al singolo episodio	Esclude la colpevolezza individuale
Tolleranza gerarchica	I superiori conoscevano e tolleravano la prassi, senza mai contrastarla formalmente	Rafforza il ragionevole affidamento del dipendente
Assenza di revoca formale	Non vi sono stati richiami, circolari o comunicazioni che vietassero espressamente la condotta	Esclude la consapevolezza dell’illecito
Condizione di subordinazione	Il dipendente era gerarchicamente sottordinato a chi ha richiesto la cessione delle credenziali	Riduce significativamente la libertà di rifiutare
Formazione carente o assente	Il datore di lavoro non aveva fornito istruzioni chiare sul divieto di cessione	Aggrava la responsabilità del datore, attenua quella del lavoratore

4. Il limite invalicabile: la consapevolezza dell’illiceità

La tutela del lavoratore gerarchicamente subordinato ha un confine preciso: non può essere invocata quando il dipendente era pienamente consapevole dell’illiceità della condotta. Se l’azienda aveva comunicato formalmente il divieto di cessione, se il dipendente aveva ricevuto formazione specifica, se vi erano stati precedenti richiami per condotte analoghe, la subordinazione gerarchica non è sufficiente a escludere la responsabilità. In questi casi, il lavoratore avrebbe potuto (e dovuto) rifiutare la richiesta del superiore, ricorrendo se necessario alle procedure interne di segnalazione.

La Cassazione penale (SS.UU., n. 41210/2017) ha precisato che, anche per i pubblici ufficiali tenuti al rispetto di obblighi di servizio particolarmente stringenti, la condotta resta abusiva quando è ontologicamente incompatibile con le finalità per cui l’accesso è stato attribuito. A fortiori, il dipendente privato non può invocare la gerarchia come scudo assoluto.

5. Le implicazioni per il datore di lavoro: il ‘boomerang’ disciplinare

La giurisprudenza analizzata produce un effetto paradossale per il datore di lavoro che non gestisce correttamente la sicurezza informatica: la stessa prassi di condivisione delle credenziali che egli ha tollerato (o addirittura incoraggiato indirettamente attraverso richieste dei dirigenti) diventa uno scudo per il dipendente che intende impugnare la sanzione disciplinare. L’azienda si trova nella scomoda posizione di dover dimostrare di aver vietato formalmente una condotta che in realtà non ha mai contrastato.

L’unico modo per spezzare questo circolo vizioso è costruire preventivamente un sistema di compliance credibile: policy scritta, formazione documentata, segnalazione delle violazioni, intervento tempestivo sulle prassi non conformi. Solo un’azienda che ha investito in questi strumenti può legittimamente sanzionare il dipendente che cede le credenziali — anche se lo fa su richiesta del superiore.

6. Il conflitto tra subordinazione e whistleblowing

Un profilo emergente, ancora poco esplorato dalla giurisprudenza, riguarda l’interazione tra l’obbligo di segnalare le violazioni di sicurezza (art. 2 D. Lgs. 24/2023 sul whistleblowing) e il vincolo gerarchico. Il dipendente che riceve dal superiore una richiesta di cessione delle credenziali si trova tecnicamente nella condizione di dover segnalare una condotta illecita che è proprio il superiore a richiedere. La disciplina sul whistleblowing offre tutele specifiche contro le ritorsioni: vale la pena valutare se e in che misura queste tutele possano essere invocate in questo contesto.

✦ NOTA PRATICA Per i responsabili delle risorse umane: prima di avviare un procedimento disciplinare per cessione di credenziali, verificare scrupolosamente: (1) se esiste una policy scritta che vieta la condivisione, firmata dal lavoratore; (2) se il lavoratore ha ricevuto formazione specifica sul punto; (3) se la condotta era diffusa nell’organizzazione; (4) se la richiesta proveniva da un superiore gerarchico; (5) se il superiore stesso è stato — o sarà — sanzionato. L’asimmetria nell’applicazione delle regole disciplinari è uno dei principali motivi di annullamento giudiziale delle sanzioni.

[Colpa di Organizzazione]  [Data Breach]  [Responsabilità del Titolare]  [D.Lgs. 231/2001]

Quando un data breach è causato dall’uso di credenziali compromesse o di ex dipendenti non revocati, chi risponde e a quale titolo? La giurisprudenza ha elaborato il concetto di ‘colpa di organizzazione’ come asse portante della responsabilità del titolare del trattamento con conseguenze che vanno ben oltre le sanzioni del Garante.

1. La ‘colpa di organizzazione’: nozione e fondamento

Il concetto di ‘colpa di organizzazione’, elaborato originariamente in materia di responsabilità degli enti ai sensi del D.Lgs. 231/2001 (Cass. pen., sez. IV, n. 18413/2022), è stato progressivamente recepito dalla giurisprudenza in materia di protezione dei dati personali come categoria descrittiva della responsabilità del titolare del trattamento.

La ‘colpa di organizzazione’ si configura come un deficit strutturale o funzionale dell’assetto organizzativo del titolare, che si manifesta nell’omessa adozione, nell’inadeguatezza o nell’inefficace attuazione di misure tecniche e organizzative idonee a garantire la sicurezza dei dati personali. Non è una responsabilità oggettiva: è una forma di responsabilità per colpa qualificata, in cui il rimprovero deriva dall’inottemperanza all’obbligo di adottare le cautele organizzative che la legge impone e che l’ordinaria diligenza professionale avrebbe suggerito.

2. Come il giudice accerta la colpa di organizzazione

Il Tribunale di Roma (n. 8722/2023) ha fornito la griglia di accertamento più dettagliata elaborata dalla giurisprudenza di merito. Il giudice deve verificare:

2.1 Specificità e adeguatezza delle misure adottate

Non è sufficiente affermare di aver adottato ‘misure adeguate’. Il titolare deve documentare le misure specifiche: quali sistemi di autenticazione, quali procedure di revoca, quali audit, quali sistemi di alert. La genericità della risposta è di per sé indice di inadeguatezza.

2.2 Attuazione concreta ed efficacia

Le misure formalmente adottate devono essere state concretamente attuate ed efficaci. Una policy sulla sicurezza delle credenziali che non viene applicata nella pratica è peggio dell’assenza di policy: dimostra che il titolare era consapevole del rischio e non ha fatto nulla di concreto per mitigarlo.

2.3 Formazione del personale

Il livello di formazione e sensibilizzazione del personale sui temi della sicurezza informatica è un indicatore rilevante. La mancata formazione specifica o la sua genericità sono valutate come elementi a sfavore del titolare (Trib. Roma, n. 8722/2023). Rileva anche la cultura organizzativa: un’organizzazione che non prende sul serio la sicurezza informatica espone il proprio titolare a una valutazione negativa.

2.4 Audit e controlli periodici

L’omissione di audit e controlli periodici è considerata una violazione autonoma, anche in presenza di misure inizialmente adeguate. Il Tribunale di Milano (n. 9157/2023) ha accertato che l’assenza di audit ha contribuito causalmente al data breach, impedendo la rilevazione tempestiva di comportamenti anomali.

2.5 Nesso causale tra deficit organizzativo e violazione

Il giudice deve verificare il nesso causale tra il deficit organizzativo e la violazione contestata. Questo accertamento è fondamentale: non ogni deficit organizzativo genera responsabilità, ma solo quello che ha concretamente reso possibile o agevolato la violazione.

3. L’onere della prova e l’accountability

In coerenza con il principio di accountability del GDPR (art. 5, par. 2), l’onere della prova della non responsabilità grava sul titolare del trattamento. In caso di data breach da credenziali compromesse, il titolare deve dimostrare:

• di aver adottato misure tecniche e organizzative adeguate, documentate e periodicamente aggiornate;
• che il data breach è stato causato da una condotta individuale imprevedibile e non prevenibile neppure con le misure più avanzate (Trib. Roma, n. 8722/2023);
• di aver attivato tempestivamente le procedure di notifica al Garante e agli interessati.

Il titolare che non è in grado di produrre documentazione a supporto si trova in una posizione di estrema debolezza processuale. La mancanza di documentazione non è solo un problema probatorio: è di per sé un indice di inadempimento degli obblighi di accountability.

4. Le responsabilità sovrapposte: Garante, giudice civile, giudice penale

Il data breach da credenziali aziendali attiva un sistema di responsabilità concorrenti:

• Garante per la protezione dei dati personali: sanzione amministrativa ai sensi dell’art. 83 GDPR, fino al 4% del fatturato mondiale annuo;
• Giudice civile: risarcimento del danno patrimoniale e non patrimoniale agli interessati ai sensi dell’art. 82 GDPR;
• Giudice penale: responsabilità ai sensi dell’art. 167 D. Lgs. 196/2003 (trattamento illecito di dati personali) e, ove applicabile, ai sensi del D. Lgs. 231/2001 per responsabilità dell’ente.

Queste responsabilità non si escludono a vicenda: possono cumularsi, con effetti devastanti per l’organizzazione che non abbia costruito un sistema di compliance adeguato.

5. Le implicazioni per la costruzione del sistema di compliance

La ‘colpa di organizzazione’ è prevenibile. Il messaggio della giurisprudenza è chiaro: le organizzazioni che costruiscono, documentano, attuano e aggiornano sistemi di gestione delle credenziali conformi agli standard normativi e alle best practice di settore si trovano in una posizione radicalmente diversa  (e migliore) rispetto a quelle che affidano la sicurezza informatica all’improvvisazione.

Gli elementi di un sistema di compliance solido sono stati descritti nei post precedenti. Il punto conclusivo è che la compliance non è un costo: è un investimento nella limitazione del rischio legale, reputazionale e operativo. E, alla luce della giurisprudenza analizzata in questa serie, un investimento che si ripaga ampiamente alla prima crisi.

Aspetto	Standard richiesto	Fonte/Precedente
Natura responsabilità	Colpa di organizzazione, non oggettiva	Trib. Roma n. 8722/2023; Cass. pen. n. 18413/2022
Onere della prova	In capo al titolare (accountability)	Art. 5 par. 2 GDPR; Trib. Bari n. 1780/2025
Audit periodici	Obbligatori e documentati	Trib. Pordenone n. 329/2023
Sistemi di alert	Obbligatori per sistemi ad alto rischio	Trib. Milano n. 9157/2023; Garante n. 137/2014
Formazione personale	Specifica, documentata, periodica	Trib. Roma n. 8722/2023
Causa di esclusione	Condotta individuale imprevedibile e non prevenibile	Trib. Roma n. 8722/2023; C.A. L’Aquila n. 368/2025

[Sicurezza Informatica]  [File di Log]  [Audit Trail]  [Data Breach]

Un sistema informatico che non registra gli accessi non solo è insicuro: è giuridicamente esposto. La tracciabilità non è un lusso tecnologico ma è un obbligo normativo la cui inosservanza, come la giurisprudenza dimostra, può costare milioni.

1. L’obbligo di registrazione degli accessi

L’art. 21 del D. Lgs. 51/2018 dispone che tutte le operazioni di raccolta, modifica, consultazione, comunicazione, trasferimento, interconnessione e cancellazione di dati, eseguite in sistemi di trattamento automatizzati, siano registrate in appositi file di log. Tali registrazioni devono consentire di conoscere:

• i motivi dell’operazione;
• la data e l’ora;
• l’identità della persona che ha eseguito l’operazione;
• i destinatari dei dati.

I file di log devono essere non modificabili e protetti con idonee misure contro ogni uso improprio. L’accesso è consentito esclusivamente ai fini della verifica della liceità del trattamento, del controllo interno, per garantire l’integrità e la sicurezza dei dati, e nell’ambito di procedimenti penali.

2. I tempi di conservazione: un quadro differenziato

La durata minima di conservazione varia in base al settore e alla tipologia di dati:

Contesto	Durata conservazione log	Fonte normativa
Sistemi generali (videosorveglianza)	5 anni	Art. 24 DPR 15/2018
Sistemi tracciabilità armi	20 anni	Art. 20 D.M. 12 luglio 2023, n. 114
Banca dati DNA	20 anni	Art. 3 DPR 87/2016
Consultazioni automatizzate (Prüm)	2 anni	Art. 17 DPR 87/2016
Dati sensibili/giudiziari — standard	Limitazione rafforzata al necessario	Art. 15 D. Lgs. 51/2018
Conservazione prorogata per indagini penali	+2/3 del termine ordinario	Art. 1 D.M. 114/2023

3. I sistemi di alert: da buona prassi a obbligo normativo

L’implementazione di sistemi di alert automatici per rilevare comportamenti anomali sta transitando da best practice a obbligo normativo de facto, sotto la pressione combinata della giurisprudenza e dei provvedimenti del Garante.

Il Tribunale di Milano (n. 9157/2023 e n. 1164/2024) ha esaminato un caso di data breach di ampia portata, con accesso non autorizzato a centinaia di migliaia di dati personali, in cui il consulente tecnico d’ufficio aveva evidenziato che ‘semplici funzionalità di analisi statistica avrebbero potuto segnalare l’abnorme comportamento delle utenze coinvolte nel data breach’. Il Tribunale ha ritenuto la mancata adozione di alert basilari una grave carenza organizzativa, che ha aggravato la posizione del titolare e giustificato sanzioni di importo rilevante.

Il Garante (provvedimento n. 137/2014) ha prescritto l’adozione di soluzioni informatiche idonee ad assicurare il controllo delle attività svolte da ciascun incaricato sui dati, anche mediante la registrazione delle operazioni e l’implementazione di sistemi di alert per comportamenti anomali.

4. L’audit periodico: obbligo autonomo e non delegabile

La verifica periodica dei profili di autorizzazione e l’audit dei log di accesso costituiscono un obbligo autonomo, distinto dall’adozione iniziale delle misure di sicurezza. Il Tribunale di Pordenone (n. 329/2023) ha affermato che l’omessa implementazione di audit e controlli periodici costituisce una violazione autonoma e imputabile al titolare, anche in presenza di responsabilità concorrenti del responsabile del trattamento esterno.

La mancata dimostrazione di audit e controlli periodici comporta, in caso di contestazione, una presunzione di inadempimento con inversione dell’onere della prova a carico del titolare.

5. La sanzione per la mancata conservazione dei log

La mancata conservazione dei log per il periodo previsto costituisce una violazione autonoma e sanzionabile, anche in assenza di un danno concreto dimostrato. Questo principio, ribadito dal Tribunale di Milano (n. 9157/2023 e n. 1164/2024), ha conseguenze importanti: il titolare non può difendersi affermando che ‘tanto non è successo niente’. L’obbligo di conservazione è strumentale alla possibilità futura di verificare e ricostruire gli accessi, e la sua violazione pregiudica in radice questa possibilità.

6. Il bilanciamento con la privacy dei lavoratori

I file di log contengono, per loro natura, dati personali dei lavoratori (chi ha fatto cosa, quando, su quali dati). La loro conservazione e consultazione deve rispettare i principi di minimizzazione, limitazione della finalità e proporzionalità. La Corte di Giustizia dell’Unione Europea (C-77/21, Digi Kft, 2022) ha chiarito che il principio di limitazione della finalità non osta alla registrazione in una banca dati di test di dati precedentemente raccolti in un’altra banca dati, purché il trattamento ulteriore sia compatibile con le finalità iniziali.

✦ NOTA PRATICA Indicatori di adeguatezza del sistema di logging: (1) tutti gli accessi ai dati sono registrati in log non modificabili; (2) i log includono data, ora, identità dell’accedente, operazione compiuta; (3) i log sono conservati per il periodo previsto dalla normativa applicabile; (4) esistono alert automatici per comportamenti anomali (accessi in orari insoliti, volume anomalo di consultazioni, accessi da IP non noti); (5) gli audit vengono effettuati almeno semestralmente e documentati; (6) l’accesso ai log è riservato a personale specificatamente autorizzato; (7) i log sono protetti da modifiche non autorizzate. Ogni lacuna in questo sistema è un rischio giuridico misurabile.

 Nota a Cass. civ., sez. lav., 17 luglio 2026, n. 23436

06.08.2026

Con la sentenza n. 23436 del 17 luglio 2026, la Sezione Lavoro della Corte di Cassazione torna su un tema che attraversa da tempo il diritto del lavoro: fin dove può spingersi il legislatore quando disciplina un rapporto di collaborazione senza toccarne la sostanza fattuale? La pronuncia, resa nel contenzioso promosso da alcuni “navigator” nei confronti di Sviluppo Lavoro Italia S.p.A. (già ANPAL Servizi S.p.A.) e dell’INPS, offre l’occasione per fissare un principio che va ben oltre il caso specifico.

 1. Il caso dei navigator

I navigator sono stati reclutati da ANPAL Servizi S.p.A., mediante selezione pubblica, in attuazione dell’art. 12, comma 3, del d.l. 4/2019 (convertito con l. 26/2019), che ha istituito il Piano straordinario di potenziamento dei Centri per l’Impiego collegato all’introduzione del Reddito di Cittadinanza. I contratti individuali qualificavano il rapporto come “incarico di collaborazione ex art. 409, comma 1, n. 3, c.p.c.”, escludendo espressamente il vincolo di subordinazione.

Alcuni collaboratori hanno agito in giudizio chiedendo la riqualificazione del rapporto come lavoro subordinato ai sensi dell’art. 2094 c.c. o, in subordine, l’applicazione della disciplina delle collaborazioni etero-organizzate di cui all’art. 2, comma 1, del d.lgs. 81/2015.

La Corte d’Appello di Torino aveva respinto entrambe le domande. Aveva ritenuto “neutri” gli indici presuntivi di subordinazione dedotti dai ricorrenti (reclutamento tramite selezione pubblica, fornitura di strumenti di lavoro, retribuzione fissa mensile, obbligo di registrare le presenze, orari coincidenti con l’apertura dei CPI, e così via), qualificandoli come circostanze imposte direttamente dalla normativa di settore. Su questa base aveva escluso anche l’applicabilità dell’art. 2 del d.lgs. 81/2015, ritenendo l’art. 12 del d.l. 4/2019 una norma speciale, temporanea e implicitamente derogatoria rispetto alla disciplina generale del 2015 e, in ogni caso, aveva ravvisato gli estremi della deroga sindacale prevista dall’art. 2, comma 2, lett. a), in forza di un accordo quadro stipulato nel 2015 tra la società (allora Italia Lavoro S.p.A.) e alcune organizzazioni sindacali.

 2. La decisione della Cassazione: due esiti distinti

La Cassazione respinge i primi cinque motivi di ricorso, quelli relativi alla mancata qualificazione del rapporto come lavoro subordinato: conferma che l’accertamento della sussistenza di un “incisivo e dettagliato potere di direzione e controllo” è apprezzamento di fatto riservato al giudice di merito, non sindacabile in sede di legittimità se la motivazione non presenta le anomalie che integrano la nullità ai sensi dell’art. 132, n. 4, c.p.c.

Accoglie invece i motivi dal sesto al decimo, quelli relativi all’esclusione della disciplina delle collaborazioni etero-organizzate. Su questo punto la Corte smonta entrambi i presupposti della decisione torinese:

– Non esiste, nell’art. 12 del d.l. 4/2019, una disciplina compiuta e derogatoria del rapporto di lavoro dei navigator. La norma si limita a prevedere il “conferimento di incarichi di collaborazione”, senza altro; il richiamo va letto come rinvio generico alla legislazione vigente, non come introduzione di un tipo contrattuale speciale destinato a prevalere sull’art. 2 d.lgs. 81/2015.
– L’accordo sindacale del 22 luglio 2015 non soddisfa i requisiti della deroga ex art. 2, comma 2, lett. a). È un accordo aziendale (stipulato dalla società, allora Italia Lavoro S.p.A.), non un accordo collettivo nazionale siglato da organizzazioni sindacali comparativamente più rappresentative; ed è comunque privo di qualsiasi indicazione sulle “particolari esigenze produttive ed organizzative del settore” richieste dalla norma per giustificare l’esclusione delle tutele.

La causa torna quindi alla Corte d’Appello di Torino, in diversa composizione, che dovrà riesaminare la fattispecie applicando ai navigator la disciplina dell’art. 2, comma 1, d.lgs. 81/2015.

 3. Il punto centrale: qualificazione della fattispecie e regime di tutela non coincidono

L’aspetto più interessante della pronuncia sta proprio nella tenuta di questi due esiti opposti all’interno della stessa decisione. La Cassazione non riconosce ai navigator lo status di lavoratori subordinati; l’assenza di un intenso potere direttivo e di controllo regge al vaglio di legittimità. Ma questo non significa che il rapporto resti privo di ogni tutela: se presenta i caratteri della etero-organizzazione (prestazione prevalentemente personale, continuativa, con modalità di esecuzione – anche temporali – organizzate dal committente), si applica comunque la disciplina del rapporto di lavoro subordinato, a prescindere dalla sussistenza di un effettivo potere gerarchico in senso proprio.

Su questo punto la sentenza richiama espressamente Cass. n. 1663/2020 (la nota decisione sui riders), ribadendo che l’art. 2 d.lgs. 81/2015 non ha funzione meramente antielusiva: non occorre dimostrare l’intento del committente di eludere le tutele del lavoro subordinato perché la disciplina scatti. Basta la ricorrenza oggettiva degli indici di etero-organizzazione.

 4. Il richiamo al principio di indisponibilità del tipo

Nel motivare il rigetto dell’idea che l’art. 12 del d.l. 4/2019 avesse “neutralizzato” per legge gli indici presuntivi di subordinazione, la Cassazione richiama — sia pure incidentalmente — un principio di rilievo costituzionale: se la disposizione fosse stata interpretata nel senso di un’esclusione “ex lege” della subordinazione, ciò sarebbe stato “in evidente contrasto col principio di indisponibilità del tipo”, richiamando sul punto Corte cost. nn. 121/1993 e 115/1994. Lo stesso principio viene poi utilizzato per giustificare l’interpretazione rigorosa della clausola derogatoria sindacale dell’art. 2, comma 2, lett. a).

È un richiamo importante perché conferma che il principio di indisponibilità del tipo — tradizionalmente elaborato con riferimento all’autonomia privata (le parti non possono, denominando diversamente il contratto, sottrarsi alle tutele imperative collegate alla fattispecie realmente realizzata) — opera anche nei confronti del legislatore: una qualificazione legale non può, di per sé, trasformare in autonomo un rapporto che nella sua attuazione concreta presenti i caratteri della subordinazione.

Va detto con chiarezza, per correttezza espositiva: nella sentenza questo richiamo resta un argomento di supporto, non la “ratio” diretta dell’accoglimento dei motivi 6-10. La Cassazione della sentenza d’appello si fonda tecnicamente sull’assenza di una vera norma speciale nell’art. 12 e sui vizi soggettivi e di contenuto dell’accordo sindacale del 2015. Il principio di indisponibilità del tipo è il criterio ermeneutico che rende plausibile e coerente questa lettura, più che l’autonoma ragione della decisione.

 5. La discrezionalità del legislatore e il suo limite

Da questa impostazione discende una lettura più ampia. Il legislatore conserva un ampio margine per introdurre nuove figure contrattuali, disciplinare rapporti non riconducibili ai modelli tradizionali e costruire fattispecie intermedie tra lavoro autonomo e subordinato (la stessa etero-organizzazione ne è un esempio paradigmatico). Questa discrezionalità, tuttavia, trova un limite quando la qualificazione normativa non risponde più alla struttura reale del rapporto ma diventa uno strumento per sottrarre tutele che l’ordinamento collega a quella struttura, indipendentemente dal nome che le parti — o la legge — le attribuiscono.

In altri termini: la legge può “regolare” un rapporto di lavoro, non può “travestirlo”. Se il nomen iuris (qui, “incarico di collaborazione ex art. 409 c.p.c.”) non trova corrispondenza nelle concrete modalità di esecuzione della prestazione, prevale quest’ultima ai fini della qualificazione e del regime applicabile.

 6. Osservazioni conclusive

La sentenza n. 23436/2026 lascia impregiudicata la questione più delicata – se i navigator fossero davvero lavoratori subordinati – rinviandola al giudice del merito sotto la lente, questa volta corretta, dell’art. 2 d.lgs. 81/2015. Ma nel farlo consolida un punto di metodo che travalica il singolo caso: la qualificazione giuridica di un rapporto di lavoro è un’operazione ancorata alla realtà fattuale della prestazione, non disponibile né per le parti né, entro i limiti appena descritti, per il legislatore stesso. È un richiamo di attualità in un momento storico in cui le forme di lavoro intermedie (dal platform work alle collaborazioni istituzionali come quella qui esaminata) si moltiplicano, e in cui la tentazione di regolare per legge l’”etichetta” del rapporto, più che la sua “sostanza”, resta sempre presente.

Rimedi dell’apprendista per mancata erogazione della formazione

Il mancato adempimento degli obblighi formativi da parte del datore di lavoro non lascia l’apprendista privo di tutela. Il sistema di rimedi è articolato su tre livelli tra loro non alternativi: un canale amministrativo (che opera d’ufficio), un piano civilistico-processuale (che l’apprendista deve attivare in giudizio) e un regime retributivo specifico che discende automaticamente dalla conversione del rapporto.

1. La segnalazione all’Ispettorato del Lavoro

Il primo strumento a disposizione dell’apprendista è la segnalazione all’Ispettorato Nazionale del Lavoro. Quando il personale ispettivo rileva un inadempimento nella erogazione della formazione prevista nel piano formativo individuale, adotta un provvedimento di disposizione ai sensi dell’art. 14 del D.Lgs. 124/2004, assegnando al datore un termine congruo per adempiere (art. 47 D.Lgs. 81/2015). Se l’inadempimento è di tale gravità da impedire la realizzazione delle finalità dell’apprendistato, il datore è tenuto a versare la differenza tra la contribuzione effettivamente versata e quella che avrebbe dovuto versare con riferimento al livello di inquadramento contrattuale superiore che l’apprendista avrebbe raggiunto a fine periodo, maggiorata del 100%, con esclusione di ulteriori sanzioni per omessa contribuzione (art. 47 D.Lgs. 81/2015).

Il canale ispettivo è accessibile anche su istanza del lavoratore e prescinde dall’esercizio di azioni giudiziali. Non esaurisce tuttavia le tutele esperibili: la conversione del rapporto e il recupero delle differenze retributive richiedono comunque un’azione giudiziaria.

2. L’azione giudiziaria per la conversione del rapporto

2.1. Il fondamento: inadempimento della causa del contratto

Il rimedio più incisivo che l’apprendista può attivare dinnanzi al giudice del lavoro è l’accertamento della nullità del contratto di apprendistato per difetto di causa e la conseguente conversione del rapporto in contratto di lavoro subordinato ordinario a tempo indeterminato, con effetto ex tunc dall’origine del rapporto.

La giurisprudenza di legittimità è consolidata nel ritenere che, poiché la formazione qualifica la causa del contratto di apprendistato, il suo inadempimento — se dotato di obiettiva rilevanza — determina la trasformazione del rapporto sin dall’inizio: “l’inadempimento degli obblighi di formazione ne determina la trasformazione, fin dall’inizio, in rapporto di lavoro subordinato a tempo indeterminato ove l’inadempimento abbia un’obiettiva rilevanza, concretizzandosi nella totale mancanza di formazione, teorica e pratica, ovvero in una attività formativa carente o inadeguata rispetto agli obiettivi indicati nel progetto di formazione e trasfusi nel contratto” (Corte d’Appello Napoli, 6 mag. 2022, n. 1929, che richiama Cass. n. 16595/2020; conf. Corte d’Appello Milano, 27 mag. 2021, n. 589; Trib. Ancona, 27 dic. 2023, n. 467).

Il medesimo effetto di conversione consegue all’assenza del piano formativo individuale nel contratto: la nullità per mancanza del PFI comporta la trasformazione del rapporto e l’obbligo del datore di versare le differenze contributive (Trib. Bolzano, 22 dic. 2022, n. 192; Trib. Verona, 15 gen. 2021, n. 55).

2.2. La soglia di rilevanza dell’inadempimento

La conversione non consegue a qualsiasi irregolarità formativa, ma solo a un inadempimento che superi la soglia della non scarsa importanza, secondo i principi generali sull’adempimento contrattuale. La giurisprudenza precisa che al datore è concessa una circoscritta discrezionalità nell’organizzazione temporale del percorso (alternanza teoria/pratica), ma non può mai eliminare integralmente una delle due componenti (Corte d’Appello Milano, 27 mag. 2021, n. 589). La brevità del rapporto rispetto alla durata complessiva prevista è un fattore che il giudice valuta: in un caso di rapporto durato 8 giorni su 36 mesi previsti, la Corte d’Appello di Milano ha escluso che l’inadempimento avesse raggiunto la soglia di gravità necessaria (Corte d’Appello Milano, 27 mag. 2021, n. 589).

2.3. Il regime dell’onere probatorio

Il tema dell’onere della prova riveste importanza pratica decisiva. Poiché è il datore di lavoro a essere obbligato per legge all’erogazione della formazione e a dover registrare e documentare la stessa, è su di lui che incombe l’onere di dimostrare l’avvenuto adempimento. Il Tribunale di Pisa ha condannato il datore che non aveva prodotto alcuna documentazione attestante la formazione “on the job” svolta nei primi due anni di contratto, rigettando la giustificazione legata alla pandemia Covid-19 perché la lavoratrice non aveva ricevuto formazione alcuna nemmeno prima dello stato di emergenza (Trib. Pisa, 4 apr. 2025, n. 192). Il Tribunale di Bolzano ha confermato che, a fronte di precise contestazioni del lavoratore, il mancato assolvimento dell’onere probatorio da parte del datore determina l’accoglimento della domanda di conversione (Trib. Bolzano, 22 dic. 2022, n. 192).

3. Le differenze retributive conseguenti alla conversione

La conversione del rapporto in contratto ordinario a tempo indeterminato produce effetti economici retroattivi. Dalla data di inizio del rapporto, l’apprendista ha diritto all’inquadramento nel livello contrattuale corrispondente alle mansioni effettivamente svolte, con conseguente riconoscimento delle differenze retributive tra quanto percepito nella qualità di apprendista (il cui trattamento è inferiore di regola di due livelli) e quanto spettante come lavoratore ordinario (Trib. Bolzano, 22 dic. 2022, n. 192). Il Tribunale di Bolzano, dopo aver dichiarato la conversione, ha invitato la ricorrente a depositare il conteggio delle differenze retributive in applicazione dell’inquadramento al V livello del CCNL, minimi tabellari, orario ordinario (Trib. Bolzano, 22 dic. 2022, n. 192).

Il Tribunale di Ancona ha ricostruito la ratio sottostante a questo effetto economico, precisando che la formazione è la causa giustificatrice della retribuzione ridotta dell’apprendista: “tale arricchimento tecnico è proprio la causa giustificativa della possibilità per il datore di retribuire l’apprendista con una retribuzione di due livelli inferiore rispetto alla mansione concretamente svolta” — venuta meno la formazione, viene meno la giustificazione del trattamento deteriore (Trib. Ancona, 27 dic. 2023, n. 467).

4. Il risarcimento del danno da perdita di chance formativa

Accanto alle differenze retributive, l’apprendista può domandare il risarcimento del danno da perdita di chance professionale: si tratta del danno patrimoniale derivante dall’impoverimento della capacità professionale del lavoratore o dalla mancata acquisizione di maggiori capacità che la formazione avrebbe consentito, con le connesse opportunità di carriera e di guadagno. (Interpello Agenzia delle Entrate n. 185/2022) Questo profilo risarcitorio, distinto dalle differenze retributive, ha carattere autonomo e richiede la prova — anche in via presuntiva — della concreta probabilità di conseguire il vantaggio professionale perduto.

5. Recesso per giusta causa da parte dell’apprendista

Quando l’inadempimento formativo è grave e persistente, l’apprendista può anche recedere per giusta causa ai sensi dell’art. 2119 c.c., con diritto all’indennità sostitutiva del preavviso a carico del datore. Come affermato dalla Cassazione già con pronuncia risalente ma seguita dalla dottrina, in base ai principi generali il lavoratore, in caso di mancata o carente formazione, potrebbe agire alternativamente recedendo dal contratto per giusta causa ovvero richiedendo l’adempimento in forma specifica del contratto, oltre al risarcimento del danno. (Cass. civ., sez. IV lav., 13 apr. 2002, n. 5363) In tale ipotesi, il recesso dell’apprendista non è un recesso libero ma si configura come risoluzione per inadempimento del datore, con tutti i diritti economici connessi.

Conclusione

L’apprendista che subisce la mancata erogazione della formazione dispone di un arsenale di rimedi tra loro coordinabili: la segnalazione ispettiva per attivare il provvedimento di disposizione e la sanzione contributiva a carico del datore, l’azione giudiziale per la conversione ex tunc del rapporto in ordinario contratto a tempo indeterminato (con recupero delle differenze retributive retroattive), il risarcimento del danno da perdita di chance professionale e, nei casi più gravi, il recesso per giusta causa. Il profilo probatorio è il nodo centrale: sul datore incombe l’onere di documentare l’avvenuta formazione, sicché la carenza di registrazioni, voucher formativi e attestazioni di frequenza si traduce — in giudizio — in un elemento fortemente favorevole all’apprendista.

Impugnazione del Recesso dal Contratto di Apprendistato: Regime e Tutele

La corretta impostazione del profilo processuale del recesso dall’apprendistato richiede di distinguere con nettezza due scenari che il legislatore ha assoggettato a discipline radicalmente diverse: il recesso durante il periodo formativo e il recesso al termine dello stesso.

1. La struttura bifasica del contratto e la sua rilevanza processuale

Il contratto di apprendistato è qualificato dalla legge come contratto di lavoro a tempo indeterminato finalizzato alla formazione e all’occupazione dei giovani. (art. 41 d.lgs. 81/2015) La giurisprudenza di legittimità ha precisato che esso presenta una struttura bifasica: nella prima fase, caratterizzata da causa mista (scambio lavoro-retribuzione più elemento formativo), si applicano le tutele ordinarie contro il licenziamento illegittimo; nella seconda fase, meramente eventuale e condizionata al mancato esercizio del recesso, il rapporto continua come ordinario lavoro subordinato a tempo indeterminato. “L’apprendistato, dunque, è uno dei pochi casi residui in cui al datore di lavoro è concesso un regime di libera recedibilità” (Trib. Bologna, 19 lug. 2024, n. 923).

Questa qualificazione — confermata dalla Cassazione (Cass. civ., sez. IV lav., 13 lug. 2017, n. 17373) — determina quale tutela sostanziale e quale schema processuale si applicano al recesso contestato.

2. Recesso durante la fase formativa: licenziamento soggetto a piena tutela

2.1. Disciplina sostanziale applicabile

Durante il periodo formativo, il recesso datoriale è a tutti gli effetti un licenziamento soggetto alla disciplina limitativa. L’art. 42, comma 3, d.lgs. 81/2015 dispone espressamente che durante l’apprendistato trovano applicazione le sanzioni previste dalla normativa vigente per il licenziamento illegittimo (art. 42 d.lgs. 81/2015), con la sola eccezione — limitata all’apprendistato per la qualifica e diploma — che il mancato raggiungimento degli obiettivi formativi, attestato dall’istituzione formativa, costituisce giustificato motivo di licenziamento.

Il recesso per ragioni disciplinari deve rispettare la procedura di cui all’art. 7 St. lav., che impone la previa contestazione scritta dell’addebito e l’audizione a difesa del lavoratore. (art. 7 L. 300/1970) La Cassazione ha chiarito che la “specialità” del contratto di apprendistato non deroga a tale garanzia: il recesso per giusta causa ha natura ontologicamente disciplinare e non sfugge quindi all’art. 7 St. lav. (Cass. civ., sez. IV lav., 3 feb. 2020, n. 2365). Per il licenziamento per giustificato motivo oggettivo, in presenza dei requisiti dimensionali previsti, il datore di lavoro è tenuto alla procedura di conciliazione preventiva davanti all’ITL. (art. 7 L. 604/1966)

2.2. Procedura e termini di impugnazione

Il recesso intimato durante la fase formativa va impugnato secondo il regime ordinario di cui all’art. 6, L. 604/1966 (art. 6 L. 604/1966), applicabile all’apprendistato per effetto delle sentenze additive della Corte Costituzionale (n. 14/1970 e n. 169/1973), richiamate dalla Cassazione (Cass. civ., sez. IV lav., 13 lug. 2017, n. 17373):

Primo termine — impugnazione stragiudiziale (60 giorni): il lavoratore deve impugnare il licenziamento a pena di decadenza entro 60 giorni dalla ricezione della comunicazione scritta, con qualsiasi atto scritto anche extragiudiziale, compreso l’intervento del sindacato. (art. 6 L. 604/1966) Per tutelare il lavoratore in condizione di incapacità di intendere o di volere, la Corte Costituzionale (sent. n. 111/2025) ha dichiarato incostituzionale la norma nella parte in cui non prevede che in tale ipotesi il licenziamento possa essere impugnato entro il complessivo termine di 240 giorni mediante deposito del ricorso o comunicazione della richiesta di conciliazione. (art. 6 L. 604/1966)

Secondo termine — deposito del ricorso (180 giorni): l’impugnazione stragiudiziale è inefficace se non è seguita, entro i successivi 180 giorni, dal deposito del ricorso in cancelleria ovvero dalla comunicazione della richiesta di conciliazione o arbitrato. (art. 6 L. 604/1966)

Rito: trattandosi di controversia di lavoro subordinato, si applica il rito del lavoro ai sensi dell’art. 409 c.p.c., con ricorso al Tribunale in funzione di giudice del lavoro del luogo in cui è sorto il rapporto o si trova l’azienda.

2.3. Tutele applicabili in caso di illegittimità

La tutela applicabile dipende dalla data di assunzione e dai requisiti dimensionali del datore:

Per i lavoratori assunti dopo il 7 marzo 2015, vale il regime del d.lgs. 23/2015 (cd. Jobs Act — tutele crescenti). La regola generale è la tutela indennitaria di cui all’art. 3, comma 1: indennità non assoggettata a contribuzione, da 2 a 12 mensilità (da 3 a 6 sotto soglia dimensionale, ex art. 9). La tutela reintegratoria piena (art. 2 d.lgs. 23/2015) è riservata ai licenziamenti discriminatori, nulli o intimati in forma orale. La tutela reintegratoria attenuata (art. 3, comma 2, come reinterpretato alla luce della Corte Cost. n. 128/2024) si applica quando sia direttamente dimostrata l’insussistenza del fatto materiale posto a base del licenziamento. ()

3. Recesso al termine del periodo formativo: libera recedibilità e suoi limiti

3.1. Il regime ordinario di libera recedibilità

Al termine del periodo di apprendistato, il datore di lavoro — e parimenti il lavoratore — possono recedere liberamente dal contratto ai sensi dell’art. 2118 c.c., con preavviso decorrente dalla scadenza del periodo formativo. (art. 2118 c.c.; art. 42 d.lgs. 81/2015) Durante il preavviso continua ad applicarsi la disciplina dell’apprendistato. Se nessuna delle parti recede, il rapporto si converte automaticamente in ordinario rapporto di lavoro subordinato a tempo indeterminato. Si tratta dunque di un recesso ad nutum, non soggetto all’obbligo di motivazione né alle tutele ordinarie contro il licenziamento. (Trib. Bologna, 19 lug. 2024, n. 923)

La tempestività del recesso datoriale è condizione essenziale: se la comunicazione perviene al lavoratore oltre la scadenza del periodo formativo (tenendo conto di eventuali sospensioni del rapporto), il recesso ad nutum è tardivo e il rapporto si è già consolidato come ordinario contratto a tempo indeterminato. (Trib. Messina, 14 gen. 2025, n. 65)

3.2. Il limite: inadempimento formativo del datore di lavoro

Il regime di libera recedibilità al termine del periodo formativo subisce un’eccezione di notevole rilievo pratico quando il datore di lavoro non abbia adempiuto agli obblighi formativi. In tal caso, la giurisprudenza di merito è consolidata nel ritenere che il recesso al termine del periodo sia qualificabile come licenziamento privo di giusta causa o giustificato motivo, con applicazione delle tutele ordinarie. Sia il Tribunale di Milano che la Corte d’Appello di Milano hanno applicato la tutela indennitaria ex art. 3, comma 1, d.lgs. 23/2015 in ipotesi di totale inadempimento formativo, equiparando il recesso al termine a un licenziamento illegittimo. (Trib. Milano, 20 mag. 2021, n. 911; Corte d’Appello Milano, 28 ott. 2021, n. 1137)

Il percorso argomentativo è il seguente: se il datore non ha erogato la formazione, il contratto di apprendistato è invalido o la sua causa formativa non si è realizzata; il rapporto si qualifica come ordinario rapporto di lavoro subordinato a tempo indeterminato sin dall’inizio, con la conseguenza che il recesso non può beneficiare della libera recedibilità riservata al corretto esercizio della facoltà di cui all’art. 42, comma 4, d.lgs. 81/2015.

4. La questione del recesso anticipato (prima della scadenza del termine formativo)

Il recesso datoriale intimato prima della scadenza del termine del periodo formativo non può mai avvalersi della facoltà di libera recedibilità, la quale decorre esclusivamente al termine del periodo. Un tale recesso è a tutti gli effetti un licenziamento soggetto alla disciplina limitativa, con obbligo di giusta causa o giustificato motivo e applicazione dell’art. 7 St. lav. per la componente disciplinare. (Trib. Taranto, 21 dic. 2021, n. 2368)

Conclusione

Il recesso dall’apprendistato si impugna con ricorso al giudice del lavoro secondo il rito di cui all’art. 409 c.p.c., previo rispetto dei termini decadenziali di 60 giorni per l’impugnazione stragiudiziale e 180 giorni per il deposito del ricorso. La tutela concretamente spettante varia in ragione del momento del recesso e dell’adempimento formativo del datore: durante la fase formativa si applicano le tutele ordinarie (indennitaria o reintegratoria secondo il d.lgs. 23/2015), mentre al termine si apre lo spazio della libera recedibilità, che però cede ogniqualvolta il datore non abbia adempiuto agli obblighi formativi. Il contenzioso in materia tende a imperniare la difesa del lavoratore sulla prova dell’inadempimento formativo, che trasforma un recesso ad nutum apparentemente legittimo in un licenziamento privo di giustificazione.

L’apprendistato: tipologie, obblighi formativi e conseguenze dell’inadempimento

Il contratto di apprendistato è qualificato dal legislatore come contratto di lavoro a tempo indeterminato finalizzato alla formazione e all’occupazione dei giovani, con causa mista in cui l’elemento professionalizzante è inscindibile dalla prestazione lavorativa (art. 41 D.Lgs. 81/2015). La centralità della funzione formativa determina, come si vedrà, un peculiare regime sanzionatorio in caso di inadempimento del datore.

Le tre tipologie di apprendistato

Il D.Lgs. 81/2015 articola il contratto in tre distinte tipologie, ciascuna con una propria finalità e un proprio ambito soggettivo (art. 41 D.Lgs. 81/2015).

Apprendistato per la qualifica e il diploma professionale (art. 43). Può essere attivato in tutti i settori, per i giovani dai 15 ai 25 anni, con durata massima di tre anni (quattro per i diplomi quadriennali). La formazione coniuga l’attività in azienda con i percorsi di istruzione e formazione professionale delle istituzioni formative regionali, secondo i livelli essenziali delle prestazioni. Il piano formativo individuale è predisposto dall’istituzione formativa con il coinvolgimento dell’impresa (art. 43 D.Lgs. 81/2015). La regolamentazione è rimessa alle regioni e, in assenza, al Ministero del lavoro con propri decreti (art. 43 D.Lgs. 81/2015).

Apprendistato professionalizzante (art. 44). È la tipologia più diffusa nella prassi: riguarda soggetti tra i 18 e i 29 anni (17 per chi è già in possesso di qualifica professionale; 23 per le società sportive professionistiche) in tutti i settori pubblici e privati, per il conseguimento di una qualificazione professionale ai fini contrattuali (art. 44 D.Lgs. 81/2015). La formazione, svolta sotto la responsabilità del datore di lavoro, è integrata dall’offerta formativa pubblica per un massimo di 120 ore nel triennio, disciplinata dalle regioni (art. 44 D.Lgs. 81/2015). La durata massima è di tre anni (cinque per i profili artigianali) (art. 44 D.Lgs. 81/2015).

Apprendistato di alta formazione e ricerca (art. 45). Destinato ai soggetti tra i 18 e i 29 anni in possesso di diploma superiore, consente il conseguimento di titoli universitari, dottorati di ricerca, diplomi degli ITS, nonché il praticantato per l’accesso alle professioni ordinistiche. (art. 45 D.Lgs. 81/2015) Il datore di lavoro sottoscrive un protocollo con l’istituzione formativa che stabilisce durata, modalità e crediti formativi riconoscibili. (art. 45 D.Lgs. 81/2015) La regolamentazione della durata e del percorso è rimessa alle regioni per i profili formativi, con deroghe in assenza di disciplina regionale. (art. 45 D.Lgs. 81/2015)

Gli obblighi formativi del datore di lavoro

Il piano formativo individuale

Il contratto di apprendistato deve essere stipulato in forma scritta e deve contenere, nel corpo dell’atto, il piano formativo individuale (PFI). (art. 42 D.Lgs. 81/2015) La Cassazione ha chiarito che il PFI non può essere rinviato a un documento esterno, perché “l’elemento professionalizzante qualifica la causa, con la conseguenza che la volontà negoziale del lavoratore deve formarsi sulla base della piena consapevolezza del percorso proposto e della sua idoneità per l’acquisizione della qualifica” (Cass. civ., sez. IV lav., n. 6990/2025); con la precisazione che, sotto il D.Lgs. 81/2015, la forma scritta è richiesta solo ad probationem (non più ad substantiam). (Cass. civ., sez. IV lav., n. 6990/2025)

Gli obblighi di dettaglio (art. 42, comma 5)

La contrattazione collettiva è chiamata a disciplinare il contratto nel rispetto di principi inderogabili, tra cui spiccano, ai fini formativi: il divieto di retribuzione a cottimo (art. 42 D.Lgs. 81/2015), la presenza obbligatoria di un tutore o referente aziendale (art. 42 D.Lgs. 81/2015), la registrazione della formazione nel libretto formativo del cittadino (art. 42 D.Lgs. 81/2015) e il finanziamento dei percorsi tramite i fondi paritetici interprofessionali. (art. 42 D.Lgs. 81/2015)

La formazione nell’apprendistato professionalizzante

Nell’apprendistato professionalizzante, che è la tipologia con il perimetro più ampio, la formazione è integralmente a carico del datore di lavoro, integrata (ove le regioni la organizzino) dall’offerta pubblica. Il datore ne è direttamente responsabile e ha l’obbligo di erogarla secondo i parametri fissati dalla contrattazione collettiva e trasfusi nel PFI. (art. 44 D.Lgs. 81/2015)

Le conseguenze del mancato rispetto degli obblighi formativi

Il sistema sanzionatorio pubblicistico (art. 47)

Il D.Lgs. 81/2015 prevede un doppio livello di sanzioni. Per le violazioni di natura formale — inadempimento degli obblighi di cui all’art. 42, comma 1 e delle previsioni collettive su inquadramento, tutore e piano — si applica una sanzione amministrativa pecuniaria da 100 a 600 euro (da 300 a 1.500 in caso di recidiva). (art. 47 D.Lgs. 81/2015)

Per il caso più grave di inadempimento nella erogazione della formazione a carico del datore, tale da impedire la realizzazione delle finalità tipiche del contratto, il datore è tenuto a versare la differenza tra la contribuzione versata e quella dovuta con riferimento al livello di inquadramento superiore che l’apprendista avrebbe raggiunto al termine, maggiorata del 100%, con esclusione di ulteriori sanzioni per omessa contribuzione. (art. 47 D.Lgs. 81/2015) Prima di irrogare questa misura, il personale ispettivo adotta un provvedimento di disposizione assegnando al datore un termine congruo per adempiere. (art. 47 D.Lgs. 81/2015)

La conversione del contratto: il diritto vivente

La giurisprudenza di legittimità ha elaborato una tesi che va oltre il sistema sanzionatorio pubblicistico. Secondo orientamento consolidato della Cassazione, il mancato adempimento degli obblighi formativi incide sulla causa del contratto: poiché la formazione qualifica la causa tipica dell’apprendistato, la sua assenza o grave carenza determina la nullità del contratto per mancanza di causa e la sua conversione, sin dall’origine, in rapporto di lavoro subordinato ordinario a tempo indeterminato. (Cass. civ., sez. IV lav., n. 6990/2025)

Questo principio vale sia in caso di totale assenza di formazione, sia quando la formazione impartita risulti carente o inadeguata rispetto agli obiettivi del PFI, purché l’inadempimento presenti obiettiva rilevanza e non scarsa importanza. (Cass. civ., sez. IV lav., n. 2991/2026) La conversione ha effetto ex tunc: al lavoratore va riconosciuto retroattivamente il trattamento economico e normativo del contratto a tempo indeterminato, con conseguente obbligo contributivo differenziale a carico del datore. (Cass. civ., sez. IV lav., n. 6990/2025)

Il criterio discretivo: violazioni formali vs. inadempimento sostanziale

La giurisprudenza distingue con nettezza. Le violazioni di ordine meramente formale — omessa nomina del tutore, assenza del PFI nel corpo dell’atto, mancata tenuta del libretto formativo — non comportano né decadenza dai benefici contributivi né conversione del rapporto, se non si sono tradotte in un inadempimento sostanziale della funzione formativa. (Trib. Monza, n. 174/2021)

La conversione è invece inevitabile quando la formazione si è risolta in un mero affiancamento del lavoratore alla persona più esperta — come ha riscontrato la Cassazione in una recente vicenda in cui la Corte di merito aveva evidenziato “un’apprezzabile divergenza tra la formazione impartita e le puntuali e più rigorose prescrizioni racchiuse nel progetto e nel contratto” — così integrando la grave inosservanza degli obblighi formativi interni. (Cass. civ., sez. IV lav., n. 2991/2026)

Conclusione

L’apprendistato è strutturato intorno a una causa mista in cui la formazione non è accessoria ma costitutiva del tipo contrattuale. Il sistema sanzionatorio del D.Lgs. 81/2015 prevede sanzioni amministrative per le violazioni formali e contributi maggiorati per l’inadempimento sostanziale, ma la giurisprudenza di legittimità — anche sotto il nuovo regime — aggiunge la conversione ex tunc in rapporto ordinario quale conseguenza diretta della nullità per difetto di causa, ogni volta che l’inadempimento formativo sia grave e oggettivamente rilevante. Il datore di lavoro è pertanto esposto a un rischio contributivo e retributivo retroattivo rilevante, che rende la cura del PFI e della sua concreta esecuzione un presidio imprescindibile di gestione del contratto.