[Diritto Penale del Lavoro]  [Elemento Soggettivo]  [Difesa del Lavoratore]

Non ogni accesso formalmente irregolare è penalmente rilevante. La Cassazione ha elaborato criteri precisi per individuare quando l’assenza di dolo o l’errore scusabile escludono la responsabilità penale del dipendente ma le condizioni sono stringenti.

1. Il dolo richiesto dall’art. 615-ter c.p.

Il reato di accesso abusivo richiede il dolo generico: la coscienza e la volontà di introdursi (o mantenersi) nel sistema informatico consapevolmente e in modo contrario alla volontà del titolare. Non è richiesto un dolo specifico orientato a un fine determinato. È questo il significato della clausola giurisprudenziale per cui ‘gli scopi e le finalità che soggettivamente hanno motivato l’ingresso al sistema’ sono irrilevanti ai fini della configurabilità del reato (Cass. pen., SS.UU., n. 4694/2011).

Tuttavia, ove manchi la consapevolezza dell’illiceità dell’accesso, per ragioni oggettivamente giustificabili, il reato non è configurabile. La Cassazione ha affermato che l’assenza di dolo può essere riconosciuta in presenza di specifici elementi concreti.

2. I quattro presupposti per l’errore scusabile

La giurisprudenza (Cass. pen., sez. V, n. 72/2020; Cass. pen., sez. V, n. 27900/2023) ha individuato quattro scenari in cui l’errore scusabile, con conseguente esclusione del dolo, può essere riconosciuto:

a) Autorizzazione espressa o tacita

Se il titolare del sistema ha espressamente autorizzato l’accesso, o ha tollerato in modo sistematico una prassi consolidata di utilizzo condiviso delle credenziali, il dipendente può aver maturato la convinzione, in buona fede, di essere legittimato. La tolleranza deve essere chiara, reiterata e tale da ingenerare un ragionevole affidamento.

b) Assenza di atti univoci di revoca

Se non vi sono stati atti univoci di revoca dell’autorizzazione (modifica della password, comunicazione formale della cessazione dell’incarico, disattivazione tecnica delle credenziali) il dipendente può ragionevolmente ritenere di essere ancora autorizzato. La mera scadenza formale di un incarico, senza comunicazione esplicita, non è automaticamente equiparabile a un atto di revoca.

c) Ambiguità organizzativa

In presenza di un’organizzazione aziendale ambigua, di istruzioni non chiare o contraddittorie circa l’uso delle credenziali, o di deleghe non formalmente revocate, può configurarsi un errore scusabile sull’illiceità della condotta. L’ambiguità deve però essere oggettiva e non autoindotta.

d) Buona fede soggettiva

La buona fede può essere riconosciuta quando l’agente abbia agito nella convinzione, fondata su elementi oggettivi verificabili, di essere legittimato all’accesso: ad esempio, per prassi aziendale consolidata, per delega non revocata, per mancata comunicazione della cessazione dell’incarico.

3. I limiti: la conoscenza della volontà contraria esclude ogni buona fede

La Corte ha tuttavia fissato un limite invalicabile: la buona fede non può essere invocata quando il dipendente era consapevole  (o avrebbe dovuto esserlo con ordinaria diligenza) della volontà contraria del titolare. Un caso illuminante riguarda l’accesso al ‘cassetto fiscale’ di una sorella (Cass. civ., sez. V trib., n. 15899/2021):

Anche qualora volesse parzialmente accedersi alla tesi difensiva, secondo cui la ricorrente si è introdotta nel cassetto fiscale della sorella in virtù della concessione in passato, da parte sua, delle password di ingresso, configurerebbe comunque reato accedervi abusivamente, in un tempo successivo, in contrasto con la volontà della vittima, ad esempio perché l’imputata ben sapeva di aver interrotto con costei i rapporti in seguito ad intense dispute personali.

Cass. civ., sez. V trib., n. 15899/2021

Nel contesto lavorativo, questo significa che il dipendente che abbia ricevuto comunicazione, anche informale, della cessazione del proprio accesso, o che si trovi in una situazione conflittuale con il datore di lavoro, non può invocare la buona fede per giustificare accessi successivi.

4. Prassi aziendale consolidata vs. tolleranza episodica

Nella difesa del dipendente accusato di accesso abusivo, la distinzione tra prassi aziendale consolidata e mera tolleranza episodica è fondamentale. Come si vedrà nel Post 5, solo la prassi consolidata (caratterizzata da reiterazione, generalizzazione e accettazione diffusa) può fondare una difesa credibile sul piano del dolo. La tolleranza occasionale, invece, non è sufficiente a escludere la responsabilità.

✦ NOTA PRATICA Per la strategia difensiva: in caso di contestazione penale per accesso abusivo, gli elementi da raccogliere con priorità sono: la documentazione delle policy aziendali vigenti al momento del fatto; le comunicazioni (anche informali) relative a variazioni di mansioni o autorizzazioni; la eventuale prassi di condivisione delle credenziali tollerata dai superiori; l’assenza di atti formali di revoca dell’accesso. La buona fede va provata con elementi concreti, non può essere meramente allegata.

Indennità spettanti all’agente licenziato senza giusta causa: profilo pratico e costruzione della domanda.

Quadro normativo e principi generali

Nel caso in cui un agente sia licenziato senza giusta causa, la legge italiana e la prassi giurisprudenziale riconoscono all’agente una serie di indennità e crediti patrimoniali, la cui spettanza e quantificazione dipendono sia dalla disciplina legale (articoli 1750 e 1751 del Codice civile) sia, in via integrativa o alternativa, dalla contrattazione collettiva di settore (Accordi Economici Collettivi, AEC). La costruzione della domanda giudiziale deve essere rigorosa, articolando in modo analitico le voci richieste, allegando e provando i presupposti di fatto e di diritto per ciascuna indennità, e documentando la quantificazione delle somme richieste.

Indennità spettanti: disciplina legale e collettiva

1. Indennità sostitutiva del preavviso

L’articolo 1750 del Codice civile prevede che, in caso di recesso dal contratto di agenzia a tempo indeterminato, la parte recedente debba rispettare un termine di preavviso, la cui durata è stabilita dalla legge o dagli accordi collettivi. Se il preavviso non viene concesso, l’agente ha diritto a un’indennità sostitutiva, calcolata in base alle provvigioni percepite nell’ultimo periodo di riferimento. La giurisprudenza ha costantemente affermato che, in caso di licenziamento senza giusta causa, l’agente ha diritto a tale indennità, la cui misura è determinata secondo i criteri previsti dal contratto individuale, dagli AEC o, in mancanza, dalla legge.

2. Indennità di cessazione del rapporto ex art. 1751 c.c.

L’articolo 1751 del Codice civile dispone che, all’atto della cessazione del rapporto, il preponente è tenuto a corrispondere all’agente un’indennità se ricorrono congiuntamente le seguenti condizioni: l’agente abbia procurato nuovi clienti al preponente o abbia sensibilmente sviluppato gli affari con i clienti esistenti e il preponente riceva ancora sostanziali vantaggi derivanti dagli affari con tali clienti; il pagamento di tale indennità sia equo, tenuto conto di tutte le circostanze del caso, in particolare delle provvigioni che l’agente perde e che risultano dagli affari con tali clienti. L’indennità non è dovuta se il contratto è risolto per grave inadempimento dell’agente, o se il recesso proviene dall’agente senza giusta causa.

La giurisprudenza richiede la prova rigorosa dei presupposti: l’agente deve allegare e dimostrare sia l’apporto di nuova clientela o lo sviluppo degli affari, sia la permanenza di vantaggi per il preponente dopo la cessazione del rapporto. L’importo massimo dell’indennità è pari alla media annua delle retribuzioni percepite negli ultimi cinque anni.

3. Indennità previste dagli Accordi Economici Collettivi (AEC)

Gli AEC di settore (commercio, industria, ecc.) prevedono, in aggiunta o in alternativa all’indennità ex art. 1751 c.c., tre principali emolumenti:

• Indennità di risoluzione del rapporto (FIRR): accantonata annualmente presso la Fondazione Enasarco, spetta all’agente alla cessazione del rapporto, anche in assenza di incremento della clientela o del fatturato. La sua liquidazione è automatica e non richiede la prova di specifici presupposti.
• Indennità suppletiva di clientela: corrisposta in aggiunta al FIRR se il contratto si scioglie ad iniziativa della casa mandante per fatto non imputabile all’agente, o in caso di dimissioni per cause oggettive (malattia, vecchiaia, invalidità). È calcolata in percentuale sulle provvigioni maturate durante il rapporto e non richiede la prova dell’incremento della clientela.
• Indennità meritocratica: spetta solo se la somma di FIRR e indennità suppletiva non raggiunge il massimale di legge e se l’agente dimostra di aver procurato nuovi clienti o sviluppato gli affari, con permanenza di vantaggi per il preponente. La sua quantificazione avviene per differenza rispetto al massimale di cui all’art. 1751 c.c.

La contrattazione collettiva può prevedere condizioni di maggior favore rispetto alla disciplina legale, ma non può derogare in peius.

4. Provvigioni maturate e non pagate

L’agente ha diritto a tutte le provvigioni maturate fino alla cessazione del rapporto, comprese quelle relative ad affari conclusi prima della cessazione ma eseguiti successivamente, secondo quanto previsto dall’art. 1748 c.c. e dagli AEC.

5. Eventuali ulteriori crediti

A seconda delle circostanze, l’agente può chiedere anche il risarcimento del danno ulteriore, se dimostra che la cessazione del rapporto gli ha causato un pregiudizio non compensato dalle indennità di legge.

Come si costruisce la domanda:

a) Allegazione dei fatti e dei presupposti

La domanda deve essere costruita in modo analitico, allegando:

• la natura e la durata del rapporto di agenzia (contratto, eventuali rinnovi, AEC applicabile)
• la modalità e la data di cessazione del rapporto (lettera di licenziamento, motivazione, assenza di giusta causa)
• la quantificazione delle provvigioni percepite negli ultimi anni
• l’elenco dei clienti procurati o degli affari sviluppati, con documentazione a supporto (elenco clienti, fatturato, premi di produzione, riconoscimenti)
• la permanenza di vantaggi per il preponente dopo la cessazione (ad esempio, prosecuzione dei rapporti con i clienti acquisiti dall’agente)
• la mancata corresponsione delle indennità e delle provvigioni maturate

b) Domanda giudiziale: struttura e contenuto

La domanda deve essere articolata per voci, indicando per ciascuna:

• la base normativa (art. 1750, 1751 c.c.; AEC applicabile)
• la quantificazione (con allegazione di conteggi, estratti conto provvigionali, documentazione Enasarco)
• la richiesta di condanna al pagamento delle somme dovute, oltre interessi e rivalutazione monetaria dalla data di maturazione di ciascun credito fino al saldo
• la richiesta di condanna alle spese di lite

Esempio di conclusioni:

“Accertare e dichiarare il diritto dell’agente a percepire:

• l’indennità sostitutiva del preavviso, ai sensi dell’art. 1750 c.c. e/o dell’AEC applicabile, per l’importo di € X;
• l’indennità di cessazione del rapporto ex art. 1751 c.c., per l’importo di € Y, ovvero, in subordine, le indennità previste dall’AEC (FIRR, indennità suppletiva di clientela, indennità meritocratica), per l’importo di € Z;
• le provvigioni maturate e non pagate, per l’importo di € W;
• la condanna della preponente al pagamento delle suddette somme, oltre interessi e rivalutazione monetaria dalla data di maturazione di ciascun credito fino al saldo;
• la condanna alle spese di lite.”

c) Onere della prova

L’agente deve allegare e provare i fatti costitutivi del diritto a ciascuna indennità. In particolare, per l’indennità ex art. 1751 c.c. e per l’indennità meritocratica, è necessario dimostrare l’apporto di nuova clientela o lo sviluppo degli affari e la permanenza di vantaggi per il preponente. Per il FIRR e l’indennità suppletiva, è sufficiente la cessazione del rapporto per fatto non imputabile all’agente.

d) Scelta tra disciplina legale e collettiva La domanda deve essere costruita in modo da richiedere, in via principale, l’indennità più favorevole tra quella legale e quella collettiva, chiedendo al giudice di applicare la disciplina che assicura il trattamento più vantaggioso.

In breve:

In caso di licenziamento senza giusta causa, l’agente può chiedere l’indennità sostitutiva del preavviso, l’indennità di cessazione del rapporto ex art. 1751 c.c. (se ne ricorrono i presupposti), le indennità previste dagli AEC (FIRR, suppletiva di clientela, meritocratica), le provvigioni maturate e, se del caso, il risarcimento del danno ulteriore. La domanda deve essere costruita in modo analitico, allegando e provando i presupposti di fatto e di diritto per ciascuna voce, documentando la quantificazione e chiedendo l’applicazione della disciplina più favorevole. Il rispetto di tali criteri è essenziale per il riconoscimento delle indennità in sede giudiziale.

[Cessazione del Rapporto]  [Accesso Abusivo]  [Responsabilità Datoriale]

Il rapporto di lavoro è cessato, ma le credenziali sono ancora attive. È un errore operativo frequente e le sue conseguenze giuridiche ricadono, a cascata, sull’ex dipendente, sul datore di lavoro e su chiunque abbia avuto accesso a dati protetti.

1. La cessazione del rapporto come perdita automatica del titolo legittimante

La giurisprudenza è categorica: la legittimazione all’accesso ai sistemi informatici aziendali è strettamente e inscindibilmente collegata alla sussistenza del rapporto di lavoro. La cessazione del rapporto per qualunque causa (dimissioni, licenziamento, scadenza del termine, pensionamento, risoluzione consensuale) comporta automaticamente e immediatamente la perdita del titolo legittimante, a prescindere dalla materiale disattivazione delle credenziali da parte del datore di lavoro.

Questo principio, affermato con chiarezza dalla Cassazione penale (sez. V, n. 18284/2019), ha una conseguenza di estrema importanza pratica: la mancata revoca tecnica delle credenziali non ‘sana’ in alcun modo la condotta dell’ex dipendente che vi accede. Non è una lacuna normativa che l’ex dipendente possa sfruttare a suo vantaggio.

2. Il caso paradigmatico: accesso alla casella e-mail aziendale

La sentenza Cass. pen., sez. V, n. 18284/2019 ha affrontato un caso divenuto emblematico nella prassi: un soggetto, dopo la cessazione del rapporto di lavoro, aveva continuato ad accedere alla casella di posta elettronica aziendale, modificando le credenziali e rendendola inaccessibile al legittimo titolare. La Corte ha affermato:

Integra il delitto previsto dall’art. 615-ter cod. pen. colui che, pur essendo abilitato, acceda o si mantenga in un sistema informatico o telematico protetto violando le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso, rimanendo invece irrilevanti, ai fini della sussistenza del reato, gli scopi e le finalità che abbiano soggettivamente motivato l’ingresso nel sistema.

Cass. pen., sez. V, n. 18284/2019

La Corte ha inoltre esteso al settore privato i principi elaborati per il pubblico funzionario, valorizzando i doveri di fedeltà e lealtà che connotano anche il rapporto di lavoro privatistico.

3. Il concorso di reati: dall’accesso abusivo agli ulteriori illeciti

L’ex dipendente che accede ai sistemi con le vecchie credenziali non commette solo il reato di accesso abusivo. A seconda del contenuto dell’accesso e delle operazioni compiute, possono configurarsi in concorso:

• Danneggiamento di dati informatici (artt. 635-bis e ss. c.p.), se l’accesso comporta cancellazione, alterazione o distruzione di dati;
• Violazione di segreti aziendali (art. 623 c.p.), se vengono sottratte informazioni riservate con conseguente danno per il datore di lavoro;
• Trattamento illecito di dati personali (art. 167 D.Lgs. 196/2003), se l’accesso comporta l’acquisizione di dati personali di terzi (clienti, colleghi, fornitori);
• Illeciti civilistici per violazione del patto di non concorrenza o degli obblighi contrattuali di riservatezza.

4. La responsabilità, spesso sottovalutata, del datore di lavoro

La mancata disattivazione tempestiva delle credenziali non è solo una negligenza operativa: è una violazione normativa con conseguenze giuridiche dirette in capo al datore di lavoro, su tre piani distinti.

Piano amministrativo-privacy

L’inosservanza delle misure minime di sicurezza previste dall’art. 25 del DPR 15/2018, che impone la disattivazione delle credenziali in caso di perdita della qualità che consente l’accesso ai dati, espone il datore di lavoro a sanzioni da parte del Garante per la protezione dei dati personali.

Piano civile

Qualora l’accesso abusivo dell’ex dipendente abbia causato danni a terzi (clienti, fornitori, dipendenti), il datore di lavoro può essere chiamato a rispondere in sede civile per responsabilità aquiliana, ove si dimostri che la mancata revoca tempestiva delle credenziali costituiva la causa (concorrente) del danno. Il Tribunale di Catanzaro (n. 847/2023) ha applicato questi principi ritenendo integrata la responsabilità del titolare del trattamento per mancata adozione di misure di sicurezza idonee.

Piano penale

Nei casi più gravi, la tolleranza sistematica di prassi non conformi o la mancata disattivazione delle credenziali può esporre il datore di lavoro a responsabilità penale in concorso, anche sotto il profilo della colpa, se l’omissione ha agevolato la commissione del reato da parte dell’ex dipendente.

5. La tempistica: quanto tempo è ‘troppo’?

La normativa non fissa un termine espresso in ore o giorni, ma impone la ‘tempestività immediata’ della revoca. La prassi consolidata, in linea con le indicazioni del Garante e con le best practice internazionali, richiede che la disattivazione avvenga contestualmente o comunque entro poche ore dalla cessazione del rapporto. Il superamento reiterato di tale standard integra, come si vedrà nel Post 7, una ‘negligenza sistemica’ distinta dall’errore umano occasionale.

✦ NOTA PRATICA Checklist per l’offboarding informatico: (1) disattivazione immediata delle credenziali di rete e VPN; (2) revoca degli accessi alle applicazioni gestionali; (3) cambio delle credenziali condivise eventualmente note all’ex dipendente; (4) disattivazione della casella e-mail o impostazione di risposta automatica con reindirizzamento; (5) revoca delle autorizzazioni su sistemi cloud; (6) documentazione scritta di ogni passaggio, con data e orario.

[Diritto Penale del Lavoro]  [Cybercrime]  [Art. 615-ter c.p.]

L’accesso abusivo a un sistema informatico è uno dei reati più frequentemente contestati nei rapporti di lavoro. Eppure il suo perimetro applicativo è spesso frainteso anche da chi gestisce risorse umane e sistemi IT.

1. Il testo della norma e la sua ratio

L’articolo 615-ter del Codice penale punisce chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza, ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo. La pena base è la reclusione fino a tre anni, con aggravanti che possono portare fino a cinque anni se il fatto è commesso da un pubblico ufficiale, da un incaricato di pubblico servizio con abuso dei poteri, con violenza sulle persone o con minaccia, o se il danno al sistema o ai dati è grave.

La norma tutela il c.d. ‘domicilio informatico’: così come nessuno può introdursi fisicamente nell’abitazione altrui senza consenso, nessuno può fare ingresso nei sistemi altrui senza titolo legittimante e soprattutto senza rispettare i confini entro cui tale titolo è stato concesso.

2. Quando l’accesso è ‘abusivo’? La nozione chiave

La giurisprudenza delle Sezioni Unite ha progressivamente elaborato una definizione ampia di ‘abusività’, che prescinde dalla presenza fisica o dalla rottura di barriere tecniche. La sentenza cardine è Cass. pen., SS.UU., n. 4694/2011:

Integra la fattispecie criminosa di accesso abusivo ad un sistema informatico o telematico protetto, prevista dall’art. 615-ter cod. pen., la condotta di accesso o di mantenimento nel sistema posta in essere da soggetto che, pure essendo abilitato, violi le condizioni ed i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema per delimitarne oggettivamente l’accesso. Non hanno rilievo, invece, per la configurazione del reato, gli scopi e le finalità che soggettivamente hanno motivato l’ingresso al sistema.

Cass. pen., SS.UU., n. 4694/2011

Il principio è dunque bidirezionale: il reato si consuma sia quando il soggetto non è abilitato, sia quando, pur essendo formalmente autorizzato, utilizza le credenziali per scopi o con modalità ontologicamente diverse da quelle per cui l’accesso è stato consentito.

3. Il requisito delle ‘misure di sicurezza’

La norma si applica ai sistemi ‘protetti da misure di sicurezza’. La giurisprudenza ha interpretato questo requisito in modo non restrittivo: non è necessario che le misure siano sofisticate o inviolabili. È sufficiente che vi siano credenziali di accesso, password, PIN, sistemi di autenticazione (anche elementari) che segnalino al potenziale accedente che il sistema è riservato. La protezione non deve essere assoluta: deve solo rendere riconoscibile che l’accesso è condizionato al possesso di un titolo legittimante.

4. Il ‘mantenersi’ nel sistema: condotta autonoma

La norma punisce non solo chi si introduce abusivamente, ma anche chi si mantiene nel sistema contro la volontà del titolare. Questo significa che anche chi accede legittimamente con le proprie credenziali e per scopi autorizzati può commettere il reato se, successivamente, si trattiene nel sistema o vi compie operazioni che fuoriescono dall’ambito del suo mandato. La condotta di ‘mantenimento’ ha rilevanza autonoma: si consuma nel momento in cui l’agente, consapevole del sopravvenuto difetto di titolo, continua a permanere nel sistema.

5. Profili di interesse lavoristico

Nel contesto del rapporto di lavoro, l’art. 615-ter è rilevante sotto almeno tre profili distinti, che saranno approfonditi nei post successivi:

• il dipendente che accede con le credenziali di un collega, anche con il suo consenso;
• l’ex dipendente che, dopo la cessazione del rapporto, continua a utilizzare le credenziali aziendali non disattivate;
• il dipendente che, pur dotato di accesso regolare, compie operazioni ontologicamente estranee alle sue mansioni.

La condanna per accesso abusivo, ove accertata prima della cessazione del rapporto, costituisce di norma giusta causa di licenziamento, ai sensi dell’art. 2119 c.c. La Cassazione civile (sez. lav., n. 7272/2024) ha confermato che accessi non autorizzati a banche dati aziendali integrano condotte di gravità tale da legittimare il recesso datoriale in tronco, stante l’irrimediabile lesione del vincolo fiduciario.

✦ NOTA PRATICA Per il datore di lavoro: la predisposizione di regolamenti interni chiari sulle modalità di utilizzo dei sistemi informatici, la formazione degli addetti e la corretta gestione delle credenziali non sono semplici buone prassi — costituiscono presupposti normativi la cui assenza può avere riflessi sia sulla configurabilità del reato in capo al dipendente (es. errore scusabile), sia sulla responsabilità civile e amministrativa dell’azienda.

Uno dei temi più delicati del diritto del lavoro contemporaneo riguarda il bilanciamento tra il diritto del lavoratore di accedere alle informazioni che lo riguardano (anche per finalità difensive) e la tutela dei segreti commerciali dell’azienda custoditi nei sistemi di monitoraggio. Né l’uno né l’altro diritto è assoluto: la soluzione va trovata caso per caso.

Il quadro normativo

Il diritto del lavoratore di accedere alle informazioni che lo riguardano trova fondamento nei principi generali del diritto del lavoro e nella normativa sulla protezione dei dati personali. Il datore di lavoro, tuttavia, può opporre la tutela dei segreti commerciali: l’art. 98 del Codice della Proprietà Industriale protegge le informazioni aziendali segrete, aventi valore economico e protette da misure adeguate.

L’art. 6 del D.Lgs. n. 63/2018 prevede che nei procedimenti relativi all’acquisizione, utilizzazione o rivelazione illecite dei segreti commerciali, il giudice debba valutare la proporzionalità delle misure richieste, tenendo conto dei legittimi interessi delle parti, dei terzi e delle esigenze di tutela dei diritti fondamentali.

Il bilanciamento concreto

Il bilanciamento si realizza attraverso una valutazione caso per caso che tenga conto di: necessità e proporzionalità dell’accesso alle informazioni richieste dal lavoratore per l’esercizio del proprio diritto di difesa; natura delle informazioni contenute nei sistemi di monitoraggio (se costituiscono segreti commerciali, il datore di lavoro può opporsi all’accesso integrale, ma può essere obbligato a fornire informazioni anonimizzate o aggregate); modalità con cui il lavoratore ha acceduto o intende accedere alle informazioni.

Il limite del diritto di difesa: la copia massiva

La giurisprudenza ha precisato con nettezza che il diritto di difesa non giustifica la copia massiva e indiscriminata di dati aziendali. La Corte d’Appello di Roma (n. 1923/2023) ha affermato che il diritto di difesa può avere valenza scriminante solo nel rispetto dei doveri di correttezza, pertinenza e non eccedenza previsti dagli artt. 4 e 11 del D.Lgs. n. 196/2003, e ha sottolineato che la gravità della condotta posta in essere non aveva bisogno di una disciplina regolamentare, trovando il proprio limite direttamente nella legge penale e nella legislazione che tutela la riservatezza della documentazione privata.

Accesso ai log del sistema di monitoraggio: le regole

Il datore di lavoro, in presenza di sistemi di monitoraggio conformi alla legge, è tenuto a fornire ai lavoratori accesso ai dati che li riguardano, in conformità agli artt. 15 e 22 GDPR e ai principi generali del diritto del lavoro. Tuttavia, tale accesso può essere limitato o modulato qualora le informazioni richieste contengano dati relativi a terzi o segreti commerciali. Il giudice potrà essere chiamato a valutare la proporzionalità dell’accesso richiesto e delle limitazioni opposte, tenendo conto delle circostanze concrete del caso.

Il monitoraggio illegittimo e l’inutilizzabilità dei dati

Il sistema si chiude con un principio chiave: i dati raccolti tramite sistemi di monitoraggio illegittimi — ovvero in assenza di informativa adeguata, senza accordo sindacale o in violazione dei principi di proporzionalità — non possono essere utilizzati né dal datore di lavoro in sede disciplinare (Cass. n. 18168/2023; Corte d’Appello Roma n. 4371/2023), né in sede giudiziaria. L’art. 160-bis del Codice Privacy stabilisce che la validità, l’efficacia e l’utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti basati sul trattamento di dati personali non conforme a disposizioni di legge restano disciplinate dalle pertinenti disposizioni processuali. La conformità alle prescrizioni normative e alle indicazioni del Garante per la protezione dei dati personali rappresenta dunque il presupposto imprescindibile per la legittimità dei controlli e la tutela sia degli interessi aziendali sia dei diritti dei lavoratori.

Rimedi e azioni del professionista con partita IVA in caso di omesso versamento dei contributi da parte della società committente in rapporto di collaborazione coordinata e continuativa

Inquadramento normativo e fattuale

Nel caso prospettato, un professionista titolare di partita IVA ha svolto per tre anni attività in favore di una società sulla base di un contratto di collaborazione coordinata e continuativa (co.co.co.). La società committente non ha provveduto al versamento dei contributi previdenziali dovuti alla Gestione separata INPS, come previsto dall’articolo 2, comma 26, della legge 8 agosto 1995, n. 335. Si chiede quali siano i rimedi pratici e le azioni che il professionista può esperire per tutelare la propria posizione previdenziale.

Obbligo contributivo nei rapporti di co.co.co. con partita IVA

La legge dispone che i titolari di rapporti di collaborazione coordinata e continuativa, anche se svolti da professionisti con partita IVA, sono tenuti all’iscrizione presso la Gestione separata INPS, a meno che non siano iscritti ad altre forme obbligatorie di previdenza (Articolo 35 del Decreto legislativo 28 febbraio 2021, n. 36). L’obbligo di versamento dei contributi grava, per due terzi, sul committente e, per un terzo, sul collaboratore, ma la legge prevede che il committente sia responsabile dell’intero versamento, con diritto di rivalsa sulla quota a carico del collaboratore (Articolo 52 del Decreto legislativo 15 giugno 2015, n. 81).

Secondo la giurisprudenza, il rapporto previdenziale nei confronti della Gestione separata si instaura in presenza di attività svolta in modo abituale o, in alternativa, quando il reddito annuo derivante dalla collaborazione superi la soglia di 5.000 euro (Cass. civ., sez. IV lav., sentenza 30/04/2024, n. 11535). L’obbligo contributivo sussiste anche per i professionisti iscritti ad albi, se l’attività non è già coperta da altra forma di previdenza obbligatoria e ricorrono i presupposti di abitualità o superamento della soglia reddituale.

Conseguenze dell’omesso versamento contributivo

Nel caso in cui il committente non abbia provveduto al versamento dei contributi, la legge non prevede, per i collaboratori iscritti alla Gestione separata, il principio di automaticità delle prestazioni previdenziali di cui all’articolo 2116, comma 1, c.c. (Articolo 2116 del Codice civile). La Corte di Cassazione ha chiarito che, per i lavoratori autonomi e i collaboratori co.co.co. iscritti alla Gestione separata, il mancato versamento dei contributi da parte del committente impedisce la costituzione della posizione assicurativa e la maturazione del diritto alle prestazioni previdenziali (Cass. civ., sez. IV lav., sentenza 30/04/2021, n. 11430). Il committente è considerato mero delegato legale al pagamento della contribuzione, ma il collaboratore resta personalmente obbligato per la propria quota.

Azioni pratiche a disposizione del professionista

1. Dichiarazione di assunzione del debito contributivo e versamento diretto

Il collaboratore può dichiarare all’INPS di voler assumere in proprio il debito relativo alla parte di contributo accollata al committente, ai sensi dell’articolo 1236 c.c., rinunciando all’effetto liberatorio dell’accollo ex lege e provvedendo direttamente al versamento dei contributi dovuti (Cass. civ., sez. IV lav., sentenza 30/04/2021, n. 11430). Questa facoltà deve essere esercitata entro il termine di prescrizione dei contributi (cinque anni, salvo denuncia tempestiva che consente il termine decennale). Il collaboratore, dopo aver versato la quota a carico del committente, potrà agire in rivalsa nei confronti di quest’ultimo per il recupero delle somme anticipate.

2. Azione giudiziale per il risarcimento del danno ex art. 2116, comma 2, c.c.

Se il committente non versa i contributi e il collaboratore non può o non vuole assumere il debito, questi può agire in giudizio contro il committente per ottenere il risarcimento del danno subito, ai sensi dell’articolo 2116, comma 2, c.c. (Articolo 2116 del Codice civile). Il danno risarcibile consiste nella perdita totale o parziale della prestazione previdenziale che il collaboratore avrebbe maturato se i contributi fossero stati regolarmente versati. La giurisprudenza riconosce la possibilità di agire per l’accertamento dell’omissione contributiva e per la condanna generica al risarcimento del danno anche prima della maturazione del diritto alla prestazione previdenziale, salva la liquidazione del danno in un successivo giudizio, al momento del pensionamento.

3. Azione per la costituzione della rendita vitalizia ex art. 13 L. 12 agosto 1962, n. 1338

In alternativa o in aggiunta all’azione risarcitoria, il collaboratore può agire per ottenere la costituzione di una rendita vitalizia presso l’INPS, ai sensi dell’articolo 13 della legge 12 agosto 1962, n. 1338. Questa azione consente di ottenere, a carico del committente, il versamento della riserva matematica necessaria a costituire la posizione assicurativa corrispondente ai contributi omessi (Cass. civ., sez. IV lav., sentenza 30/04/2021, n. 11430). Le due azioni (risarcitoria e per la costituzione della rendita) sono autonome e possono essere esercitate separatamente.

4. Azione per l’accredito dei contributi già versati ma non registrati

Se il problema non è l’omissione del versamento, ma la mancata registrazione dei contributi da parte dell’INPS, il collaboratore può agire per ottenere l’accredito integrale delle somme già versate, producendo la documentazione attestante i pagamenti (modelli CU, F24, certificazioni del committente).

5. Azione amministrativa e segnalazione all’INPS

Il collaboratore può segnalare l’omissione contributiva all’INPS, che può avviare un accertamento nei confronti del committente e richiedere il pagamento dei contributi dovuti, applicando le sanzioni previste dalla legge (Articolo 39 della Legge 4 novembre 2010, n. 183; Articolo 30 del Decreto-legge 2 marzo 2024, n. 19). Tuttavia, la prescrizione quinquennale decorre dalla scadenza del termine per il versamento, salvo denuncia tempestiva.

Limiti e peculiarità per i professionisti con partita IVA

Per i professionisti con partita IVA, la giurisprudenza di legittimità ha chiarito che l’obbligo di iscrizione e di contribuzione alla Gestione separata sussiste in presenza di attività abituale o, in ogni caso, se il reddito annuo supera i 5.000 euro (Cass. civ., sez. IV lav., sentenza 30/04/2024, n. 11535). La mera iscrizione all’albo o il possesso della partita IVA non sono sufficienti a fondare l’obbligo contributivo, che deve essere provato in giudizio. In caso di contestazione, l’onere della prova dell’abitualità o del superamento della soglia reddituale grava sull’INPS o sul committente.

Conclusione

Il professionista con partita IVA che abbia svolto attività in regime di collaborazione coordinata e continuativa per una società e si trovi di fronte all’omesso versamento dei contributi da parte del committente dispone di diversi rimedi pratici. Può assumere in proprio il debito contributivo e provvedere direttamente al versamento, agire in giudizio per il risarcimento del danno pensionistico o per la costituzione della rendita vitalizia, oppure segnalare l’omissione all’INPS per l’avvio di un accertamento. La scelta tra le diverse azioni dipende dalla situazione concreta (prescrizione, documentazione disponibile, interesse attuale) e dalla strategia difensiva più opportuna. In ogni caso, la tutela della posizione previdenziale richiede tempestività e la raccolta di tutta la documentazione utile a dimostrare l’attività svolta, i compensi percepiti e l’omissione contributiva del committente.

In sintesi, il professionista deve valutare la soluzione più efficace in base alla tempestività, alla documentazione e all’interesse concreto, potendo agire sia in via amministrativa che giudiziale per la tutela della propria posizione previdenziale.

Le pubbliche amministrazioni sono soggette a obblighi stringenti in materia di sicurezza informatica, che assumono rilievo ancora maggiore in presenza di utilizzo di dispositivi elettronici personali da parte dei dipendenti. Il quadro normativo si articola su più livelli e prevede responsabilità precise per i dirigenti che non adempiono.

La normativa di riferimento

Il Codice dell’amministrazione digitale (art. 12) prevede che le pubbliche amministrazioni adottino ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali. In caso di uso di dispositivi elettronici personali, l’amministrazione deve adottare ogni misura atta a garantire la sicurezza e la protezione delle informazioni e dei dati (art. 12, comma 3-bis). Il D.Lgs. n. 138/2024 (art. 24) impone ai soggetti essenziali e importanti l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi.

Le misure obbligatorie

• Adozione di misure tecniche e organizzative adeguate, tenendo conto delle migliori pratiche e degli standard nazionali, europei e internazionali
• Informazione e formazione dei lavoratori sull’uso sicuro dei dispositivi, anche attraverso la diffusione di apposite linee guida
• Limitazione e controllo degli accessi, con sistemi di autenticazione forte e meccanismi di autorizzazione basati sul ruolo
• Tracciamento e audit delle operazioni, con conservazione dei file di log per un periodo adeguato
• Custodia e controllo dei documenti informatici con modalità che riducano al minimo i rischi di distruzione, perdita o accesso non autorizzato
• Piani di emergenza e continuità operativa, predisposti nel rispetto delle linee guida AgID
• Diversificazione e aggiornamento tempestivo dei prodotti di sicurezza informatica in presenza di rischi specifici

La responsabilità per mancata formazione

La Corte dei Conti ha chiarito in più occasioni che la mancata dimostrazione, da parte dell’amministrazione, di aver fornito un’adeguata informazione e formazione ai dipendenti sull’uso sicuro dei dispositivi elettronici personali comporta rilevanti implicazioni in termini di responsabilità. L’amministrazione non può imputare al dipendente la colpa grave per i danni derivanti da un uso improprio dei dispositivi in assenza di tale adempimento, e può essere chiamata a rispondere in proprio per i danni subiti dall’ente o da terzi (Corte dei Conti, Sez. II Centrale di Appello, n. 398/2023; Corte dei Conti Emilia Romagna n. 95/2022).

La mancata informazione e formazione incide negativamente sulla valutazione della performance dei dirigenti responsabili (art. 12 CAD; art. 31 D.L. n. 76/2020) e può esporre l’ente a sanzioni da parte degli organi di controllo. Per converso, la tolleranza amministrativa e la carenza di sistemi di sicurezza informatica adeguati attenuano la responsabilità del dipendente: il caso del medico che aveva infettato il sistema informatico aziendale accedendo alla propria posta personale è stato risolto in appello a favore del dipendente proprio perché l’amministrazione aveva implicitamente tollerato l’uso occasionale (Corte dei Conti n. 398/2023).

Inquadramento normativo

La questione della riqualificazione di un rapporto di consulenza svolto da un soggetto titolare di partita IVA in rapporto di lavoro subordinato è disciplinata, in via generale, dagli articoli 2094 e 2222 del Codice civile, che definiscono rispettivamente il lavoro subordinato e il lavoro autonomo. L’articolo 2094 del Codice civile dispone che “è prestatore di lavoro subordinato chi si obbliga mediante retribuzione a collaborare nell’impresa, prestando il proprio lavoro intellettuale o manuale alle dipendenze e sotto la direzione dell’imprenditore”. L’articolo 2222 del Codice civile stabilisce invece che “quando una persona si obbliga a compiere verso un corrispettivo un’opera o un servizio, con lavoro prevalentemente proprio e senza vincolo di subordinazione nei confronti del committente, si applicano le norme di questo capo”.

La distinzione tra lavoro subordinato e lavoro autonomo è quindi fondata, in via principale, sull’esistenza o meno del vincolo di subordinazione, inteso come assoggettamento del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro. In assenza di tale vincolo, la prestazione si qualifica come autonoma.

Criteri giurisprudenziali per la riqualificazione

La giurisprudenza di legittimità ha costantemente affermato che, ai fini della qualificazione del rapporto di lavoro come autonomo o subordinato, occorre guardare alle concrete modalità di svolgimento della prestazione, a prescindere dal nomen iuris utilizzato dalle parti nel contratto. In particolare, la Corte di Cassazione ha ribadito che il requisito fondamentale della subordinazione è il vincolo di soggezione del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro, che si manifesta nell’emanazione di ordini specifici e nell’esercizio di un’attività di vigilanza e controllo sull’esecuzione delle prestazioni lavorative.

Tuttavia, quando l’elemento dell’assoggettamento alle direttive altrui non sia agevolmente apprezzabile a causa della peculiarità delle mansioni (in particolare per attività intellettuali o professionali), la giurisprudenza ammette il ricorso a criteri complementari e sussidiari, quali la continuità delle prestazioni, l’osservanza di un orario determinato, il versamento a cadenze fisse di una retribuzione prestabilita, il coordinamento dell’attività lavorativa all’assetto organizzativo dato dal datore di lavoro, l’assenza in capo al lavoratore di una sia pur minima struttura imprenditoriale, l’utilizzo di mezzi e attrezzature aziendali, l’inserimento stabile nell’organizzazione aziendale.

Questi elementi, seppur privi ciascuno di valore decisivo, possono essere valutati globalmente come indizi probatori della subordinazione. La valutazione di tali elementi è rimessa al giudice di merito, il cui accertamento è insindacabile in sede di legittimità se sorretto da motivazione adeguata e immune da vizi logici e giuridici.

Onere della prova

L’onere della prova della subordinazione grava su chi agisce per la riqualificazione del rapporto, ossia sul consulente che intende ottenere il riconoscimento della natura subordinata della propria prestazione. Secondo la giurisprudenza, il consulente deve provare l’essenza della subordinazione attraverso gli indici sintomatici che la rendono ostensibile nel mondo fenomenico: non è necessario provare la prestazione a tempo indeterminato, ma occorre dimostrare la presenza di elementi che, valutati complessivamente, consentano di ricondurre il rapporto allo schema tipico del lavoro subordinato.

Una volta provata la subordinazione, è onere del datore di lavoro provare i requisiti formali richiesti dalla legge per le tipologie contrattuali diverse dal rapporto di lavoro subordinato a tempo indeterminato.

Elementi sintomatici della subordinazione

La giurisprudenza individua una serie di elementi che, se presenti, possono costituire indizi della natura subordinata del rapporto, tra cui:

• L’assoggettamento del lavoratore al potere direttivo, organizzativo e disciplinare del datore di lavoro, che si manifesta nell’emanazione di ordini specifici e nell’esercizio di un’attività di vigilanza e controllo sull’esecuzione delle prestazioni lavorative.
• L’inserimento stabile del lavoratore nell’organizzazione aziendale, con svolgimento di mansioni essenziali per il ciclo produttivo dell’impresa.
• L’osservanza di un orario di lavoro predeterminato e la presenza continuativa presso la sede aziendale.
• Il versamento di una retribuzione fissa e periodica, senza rischio economico per il lavoratore.
• L’utilizzo di mezzi e attrezzature messi a disposizione dall’azienda.
• L’assenza di una struttura imprenditoriale autonoma in capo al lavoratore.
• La continuità e la durata della prestazione, specie se protratta per un periodo pluriennale e con carattere di esclusività.

Tali elementi, se valutati complessivamente, possono condurre il giudice a ritenere che il rapporto, pur formalmente qualificato come autonomo e gestito tramite partita IVA, sia in realtà un rapporto di lavoro subordinato.

Rilevanza del nomen iuris e della volontà delle parti

La volontà delle parti e la qualificazione formale del rapporto (ad esempio, la stipulazione di un contratto di consulenza con partita IVA) non sono elementi assorbenti ai fini della qualificazione giuridica del rapporto. La giurisprudenza ritiene che, in caso di contrasto tra dati formali e dati fattuali relativi alle caratteristiche e modalità delle prestazioni, occorre dare prevalente rilievo alle modalità concrete di svolgimento del rapporto.

Solo nei casi in cui la conformazione fattuale del rapporto appaia dubbia, non ben definita o non decisiva, l’indagine deve essere svolta in modo tanto più accurato sulla volontà espressa in sede di costituzione del rapporto.

Applicazione ai rapporti con partita IVA

La disciplina sopra esposta trova applicazione anche ai rapporti di consulenza svolti da soggetti titolari di partita IVA. La Corte di Cassazione ha più volte affermato che la titolarità di partita IVA e la fatturazione delle prestazioni non sono di per sé elementi idonei a escludere la natura subordinata del rapporto, se le modalità concrete di svolgimento della prestazione rivelano la presenza degli elementi tipici della subordinazione.

In particolare, la Corte ha precisato che la presunzione relativa di riconducibilità delle prestazioni rese da titolari di partita IVA a rapporti di collaborazione coordinata e continuativa (prevista dall’art. 69-bis d.lgs. n. 276/2003, ora abrogato) opera solo in presenza di specifiche condizioni (durata, prevalenza economica, postazione fissa presso il committente) e che, in ogni caso, la prova della subordinazione deve essere fornita dal lavoratore.

Cosa deve dimostrare il consulente

Nel caso pratico prospettato, il consulente che da tre anni opera con partita IVA e chiede la riqualificazione del rapporto in lavoro subordinato deve dimostrare, con idonea prova, che il rapporto si è concretamente svolto secondo le modalità tipiche del lavoro subordinato. In particolare, dovrà fornire elementi probatori che attestino:

• L’assoggettamento al potere direttivo, organizzativo e disciplinare del datore di lavoro (ad esempio, ricezione di ordini specifici, controllo sull’esecuzione delle prestazioni, obbligo di attenersi a direttive aziendali).
• L’inserimento stabile nell’organizzazione aziendale, con svolgimento di mansioni essenziali per il ciclo produttivo dell’impresa.
• L’osservanza di un orario di lavoro predeterminato e la presenza continuativa presso la sede aziendale.
• Il versamento di una retribuzione fissa e periodica, senza rischio economico per il lavoratore.
• L’utilizzo di mezzi e attrezzature messi a disposizione dall’azienda.
• L’assenza di una struttura imprenditoriale autonoma in capo al lavoratore.
• La continuità e la durata della prestazione, specie se protratta per un periodo pluriennale e con carattere di esclusività.

La prova può essere fornita mediante documentazione (ad esempio, e-mail, ordini di servizio, badge di ingresso, documenti aziendali) e testimonianze che attestino le modalità concrete di svolgimento della prestazione.

Se il consulente riesce a dimostrare la sussistenza degli elementi sopra indicati, il giudice potrà riqualificare il rapporto come lavoro subordinato, con conseguente applicazione della relativa disciplina (tutele retributive, contributive, assicurative, ecc.). In caso contrario, se la prova della subordinazione non viene fornita, il rapporto resterà qualificato come autonomo.

La valutazione della sussistenza della subordinazione è rimessa al giudice di merito, che deve motivare adeguatamente la propria decisione sulla base delle risultanze istruttorie.

Conclusione

In sintesi, il consulente con partita IVA che chiede la riqualificazione del rapporto in lavoro subordinato ha ragione solo se riesce a dimostrare, con idonea prova, che il rapporto si è concretamente svolto secondo le modalità tipiche del lavoro subordinato, ossia con assoggettamento al potere direttivo, organizzativo e disciplinare del datore di lavoro, inserimento stabile nell’organizzazione aziendale, osservanza di un orario di lavoro, retribuzione fissa e assenza di rischio economico. La titolarità di partita IVA e la qualificazione formale del rapporto non sono elementi assorbenti, ma occorre guardare alle modalità concrete di svolgimento della prestazione. L’onere della prova della subordinazione grava sul consulente.

Per la rilevanza del tema e della sede in cui è trattato, si condivide il Parere della Corte Internazionale di Giustizia dello scorso 21 maggio 2026.

La valutazione d’impatto sulla protezione dei dati (DPIA) è uno degli strumenti più importanti introdotti dal GDPR per la gestione dei rischi legati al trattamento dei dati personali. Nel contesto del monitoraggio dei lavoratori e del BYOD, la sua omissione può avere conseguenze gravi.

Quando è obbligatoria la DPIA

L’art. 23 del D.Lgs. n. 51/2018 prevede che quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento debba effettuare una valutazione d’impatto prima di procedere al trattamento. I criteri che indicano un rischio elevato comprendono: la profilazione sistematica dei comportamenti; il trattamento su larga scala di categorie particolari di dati; il monitoraggio sistematico di aree accessibili al pubblico; le decisioni automatizzate con effetti giuridici significativi; il trattamento di dati di soggetti vulnerabili.

Nel contesto BYOD, il TAR Bologna (n. 618/2022) ha precisato che ogniqualvolta il trattamento dei dati comporti rischi elevati per i diritti e le libertà degli interessati, il titolare è tenuto ad effettuare la DPIA. Questo si applica tipicamente ai sistemi di monitoraggio dell’attività dei dipendenti, agli strumenti di geolocalizzazione e ai software che raccolgono dati sulle abitudini lavorative.

Le conseguenze dell’omessa DPIA

La mancata effettuazione della DPIA, in presenza di un obbligo, costituisce una violazione grave della normativa sulla protezione dei dati personali e comporta: l’irrogazione di sanzioni amministrative da parte del Garante, la cui entità è determinata in base alla gravità della violazione, al numero degli interessati coinvolti e alla durata; l’obbligo di adeguarsi alle prescrizioni del Garante, adottando le misure correttive indicate e, se del caso, sospendendo o cessando il trattamento illecito; la possibile responsabilità amministrativa per danno erariale, qualora la sanzione sia posta a carico di un ente pubblico e sia imputabile a condotte gravemente colpose dei dirigenti.

Il caso Corte dei Conti Valle d’Aosta (n. 36/2025)

La Corte dei Conti (Sez. Valle d’Aosta n. 36/2025) ha condannato il dirigente responsabile per aver insistito sulla legittimità della pubblicazione di atti contenenti dati personali dei dipendenti, nonostante le chiare prescrizioni del Garante e la normativa vigente. La Corte ha sottolineato che la tutela della dignità e della riservatezza del lavoratore deve prevalere su esigenze organizzative non adeguatamente bilanciate. La sanzione irrogata dal Garante per la violazione delle prescrizioni in materia di protezione dei dati personali può determinare una responsabilità amministrativa per danno erariale a carico dei dirigenti responsabili, qualora il comportamento omissivo abbia causato un esborso economico per l’ente.

L’obbligo di adempimento alle prescrizioni del Garante

La giurisprudenza ha sottolineato che la mancata impugnazione del provvedimento del Garante comporta l’obbligo di eseguirlo, e che la resistenza ingiustificata alle prescrizioni dell’Autorità può integrare colpa grave. Il dirigente pubblico che, nonostante le prescrizioni del Garante, persiste in un comportamento non conforme, si espone a responsabilità disciplinare e amministrativa.