Sottrazione di dati aziendali dal pc del datore di lavoro in dotazione

I temi dell’uso improprio e dell’appropriazione di dati aziendali dal pc in dotazione fornito dal proprio datore di lavoro stanno assumendo sempre maggiore rilevanza nei rapporti tra quest’ultimo ed i lavoratori. Di ciò ne sono palese testimonianza due decisioni della Suprema Corte: la prima (sentenza n. 25732 del 22 settembre 2021), che ha trattato i riflessi tra l’accertamento aziendale e il contenuto dell’art. 4 della legge n. 300/1970, è stata da me commentata su questo blog in data 30 settembre u.s. e ad essa rimando, mentre la seconda, che ha esaminato la sottrazione di dati aziendali e le tutele del suddetto articolo 4, è stata oggetto di approfondimento con la sentenza n. 33809 del 12 novembre u.s..

Ed è proprio su tale ultima decisione che ritengo opportuno soffermarmi.

La sentenza degli ermellini di Piazza Cavour scaturisce da un ricorso presentato da una impresa che si era vista negare qualunque richiesta di risarcimento del danno da parte della Corte di Appello di Torino dopo che, in primo grado, aveva visto parzialmente riconosciuto tale diritto dalla sentenza del Tribunale.

Un Dirigente commerciale dell’azienda, dopo essersi dimesso, aveva riconsegnato al datore di lavoro il pc in dotazione, cancellando o trasferendo dati di contenuto lavorativo come indirizzi, mail, numeri telefonici, informazioni commerciali e di produzione. Avvalendosi di un tecnico specializzato, il datore di lavoro era intervenuto sull’hard-disk recuperando, anche attraverso una password personale del dirigente, una serie di informazioni, facenti parte del patrimonio aziendale, diffuse, senza alcuna autorizzazione, all’esterno, A ciò era seguita una richiesta di risarcimento del danno, di notevole importo sfociata, poi, nei due gradi di giudizio.

La Suprema Corte ha ritenuto fondata la doglianza dell’azienda, cassando la decisione della Corte di Appello, con rinvio alla stessa per la decisione, sulla base di alcuni principi che possono così sintetizzarsi:

1. La cancellazione dei dati dal computer fornito dall’impresa si concretizza in un comportamento non corretto che può ben sfociare nella richiesta di un risarcimento dei danni;
2. Il comportamento tenuto dal lavoratore si concretizza, altresì, in una violazione di quanto previsto dall’art. 635-bis c.p., trattandosi di un danneggiamento di informazioni, dati e programmi informatici, secondo quanto stabilito dalla Cassazione penale con la sentenza n. 8555 del 5 marzo 2012, secondo la quale la fattispecie delittuosa sussiste anche nell’ipotesi in cui gli stessi possano essere recuperati anche attraverso procedure dispendiose sotto l’aspetto economico. Nel caso di specie sono state recuperate conversazioni scritte sull’applicativo Skype, come già affermato nella decisione del Tribunale che aveva avuto modo di accertare come fosse da escludere ogni manipolazione successiva alla acquisizione dei dati e prima del deposito della perizia;
3. I dati cancellati dal Dirigente prima della restituzione del computer, sono dati integranti il patrimonio aziendale, e non sussiste alcuna violazione del comma 1 dell’art. 4 della legge n. 300/1970 (è il testo antecedente la riforma avvenuta nel 2015 attraverso l’art. 23 del D.L.vo n. 151), in quanto i controlli difensivi non richiedono alcun accordo con le rappresentanze aziendali o alcuna autorizzazione amministrativa dell’Ispettorato territoriale del Lavoro, se sono diretti ad accertare comportamenti illeciti e lesivi sia del patrimonio che del “nomen” aziendale, soprattutto se posti in essere dopo l’addebito (Cass., 28 maggio 2018, n. 13266. Il controllo “ex post” non rappresenta una violazione del predetto art. 4 anche perché si tratta di un qualcosa che non appare lesivo della dignità del lavoratore, in quanto destinato ad accertare, per fini di giustizia processuale, e di tutela del patrimonio aziendale, quanto avvenuto nell’intercorso rapporto di lavoro;
4. La condotta posta in essere si concretizza in una violazione degli obblighi di fedeltà e diligenza richiamati dal codice civile agli articoli 2104 e 2105, cosa che, in via generale, giustifica il licenziamento per giusta causa, nel rispetto delle procedure indicate dall’art. 7 della legge n. 300/1970 (cosa non applicabile, peraltro, al caso di specie perché il Direttore commerciale si era dimesso, motivando la scelta per questioni personali).

La Cassazione sottolinea che la produzione di documenti anche di natura personale del dipendente è consentita allorquando, in giudizio, sia necessario per esercitare un diritto e ciò non è, assolutamente, vietato dalla normativa sulla privacy che autorizza tale trattamento, pur in mancanza di una autorizzazione del diretto interessato.

L’azienda, per poter provare l’illecita utilizzazione di beni aziendali, ha il diritto di controllare la posta personale sul pc fornito in dotazione: ciò è perfettamente legittimo, pur se appare in contrasto con le tutele previste dall’art. 4 della legge n. 300/1970, atteso che si tratta di un controllo di natura “difensiva”, in quanto i dati, già utilizzati per svolgere l’attività lavorativa, sono patrimonio aziendale e non personale dell’interessato.

La legittimità della produzione in giudizio è frutto di un esame di bilanciamento (cosa che la Corte di Appello di Torino non ha fatto) tra il contenuto del dato e le esigenze della difesa (Cass., 11 febbraio 2009 n. 3358; Cass. 8 febbraio 2011, n. 3033).

Due brevissime parole a commento.

La decisione della suprema Corte appare in linea sia con l’esigenza di tutela del patrimonio aziendale che con il nuovo testo dell’art. 4, alla luce di due principi che discendono dal comma 3 il quale, in via generale, prescrive che prima di svolgere una serie di controlli sugli strumenti in dotazione dei lavoratori deve fornire una adeguata informazione sulle modalità d’uso e effettuazione delle verifiche di controllo. Si tratta di una casistica diversa, ma forse più ricorrente, di quella trattata nella decisione relativa al Dirigente dimissionario che ho appena esaminato e che riguarda dipendenti in servizio.

Essi discendono dalla decisione della stessa Cassazione, adottata con la sentenza n. 25732 del 22 settembre 2021 e vanno, sempre, tenuti presenti:

1. L‘attività di controllo, senza adeguata informazione “a priori”, può avvenire “a posteriori”, nel senso che deve essere esercitata in un momento successivo a quello nel quale sia sorto il fondato sospetto del comportamento illecito;
2. La raccolta dei dati utilizzabile è quella delle informazioni acquisite da quel momento in poi e non può comprendere quelle antecedenti eventualmente acquisite ma per le quali non sono state rispettate le regole e l’iter procedimentale previsto dal comma 3 dell’art. 4.