La Corte di Cassazione, Sezione Lavoro, con sentenza n. 28365 del 27/10/2025, ha confermato la legittimità del licenziamento di un dipendente che aveva esfiltrato dati aziendali. Le verifiche sul PC di lavoro sono state ritenute utilizzabili poiché i lavoratori erano stati adeguatamente informati tramite policy IT circa possibili controlli in caso di anomalie e i relativi riflessi disciplinari.
L’orientamento ribadisce che la posta elettronica e gli strumenti aziendali possono essere oggetto di controlli nei limiti dell’art. 4 Statuto dei Lavoratori, se non indiscriminati, con finalità organizzative/sicurezza, e con informativa chiara e preventiva ai lavoratori, in coerenza con le Linee guida del Garante.
Implicazioni per datori di lavoro e compliance
La decisione richiama due punti cardine:
- Ammissibilità dei controlli sugli strumenti di lavoro quando conformi all’art. 4 St. Lav., proporzionati e non generalizzati, con informativa preventiva sui casi e sulle modalità di verifica (PC, posta, log).
- Informativa/disciplinare IT e regole d’uso di email e Internet da rendere esplicite: finalità, limiti, categorie di log trattati, tempi di conservazione.
Integrazione con NIS 2 e D.Lgs. 138/2024
Per i soggetti nel perimetro NIS 2, il D.Lgs. 138/2024 e gli “obblighi di base” ACN richiedono governance del rischio, logging, monitoraggio e risposta agli incidenti. Questi ambiti si intrecciano con la gestione degli asset IT, dei log e dei dati personali, rafforzando la necessità di policy chiare, tracciabilità e limiti nelle verifiche.
Aggiornamenti immediati alle policy IT
Informativa e disciplinare
Nei regolamenti interni chiarire che, in presenza di alert/anomalie, l’azienda può svolgere verifiche proporzionate su strumenti di lavoro (PC, mail, log) e, se necessario, estenderle retroattivamente per ricostruire i fatti. (Rif.: art. 4 St. Lav.; Linee guida Garante 2007; Cass. 28365/2025).
Regole d’uso di e-mail e Internet
Definire canali ammessi, divieti (es. invio di documenti aziendali a indirizzi non autorizzati, upload su cloud personali), gestione allegati e criteri di DLP (Data Loss Prevention).
Log e retention
Specificare categorie di log (accessi a sistemi, posta, DLP/EDR), tempi di conservazione e tracciamento degli accessi.
Proprietà e regime d’uso dei device
Chiarire titolarità, responsabilità d’uso, misure di segregazione e audit trail.
Verifica se le tue policy IT e privacy sono aggiornate ai requisiti di legge.
Il nostro team può supportarti nell’analisi delle procedure interne, nella revisione delle informative e nella definizione dei controlli conformi alla normativa vigente.
Contattaci per una consulenza dedicata.
