Il ruolo delle informative e delle policy aziendali nella gestione dei controlli difensivi è uno dei temi più discussi tra HR, DPO e consulenti legali.
Sebbene la giurisprudenza riconosca che, in presenza di un sospetto concreto e documentabile, il controllo difensivo non richieda un’informativa preventiva al lavoratore, le policy interne restano uno strumento fondamentale per ridurre rischi, contestazioni e sanzioni.
Questo articolo chiarisce quali informative siano necessarie, quali obbligatorie e quali consigliate, con riferimenti normativi e casi giurisprudenziali.
Inquadramento normativo
Tre blocchi normativi governano la materia:
Articolo 4 dello Statuto dei Lavoratori: disciplina dei controlli a distanza.
GDPR (artt. 5, 6, 13 e 14): obblighi informativi e principi di liceità.
D.lgs. 196/2003 (Codice Privacy) artt. 113 e 114: integrazione del GDPR per i lavoratori.
La giurisprudenza chiarisce che:
Cass. 25732/2023: il controllo difensivo non richiede informativa preventiva se diretto ad accertare un illecito.
Cass. 10955/2015: l’azienda può verificare strumenti aziendali senza preavviso se esiste un sospetto fondato.
Provvedimenti del Garante Privacy: richiedono comunque che l’azienda abbia policy interne chiare sull’uso degli strumenti.
Finalità dell’informativa: perché è essenziale anche nel controllo difensivo
Le informative non servono a “legalizzare” il controllo difensivo, ma a:
dichiarare come vengono utilizzati gli strumenti aziendali;
informare sulle regole di utilizzo;
indicare quali trattamenti dei dati sono previsti;
ridurre il margine di contestazione del lavoratore;
garantire trasparenza, conformità e accountability.
L’informativa è quindi un presidio di compliance, non un’autorizzazione al controllo.
Quando l’informativa è obbligatoria
Usage degli strumenti aziendali
Se l’azienda utilizza strumenti che generano log di accesso, cronologie, tracciature tecniche, l’informativa deve descrivere:
finalità del trattamento;
categorie di dati raccolti;
tempi di conservazione;
misure di sicurezza;
soggetti autorizzati al trattamento.
Videosorveglianza e sistemi di geolocalizzazione
In questi casi l’informativa è sempre obbligatoria.
Inoltre, serve accordo sindacale o autorizzazione dell’Ispettorato (art. 4 St. Lav.).
Quando l’informativa NON è obbligatoria nei controlli difensivi
La Cassazione ha confermato che il dipendente non deve essere informato:
prima dell’avvio del controllo difensivo,
né dell’esistenza del controllo,
né delle modalità di raccolta delle prove,
se l’intervento comprometterebbe l’accertamento dell’illecito.
L’azienda non può “avvertire” un dipendente sospettato di illecito.
Policy interne: quali servono realmente
Una policy ben strutturata deve includere:
Policy sull’uso degli strumenti informatici
Chiaro che:
gli strumenti sono aziendali;
l’uso deve essere conforme alle regole aziendali;
eventuali log possono essere trattati per sicurezza e integrità del sistema.
Policy disciplinare
Definizione di:
comportamenti vietati;
procedure interne in caso di sospetti;
sanzioni applicabili.
Policy data protection
Integra l’informativa privacy e definisce:
ruoli;
responsabilità;
trattamenti ammessi;
misure di sicurezza.
Conseguenze della mancanza di informative adeguate
L’assenza di informative può comportare:
contestazioni da parte del lavoratore;
rischi davanti al Garante Privacy;
difficoltà nella gestione disciplinare;
indebolimento della posizione dell’azienda in giudizio.
Anche se il controllo difensivo resta legittimo, l’assenza di policy chiare complica l’intero procedimento.
Linee guida operative
Per strutturare una compliance adeguata:
Predisporre policy aggiornate e coerenti.
Inserire informative complete e conformi al GDPR.
Contestualizzare gli strumenti utilizzati in azienda.
Non inserire nei documenti elementi che potrebbero limitare i futuri controlli difensivi.
Aggiornare annualmente la documentazione.
Schema riepilogativo
Informativa obbligatoria in caso di strumenti di monitoraggio.
Non obbligatoria nei controlli difensivi mirati.
Policy interne essenziali per ridurre contestazioni.
Assenza di policy = rischio disciplinare e privacy.
Controllo difensivo resta legittimo anche senza informativa preventiva.
