Informazione del dipendente nei controlli difensivi: obblighi, limiti e giurisprudenza aggiornata

Uno dei dubbi più frequenti di HR, datori di lavoro e DPO riguarda la necessità o meno di informare il dipendente prima dell’avvio di un controllo difensivo.
Il tema è particolarmente delicato, perché incrocia diritto alla privacy, tutela del patrimonio aziendale e obblighi di trasparenza.
La Cassazione, negli anni, ha delineato un quadro molto chiaro: il dipendente non deve essere informato quando la comunicazione preventiva renderebbe impossibile l’accertamento dell’illecito.

Quadro normativo essenziale

Le fonti di riferimento sono:

• Articolo 4 dello Statuto dei Lavoratori;

• GDPR artt. 5, 6, 13, 14;

• Codice Privacy (D.lgs. 196/2003), artt. 113 e 114;

• Cassazione n. 25732/2023 (controllo difensivo mirato);

• Cassazione n. 10955/2015 (verifiche informatiche su PC aziendale);

• Cassazione n. 2722/2012 (limiti tra controllo a distanza e difensivo).

Le pronunce sono concordi: l’obbligo informativo esiste per i controlli ordinari, ma non per quelli difensivi.

Quando l’azienda non deve informare il dipendente

Il dipendente non va informato quando:

• esiste un sospetto concreto di illecito;

• l’attività riguarda strumenti di proprietà dell’azienda;

• il controllo è mirato e proporzionato;

• avvisare il dipendente comprometterebbe la raccolta delle evidenze.

In queste circostanze, l’informativa preventiva non è richiesta né dallo Statuto né dal GDPR.

Ragioni giuridiche dell’assenza di obbligo informativo

Tre principi guidano la giurisprudenza:

Finalità difensiva

Obiettivo: accertare un illecito, non monitorare il lavoro.

Impossibilità di preavviso

Informare il dipendente annullerebbe il controllo, rendendo inutilizzabile l’azione.

Bilanciamento degli interessi

Il diritto dell’azienda a tutelarsi prevale sulla necessità di preavviso in caso di condotta potenzialmente illecita.

Quando, invece, l’informazione è obbligatoria

L’informazione è necessaria quando:

• l’azienda utilizza strumenti che monitorano l’attività ordinaria (badge, GPS, software di tracciatura);

• il controllo non è difensivo, ma rientra nella gestione del lavoro;

• i dati vengono trattati in modo sistematico.

In questi casi si applica l’articolo 4 St. Lav., e servono:

• accordo sindacale, oppure

• autorizzazione dell’Ispettorato.

Esempi concreti

Sospetto furto dati

Nessun obbligo di informazione.

Accessi anomali a database protetti

Nessun obbligo di avviso.

Installazione di un software di monitoraggio continuo

Avviso obbligatorio + accordo sindacale.

Analisi del PC aziendale dopo segnalazioni interne

Nessun avviso necessario se l’attività è difensiva.

Conseguenze dell’errata gestione informativa

Informare quando non si deve può compromettere:

• raccolta delle prove;

• esito del procedimento disciplinare;

• responsabilità del dipendente;

• sicurezza del patrimonio aziendale.

Non informare quando si deve può produrre:

• sanzioni privacy;

• inutilizzabilità dei dati raccolti;

• contestazioni del dipendente.

Linee guida operative

1. Valutare sempre la natura del controllo: difensivo o ordinario.

2. Documentare il sospetto concreto.

3. Non avvisare il dipendente in caso di illecito.

4. Informare sempre in caso di sistemi di monitoraggio ordinario.

5. Allineare informative e policy interne.

6. Conservare evidenze e motivazioni della scelta.

Schema riepilogativo

• Controllo difensivo → nessun obbligo informativo.

• Controllo ordinario → informativa + accordo sindacale.

• Preavviso può compromettere l’indagine.

• Mancato preavviso, quando obbligatorio, = rischio sanzioni.