Nel caso sul quale è intervenuto il Tribunale di Milano, con sentenza n. 3340 del 24 luglio 2025, parte ricorrente chiedeva che il giudice accertasse e dichiarasse annullabile e/o nullo e/o inefficace e/o inefficace il licenzialmento intimato alla ricorrente dal suo datore di lavoro convenuto in giudizio e per l’effetto condannare quest’ultimo alla reintegrazione in servizio e al risarcimento del danno.
In particolare, il licenziamento si sarebbe basato su degli accertamenti utilizzati dal datore di lavoro in violazione del dettato di cui agli artt. 2, 3 e 4 della legge n. 300 del 20 maggio 1970.
Per quanto è qui di interesse, il Tribunale ricorda che con riferimento alla specifica nozione di controlli difensivi, è opportuno richiamare i principi espressi dalla Suprema Corte in due note sentenze (cfr. Cass. n. 25732 del 2021 e Cass. n. 34092 del 2021). In tali pronunce, i giudici di legittimità hanno ribadito la necessità di distinguere tra:
- i controlli a difesa del patrimonio aziendale che riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro, i quali dovranno necessariamente essere realizzati nel rispetto delle previsioni dell’art. 4 st. lav. come novellato;
- i “controlli difensivi” in senso stretto, diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se questo si verifica durante la prestazione di lavoro; questi ultimi “controlli, anche se effettuati con strumenti tecnologici, non avendo ad oggetto la normale attività del lavoratore“, si situano, ancora oggi, “all’esterno del perimetro applicativo dell’art. 4” (Cass. n. 25732/2021 cit., punti 31 e 32).
Con riferimento ai controlli difensivi in senso stretto, la giurisprudenza, anche alla luce dell’art. 8 CEDU, ne ha ricostruito i limiti di legittimità, ricercando un adeguato bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, con un contemperamento che non può prescindere dalle circostanze del caso concreto (Cass. n. 26682/2017). Del resto, la Corte europea dei diritti dell’uomo ha più volte fornito una interpretazione estensiva del concetto di “vita privata”, tanto da includervi la “vita professionale” (cfr. caso Barbulescu c. Romania, sentenza della Grande Camera del 5 settembre 2017).
A tal fine, si è affermato che
“per essere in ipotesi legittimo, il controllo ‘difensivo in senso stretto’ dovrebbe quindi essere mirato, nonché attuato ex post, ossia a seguito del comportamento illecito di uno o più lavoratori del cui avvenuto compimento il datore abbia avuto il fondato sospetto”;
all’esito di tale verifica il giudice di merito dovrà anche compiere
“ogni valutazione circa il corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore” (Cass. civ., sez. lav., 22/09/2021, n. 25732).
Il Tribunale sottolinea come il sospetto datoriale non possa ridursi ad una mera intuizione o un generico dubbio ma debba fondarsi su elementi seri, oggettivi e specifici che consentano di ritenere ragionevole e presumibile l’ipotesi della commissione di un illecito da parte del lavoratore. Chiaramente la verifica della fondatezza del sospetto va svolta ex ante, a prescindere dagli elementi successivamente raccolti dal datore di lavoro, al fine di appurare se tali elementi, nella prospettiva datoriale, fossero sufficientemente specifici e concreti, tenuto conto delle circostanze del caso concreto, a indurre il sospetto nel datore di lavoro della commissione di un atto illecito. La nozione di “fondato sospetto”, affidata alla concretizzazione del giudice del merito, rappresenta, peraltro, un concetto ampiamente utilizzato in diversi ambiti dal legislatore (a titolo esemplificativo, art. 2409 c.c.; art. 256 c.p.c.). Anche la Corte EDU (nel caso Lòpez Ribalda e altri c. Spagna, 17 ottobre 2019) ha ritenuto che costituisca una giustificazione legittima del controllo
“l’esistenza di un ragionevole sospetto circa la commissione di illeciti”, mentre “non è accettabile la posizione secondo cui anche il minimo sospetto di appropriazione illecita possa autorizzare l’installazione di strumenti occulti di videosorveglianza“.
La Suprema Corte ha, poi, evidenziato che
“una volta consegnati al contraddittorio gli elementi che la parte datoriale adduce a fondamento dell’iniziativa di controllo tecnologico, spetterà al giudice valutare, mediante l’apprezzamento delle circostanze del caso, se gli stessi fossero indizi, materiali e riconoscibili, non espressione di un puro convincimento soggettivo, idonei a concretare il fondato sospetto della commissione di comportamenti illeciti. Perché solo la sussistenza di essi costituisce riscontro oggettivo dell’autenticità dell’intento difensivo del controllo, non diretto, quindi, ad un generale monitoraggio dell’attività lavorativa di dipendenti, quanto piuttosto “mirato” ad accertare prefigurate condotte contra ius, non attinenti al mero inadempimento degli obblighi derivanti dalla prestazione lavorativa” (Cass. civ., sez. lav., 26/06/2023, n. 18168).
In ordine al criterio di riparto degli oneri probatori, incombe necessariamente sul datore di lavoro l’onere di allegare e provare le specifiche circostanze che lo hanno indotto ad attivare il controllo, considerato che solo tale “fondato sospetto” consente al datore di lavoro di porre la sua azione al di fuori del perimetro di applicazione diretta dell’art. 4 St. lav. Al riguardo, la Corte di Cassazione ha recentemente ribadito che
“sarebbe lesivo del diritto di azione e difesa del lavoratore addossargli un gravoso onere rispetto a fatti estranei alla sua sfera di conoscenza, mentre il datore di lavoro è agevolmente posto nella condizione di identificarli, in quanto nella sua disponibilità e allo stesso più prossimi e, quindi, più facilmente suffragabili. Allegazione e prova che devono riguardare anche circostanze temporalmente collocate, atteso che le stesse segnano il momento a partire dal quale i dati acquisiti possono essere utilizzati nel procedimento disciplinare e, successivamente, in giudizio, non essendo possibile l’esame e l’analisi di informazioni precedentemente assunte in violazione delle prescrizioni di cui all’art. 4 St. lav., estendendo “a dismisura” l’area del controllo difensivo lecito (cfr. Cass. n. 25732/2021 cit., punto 41), considerato che non può essere reso retroattivamente lecito un comportamento che tale non era al momento in cui fu tenuto (Cass. civ., sez. lav., 26/06/2023, n. 18168).
Negli stessi termini, ancor più di recente, i giudici di legittimità hanno affermato che
“La legittimità dei controlli cd. difensivi in senso stretto presuppone il “fondato sospetto” del datore di lavoro circa comportamenti illeciti di uno o più lavoratori; ne consegue che spetta al datore l’onere di allegare, prima, e di provare, poi, le specifiche circostanze che l’hanno indotto ad attivare il controllo tecnologico “ex post”, sia perché solo il predetto sospetto consente l’azione datoriale fuori del perimetro di applicazione diretta dell’art. 4 st. lav., sia perché, in via generale, incombe sul datore, ex art. 5 L. n. 604 del 1966, la dimostrazione del complesso degli elementi che giustificano il licenziamento” (Cass. civ., sez. lav., 24/04/2025, n. 10822).
La stessa Corte EDU, a partire dal caso Barbulescu c. Romania, sentenza della Grande Camera del 5 settembre 2017, ha indicato ai giudici nazionali gli elementi per valutare i contrapposti interessi, affinché sia garantito che l’attuazione da parte del datore di lavoro di misure di sorveglianza che violano il diritto al rispetto della vita privata sia proporzionata e accompagnata da adeguate e sufficienti garanzie contro gli abusi.
In punto di bilanciamento dei rispettivi interessi, il Tribunale ritiene poi necessario richiamare gli indici individuati dalla giurisprudenza europea e ribaditi dalla Suprema Corte, sempre con riferimento ai controlli difensivi “in senso stretto“:
“i) l’informazione del lavoratore circa la possibilità che il datore di lavoro adotti misure di monitoraggio, con la precisazione che la stessa dovrebbe, in linea di principio, essere chiara sulla natura della sorveglianza ed essere precedente alla sua attuazione; ii) il grado di invasività nella sfera privata dei dipendenti, tenendo conto, in particolare, della natura più o meno privata del luogo in cui si svolge il monitoraggio, dei limiti spaziali e temporali di quest’ultimo, nonché del numero di persone che hanno accesso ai suoi risultati; iii) l’esistenza di una giustificazione all’uso della sorveglianza e alla sua estensione con motivi legittimi, con la precisazione che quanto più invadente è la sorveglianza, tanto più gravi sono le giustificazioni richieste; iv) la valutazione, in base alle circostanze specifiche di ciascun caso, se lo scopo legittimo perseguito dal datore di lavoro potesse essere raggiunto causando una minore invasione della vita privata del dipendente; v) la verifica di come il datore di lavoro abbia utilizzato i risultati della misura di monitoraggio e se siano serviti per raggiungere lo scopo dichiarato della misura; vi) l’offerta di adeguate garanzie al dipendente sul grado di invasività delle misure di sorveglianza, mediante informazioni ai lavoratori interessati o ai rappresentanti del personale circa l’attuazione e l’entità del monitoraggio, dichiarando l’adozione di tale misura a un organismo indipendente o mediante la possibilità di presentare reclamo” (Cass. civ., sez. lav., 26/06/2023, n. 18168; nonché Corte EDU, Barbulescu c. Romania, sentenza della Grande Camera del 5 settembre 2017).
Nel caso in cui il datore di lavoro non riesca a provare la sussistenza di un “fondato sospetto” e, dunque, della legittima acquisizione dei dati mediante i controlli effettuati, le conseguenze sono dettate dalla previsione generale in materia di protezione della privacy secondo cui “I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati” (D.Lgs. n. 196 del 2003, art. 2-decies). Tale conseguenza era già stata affermata dalla giurisprudenza di legittimità con la precedente stesura dell’art. 4 St. Lav. – in ipotesi di dati volti a provare l’inadempimento contrattuale del dipendente in sede disciplinare (v. Cass. n. 19922 del 2016 e Cass. n. 16622 del 2012).
Ciò detto, il Tribunale ritiene che nella fattispecie deve escludersi che la mera circostanza della fruizione del permesso nella sola giornata di sabato possa rappresentare un “fondato sospetto” idoneo a legittimare l’attivazione dei controlli difensivi da parte del datore di lavoro, anche alla luce della tipologia, della durata e dell’invasività delle verifiche attivate nel caso in esame.
L’attività investigativa, peraltro, è stata ritenuta del tutto sproporzionata rispetto alle esigenze di tutela del patrimonio aziendale nell’ottica di un bilanciamento del diritto della privacy della lavoratrice, tenuto conto della durata e della tipologia del controllo. Da ciò ne deriva, secondo il Tribunale, l’inutilizzabilità del materiale raccolto e, conseguentemente, l’illegittimità del licenziamento.
