I controlli a distanza nel rapporto di lavoro: struttura normativa, limiti sistematici e approdi giurisprudenziali

I controlli a distanza nel rapporto di lavoro: struttura normativa, limiti sistematici e approdi giurisprudenziali
La disciplina dei controlli a distanza del lavoratore si colloca all’intersezione fra tutela dell’organizzazione d’impresa, protezione del patrimonio aziendale e salvaguardia della dignità e della riservatezza della persona che lavora, trovando il proprio perno nell’art. 4 dello Statuto dei lavoratori, come novellato dal d.lgs. n. 151 del 2015, nonché nel rinvio espresso operato dal Codice privacy alla medesima disposizione statutaria Art. 4, comma 1, Legge 300/1970 Art. 23, D.Lgs. 151/2015 Art. 114, D.Lgs. 196/2003. In tale assetto, il legislatore non sancisce un divieto assoluto di controllo tecnologico, ma subordina l’installazione di impianti audiovisivi e di altri strumenti dai quali derivi anche solo la possibilità di controllo a distanza a presupposti finalistici tassativi — esigenze organizzative e produttive, sicurezza del lavoro, tutela del patrimonio aziendale — e a una garanzia procedurale consistente nell’accordo sindacale o, in difetto, nell’autorizzazione amministrativa Art. 4, comma 1, Legge 300/1970. La ratio della disposizione, letta in chiave sistematica, è quella di impedire che l’innovazione tecnica si traduca in una sorveglianza generalizzata dell’adempimento lavorativo, sì che il controllo resti giuridicamente tollerabile solo se funzionalizzato a interessi datoriali qualificati e incanalato entro un procedimento di bilanciamento preventivo Art. 4, comma 1, Legge 300/1970 Art. 5, GDPR. In questo quadro, la giurisprudenza penale ha chiarito che la violazione della norma non si esaurisce nell’installazione originariamente abusiva dell’impianto, ma si estende anche alla sua utilizzazione o alla consapevole tolleranza del relativo impiego, confermando la natura sostanziale, e non meramente formale, della garanzia predisposta dall’ordinamento Cass. pen., n. 51897/2016 Art. 38, Legge 300/1970. Accanto alla regola autorizzatoria, il comma 2 dell’art. 4 introduce una deroga per gli strumenti utilizzati dal lavoratore per rendere la prestazione e per gli strumenti di registrazione di accessi e presenze, rispetto ai quali non è richiesto il previo accordo sindacale o l’autorizzazione dell’Ispettorato, ma tale deroga non ha carattere assoluto né può essere interpretata come uno spazio franco sottratto alle garanzie di trasparenza e proporzionalità Art. 4, comma 2, Legge 300/1970 Art. 5, GDPR. La più recente giurisprudenza di legittimità tende infatti a valorizzare una nozione funzionale di “strumento di lavoro”, includendovi anche applicativi e canali digitali ordinariamente impiegati nell’esecuzione della prestazione, come le chat aziendali, purché essi siano realmente serventi all’attività lavorativa e non artificiosamente conformati al fine di consentire un monitoraggio ulteriore, sistematico o massivo Cass. civ., n. 32283/2025 Cass. civ., n. 7272/2024 Cass. civ., n. 15391/2024. Nello stesso senso si pone l’orientamento che considera sottratti al regime autorizzatorio gli strumenti di registrazione delle presenze, fermo restando che anche tali trattamenti devono conformarsi ai principi del GDPR e alla disciplina statutaria quando, per configurazione concreta, trasmodino in un controllo penetrante dell’attività del dipendente Cass. civ., n. 4936/2025 Art. 4, comma 2, Legge 300/1970 Art. 5, GDPR. Il nodo centrale diviene allora l’utilizzabilità dei dati raccolti, che il comma 3 dell’art. 4 condiziona alla previa informazione del lavoratore circa le modalità d’uso degli strumenti e di effettuazione dei controlli, nonché al rispetto complessivo della normativa in materia di protezione dei dati personali Art. 4, comma 3, Legge 300/1970 Art. 13, GDPR. Ne deriva che la legittimità del controllo non dipende soltanto dal titolo autorizzatorio, ma anche dalla qualità dell’informativa, dalla determinatezza delle finalità perseguite, dalla minimizzazione dei dati trattati e dalla limitazione dei tempi di conservazione, secondo i principi generali enunciati dal GDPR Art. 5, GDPR Art. 13, GDPR. Su tale versante, la giurisprudenza civile ha sottolineato che i controlli su notebook e altri device aziendali possono fondare conseguenze disciplinari soltanto quando il dipendente sia stato preventivamente posto in condizione di conoscere, in modo chiaro e concreto, la possibilità di verifiche, non essendo sufficiente un adempimento meramente cartolare o una policy solo formalmente pubblicata Cass. civ., n. 28365/2025 Corte d’Appello Milano, n. 1147/2025. In caso di trattamento contra legem, il Codice privacy sancisce l’inutilizzabilità dei dati, disposizione che si salda con il meccanismo dell’art. 4, comma 3, e conferisce rilievo processuale alla violazione delle regole sostanziali e informative in materia di controllo tecnologico Art. 2-decies, D.Lgs. 196/2003 Art. 4, comma 3, Legge 300/1970. Entro questo scenario assume particolare rilievo la figura dei controlli difensivi, categoria di elaborazione giurisprudenziale che consente di distinguere i controlli rivolti al mero adempimento della prestazione, attratti nel perimetro ordinario dell’art. 4, dai controlli diretti ad accertare specifici illeciti lesivi del patrimonio o dell’organizzazione aziendale Cass. civ., n. 18168/2023 Cass. civ., n. 24564/2025. L’orientamento oggi più persuasivo, inaugurato in modo netto dalla Cassazione del 2023 e consolidato da successive ordinanze, circoscrive la liceità dei controlli difensivi “in senso stretto” a ipotesi in cui sussista un fondato sospetto di illecito, il controllo sia mirato e temporalmente successivo all’insorgenza del sospetto, e il trattamento dei dati rispetti comunque i canoni di pertinenza, proporzionalità e non eccedenza Cass. civ., n. 18168/2023 Cass. civ., n. 807/2025 Art. 5, GDPR. In questa prospettiva, il “fondato sospetto” opera come presupposto di legittimazione e, insieme, come limite funzionale del potere datoriale: esso esclude controlli esplorativi, retrospettivi o indiscriminati e consente soltanto verifiche circoscritte all’accertamento di condotte fraudolente o comunque illecite, non alla sorveglianza ordinaria dell’esecuzione della prestazione Cass. civ., n. 18168/2023 Cass. civ., n. 807/2025. Coerentemente, la Suprema Corte ha reputato ammissibili controlli occulti riferiti a condotte fraudolente svolte anche in luoghi pubblici, sempre che l’oggetto dell’indagine non coincida con il semplice rendimento lavorativo ma con un illecito suscettibile di ledere interessi patrimoniali o organizzativi del datore Cass. civ., n. 30821/2025 Cass. civ., n. 24564/2025. Analogo bilanciamento si riscontra nella giurisprudenza sul ricorso ad agenzie investigative, ritenuto legittimo quando sia diretto ad accertare condotte extralavorative incompatibili con gli obblighi contrattuali o fraudolente in danno dell’impresa, ma non quando si traduca in una vigilanza surrettizia sull’esatto adempimento dell’orario o delle ordinarie mansioni Art. 2, Legge 300/1970 Art. 3, Legge 300/1970 Cass. civ., n. 9268/2025 Cass. civ., n. 7685/2024 Cass. civ., n. 1593/2023. Sul terreno della protezione dei dati, il fondamento di liceità dei controlli non può prescindere dalla verifica del legittimo interesse perseguito dal datore e dal contestuale superamento del test di necessità e proporzionalità richiesto dal diritto europeo Art. 6, GDPR Art. 5, GDPR. Ciò spiega perché i provvedimenti del Garante abbiano costantemente censurato forme di videosorveglianza remota, monitoraggio delle comunicazioni elettroniche e geolocalizzazione continuativa costruite secondo una logica di raccolta massiva e preventiva dei dati, anziché secondo il paradigma della stretta indispensabilità Garante Privacy, Provv. n. 10019506/2024 Provv. Garante Privacy 1° marzo 2007 Garante Privacy, Provv. n. 396/2018 Garante Privacy, Ord. n. 9861249/2022. In particolare, il monitoraggio di e-mail, navigazione internet e dati GPS è considerato intrinsecamente ad alta invasività, sicché richiede un disegno organizzativo improntato a privacy by design, la preferenza per controlli aggregati o selettivi, un’informativa effettiva e, nei casi a maggior rischio, anche la previa valutazione d’impatto Provv. Garante Privacy 1° marzo 2007 Art. 35, GDPR Garante Privacy, Ord. n. 9861249/2022. La geolocalizzazione, in particolare, è stata oggetto di una severa attenzione regolatoria perché idonea a ricostruire in modo analitico spostamenti, tempi e abitudini del lavoratore, con la conseguenza che il suo impiego è reputato lecito solo se sorretto da finalità determinate, da una base giuridica adeguata, da una configurazione non eccedente e, ove occorra, dal rispetto delle garanzie procedurali di cui all’art. 4 dello Statuto Garante Privacy, Provv. n. 396/2018 Garante Privacy, Ord. n. 9861249/2022 Art. 4, comma 1, Legge 300/1970. Sul piano conclusivo, il diritto vivente sembra dunque orientato verso una soluzione di equilibrio: da un lato, si riconosce che la trasformazione digitale dell’impresa e l’esigenza di prevenire frodi o abusi non consentono una lettura meramente proibitiva dell’art. 4; dall’altro, si ribadisce che ogni compressione della sfera privata del lavoratore richiede un rigoroso controllo di legalità, fondato su finalità tipizzate, trasparenza informativa, minimizzazione del trattamento e stretta correlazione fra il mezzo impiegato e l’interesse concretamente perseguito Art. 4, commi 1, 2 e 3, Legge 300/1970 Art. 5, GDPR Cass. civ., n. 18168/2023. Se si guarda ai trend giurisprudenziali più recenti, emerge con chiarezza che il vero discrimine non è più la mera visibilità od occultità del controllo, ma la sua funzione sostanziale: è illecito il controllo che si risolve in sorveglianza generalizzata dell’attività lavorativa, mentre può risultare ammissibile quello eccezionale, mirato e successivo al sorgere di un sospetto qualificato di illecito, sempre nei limiti segnati dal diritto della protezione dei dati e dal divieto di indagini sulle opinioni del lavoratore Cass. civ., n. 24564/2025 Cass. civ., n. 807/2025 Art. 8, Legge 300/1970. Ne consegue, in termini teorici e applicativi, che l’art. 4 dello Statuto non va inteso né come norma di mera procedura né come ostacolo alla gestione tecnologica dell’impresa, ma come disposizione di garanzia che impone di tradurre il potere organizzativo in un assetto compatibile con i diritti fondamentali della persona-lavoratore, secondo un modello di controllo “necessario, proporzionato e intelligibile” che costituisce oggi il vero parametro di legalità del monitoraggio datoriale Art. 4, comma 3, Legge 300/1970 Art. 5, GDPR Art. 13, GDPR.