Sentenza n. 1147/24 Registro generale Appello Lavoro n. 982/2024

REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO La Corte d' Appello di Milano, sezione lavoro, composta da: Dott. Roberto VIGNATI Presidente Dott. Giovanni CASELLA Consigliere rel. Dott.ssa Laura BERTOLI Consigliera ha pronunciato la seguente SENTENZA nella causa civile in grado d'appello avverso la sentenza n. 3809/2024 del Tribunale di Milano, est. Dott.ssa Colosimo, discussa all'udienza collegiale del 10 dicembre 2024 e promossa
DA
in persona del legale rappresentante pro-tempore, Parte_1 rappresentata e difesa dagli Avv.ti Emanuele Barberis, Valeria De Lucia, Chiara Napoli e Alessandro Pace ed elettivamente domiciliata presso il loro studio in Milano, Via Giuseppe Verdi n. 4
APPELLANTE
CONTRO
rappresentato e difeso dall'Avv. Marianna Luciano, ed CP_1 elettivamente domiciliato presso lo studio del proprio difensore sito in Gorgonzola (MI), Via Luigi Restelli n. 4
APPELLATO
I procuratori delle parti, come sopra costituiti, così precisavano le
CONCLUSIONI
PER L'APPELLANTE:
“A) nel merito, in accoglimento del presente atto di appello, riformare la sentenza in epigrafe indicata e rigettare tutte le domande e istanze proposte in primo grado dall'odierno Appellato, accogliendo le domande svolte nella memoria difensiva di primo grado e qui di seguito trascritte: Voglia l'Ill.mo Tribunale adito, contrariis reiectis e previa ogni opportuna declaratoria di inammissibilità e/o inaccoglibilità e/o improponibilità e/o decadenza con riferimento alle domande e conclusioni oggetto del ricorso avversario, per i motivi esposti - in relazione a ciascuna specifica domanda avversaria - nella narrativa che precede:


1. in via principale, respingere il ricorso ex art. 414 promosso dal Sig. nei confronti di ivi CP_1 Parte_1 inclusa ogni domanda, pretesa e/o istanza in esso contenuta, in quanto inammissibili, infondate in fatto e in diritto e/o, comunque, indimostrate;



2. in via subordinata, nella denegata e non creduta ipotesi in cui il Giudice dovesse accertare la fondatezza – anche solo parziale – delle avversarie pretese, accertare e dichiarare non dovute, in tutto o in parte, le somme richieste nel ricorso introduttivo del presente giudizio, per tutti i motivi esposti nella narrativa che precede e, in ogni caso, compensare quanto eventualmente dovuto al Ricorrente con l'aliunde perceptum nonché con l'aliunde percipiendum che verrà accertato;



3. con favore di diritti, onorari e spese del procedimento”.
[1] PER L'APPELLATO:
“NEL MERITO Respingere per i motivi tutti indicati nella narrativa che precede l'appello proposto dalla società in quanto Pt_1 Parte_1 inammissibile e/o infondato e per l'effetto confermare integralmente la sentenza 3809/2024 eme di Milano
– Sezione Lavoro in persona del Giudice Dott.ssa Chiara Colosimo. … In ogni caso: con vittoria di spese competenze”.

SVOLGIMENTO DEL PROCESSO Con la sentenza n. 3809/2024, il Tribunale di Milano (dott.ssa Colosimo) accoglieva integralmente il ricorso proposto dal sig. , dichiarando CP_1 illegittimo il licenziamento intimato al ricorrente dalla datrice di lavoro
[...]
e condannando quest'ultima al pagamento di un'indennità non Parte_1 assoggettata a contribuzione previdenziale di importo pari a quindici mensilità dell'ultima retribuzione di riferimento per il calcolo del trattamento di fine rapporto, oltre interessi, rivalutazione dal dovuto al saldo effettivo e condanna al pagamento delle spese processuali. Il sig. ha dedotto di essere stato assunto da – società CP_1 Parte_1 che svolge attività di consulenza, diretta e indiretta, per la ricerca di risparmio e, in generale, operazioni di natura finanziaria e simili – con contratto di lavoro a tempo indeterminato e pieno, con decorrenza dal 14 dicembre 2020 e inquadramento, da ultimo, nel I livello C.C.N.L. Terziario Distribuzione e Servizi quale impiegato con mansioni di Sales Manager – EY for Start-up. Il 9 novembre 2023 il dipendente ha ricevuto una contestazione disciplinare con cui gli veniva addebitato di avere inoltrato a terzi, dal proprio indirizzo elettronico aziendale, documentazione contenente informazioni riservate e confidenziali riferite al cliente Genuine WA;
di avere inviato al proprio indirizzo elettronico personale alcuni LUL riferiti al cliente;
di avere inviato a terzi, dal CP_2 proprio indirizzo elettronico aziendale, la Carbon Foot Print 2022/2023 dell'Azienda, l'informativa relativa ad un decreto ministeriale e una presentazione afferente ad un evento formativo interno;
di avere inviato ad un cliente documenti ad uso esclusivo interno. Con lettera del 14 novembre 2023 il dipendente ha presentato le proprie giustificazioni, contestando la tempestività e la specificità della contestazione disciplinare nonché sostenendo che le informazioni inoltrate a terzi non sarebbero state riservate e confidenziali. Nonostante ciò, l'Azienda, con lettera del 28 novembre 2023, lo ha licenziato per giusta causa. Successivamente il sig. adiva il Tribunale di Milano, lamentando la CP_1 tardività delle contestazioni disciplinari, negando la sussistenza di una giusta causa di risoluzione del rapporto e, soprattutto, dolendosi della violazione dell'art. 4 Statuto dei Lavoratori in ragione dell'indagine massiva effettuata da
[...] sulla sua posta elettronica aziendale. Parte_1
Ritualmente si costituiva in giudizio asserendo che il ricorrente Parte_1 avesse condiviso, con soggetti terzi e senza autorizzazione, informazioni e documenti confidenziali di proprietà di , circostanza che quest'ultima aveva Pt_1 appreso solo a esito di un controllo straordinario operato sulla posta elettronica
[2] del ricorrente, assumendo che detto controllo fosse stato svolto in conformità alle regole della policy aziendale sull'uso degli strumenti informatici e a seguito di un legittimo sospetto di condotte illecite da parte del lavoratore (aver fatto emettere fatture verso i clienti di pur senza la prestazione di alcun servizio in loro Pt_1 favore). La società resistente, inoltre, era venuta a conoscenza della costituzione della società Be Boost S.r.l. da parte del ricorrente, quale Amministratore Unico della stessa, unitamente al Sig. (Co-Founder delle stesse); detta Controparte_3 società si trova in potenziale concorrenza con nel settore Energy. Pertanto, Pt_1 al sig. veniva contestata complessivamente la violazione dei suoi doveri di CP_1 riservatezza e confidenzialità nascenti dal contratto di lavoro;
dei suoi doveri di non concorrenza parimenti nascenti dal contratto di lavoro;
della Policy sull'uso degli Strumenti Informatici che vieta di usare l'e-mail aziendale per lo svolgimento di attività non inerenti alla prestazione lavorativa in favore di . Pt_1
Il giudice di primo grado, con sentenza n. 3809/2024 (Dott.ssa Colosimo), accoglieva il ricorso deducendo, preliminarmente, che la controversia dovesse essere risolta sulla base del principio della ragione più liquida e, in particolare, della violazione da parte del datore di lavoro dell'art. 4 Statuto dei Lavoratori. Il Tribunale ha quindi ritenuto incontroverso che il datore di lavoro avesse operato una illegittima attività di monitoraggio sulla posta elettronica del dipendente, con ciò violando le pronunce della CEDU, le linee guida del GPDR, le raccomandazioni del Consiglio d'Europa sul trattamento di dati personali nel contesto occupazionale nonché gli univoci orientamenti giurisprudenziali in materia. In merito all'obbligo di trasparenza il giudice di primo grado statuiva che detto obbligo non potesse essere adempiuto mediante la sola affissione dell'informativa in un luogo accessibile a tutti i dipendenti, sia esso fisico o virtuale come l'intranet aziendale. Il Giudice rilevava, altresì, che non avesse dato prova Pt_1 nè che il lavoratore fosse tra i destinatari della e-mail del 26.01.2023 (con la quale veniva asseritamente comunicata la pubblicazione della policy sull'intranet aziendale) nè che detta e-mail, contenesse effettivamente una specifica indicazione in ordine alla pubblicazione e all'aggiornamento della policy in materia di controlli, né della sussistenza di un “legittimo sospetto” atto a giustificare controlli di tipo difensivo. In sostanza, quindi, il Giudice del primo grado ha rilevato che non sussistessero i presupposti per dare vita a controlli difensivi e che fossero in ogni caso stati violati gli obblighi informativi in merito a possibili controlli straordinari sulla strumentazione informatica. Per dette ragioni il Tribunale concludeva per l'inutilizzabilità di tutte le informazioni raccolte per il tramite dei menzionati controlli e per l'insussistenza del fatto contestato, condannando al pagamento di un'indennità non assoggettata a Pt_1 contribuzione previdenziale di importo pari a quindici mensilità dell'ultima retribuzione di riferimento per il calcolo del TFR, oltre interessi e rivalutazione dal dovuto al saldo.
[3] Avverso tale sentenza, la società con ricorso, depositato il 12.09.2024, ha proposto appello tramite la formulazione di cinque motivi d'appello. Primo motivo di appello: violazione e falsa applicazione dell'art. 4, comma 2, della legge 20 maggio 1970, n. 300 in ordine alla inutilizzabilità dei dati acquisiti tramite controllo sulla posta elettronica aziendale per asserita inadeguatezza delle modalità con cui l'informativa è stata portata a conoscenza dell'appellato. L'appellante ha censurato la sentenza di primo grado laddove ha ritenuto insufficienti le modalità di pubblicazione dell'informativa, assumendo – contrariamente a quanto affermato dal primo Giudice - che vi fosse la prova della conoscenza e conoscibilità da parte del ricorrente dell'informativa in quanto lo stesso sig. risultava fra i destinatari della e-mail con cui la società informava CP_1
i dipendenti della pubblicazione di siffatta informativa. In merito a tale aspetto la società appellante osserva che il legislatore non ha espressamente previsto, per quanto riguarda la messa a disposizione dell'informativa, alcuna specifica modalità: di per sé, quindi, la pubblicazione sul sito intranet aziendale non può essere ritenuta, per principio, inadeguata. Pertanto, l'appellante ritiene che, in un mondo sempre più tecnologico, l'informativa possa essere portata a conoscenza dei dipendenti mediante affissione, anche virtuale, in luogo accessibile a tutti. D'altronde, ad avviso dell'appellante, la società è tenuta a provare la 'conoscibilità' dell'informativa da parte del lavoratore, non potendo gravare sul datore di lavoro – come invece sostenuto dal Tribunale – la dimostrazione di una “diretta, piena ed effettiva” conoscenza dell'informativa stessa. Nel caso di specie, la società ha inviato alla posta elettronica del dipendente la comunicazione che l'informativa era stata pubblicata sulla rete intranet aziendale indicando il link attraverso il quale il lavoratore avrebbe potuto consultare l'informativa ivi pubblicata. Infatti, con e-mail del 26 gennaio 2023 la Società ha comunicato a tutti i dipendenti del Team – fra cui l'appellato – l'avvenuta pubblicazione sulla rete intranet aziendale della policy sugli strumenti informatici. La Società ha, quindi, assolto all'onere di mettere l'appellato nelle condizioni di prendere visione dell'informativa, circostanza che sarebbe stata dimostrata anche tramite prova testi se il giudice non avesse deciso di non accogliere la relativa istanza. Da ultimo, la sentenza sarebbe errata anche nel punto in cui ha ritenuto irrilevante la presunzione di conoscenza delle comunicazioni aziendali contenuta nel contratto di assunzione dell'appellato. Pertanto, l'appellante insiste nella riforma della sentenza di primo che, erroneamente, ha come esclusivo riferimento “la piena conoscenza” a danno di una più verosimile “conoscibilità”. Secondo motivo di appello: violazione e falsa applicazione dell'art. 4 della legge 20 maggio 1970, n. 300 per avere la sentenza ritenuto indimostrato il legittimo sospetto che giustificava i c.d. controlli difensivi pur in presenza di condotte da ritenersi, quanto meno potenzialmente, illecite.
[4] Con il secondo motivo l'appellante contesta la sentenza nella parte in cui ha affermato i sospetti avevano riguardato meri inadempimenti contrattuali dell'appellato e non “condotte illecite”. Ad avviso dell'appellante, seguendo questo ragionamento si finirebbe per escludere la possibilità per ogni azienda di difendersi da abusi dolosi e/o colposi posti in essere all'interno della propria struttura. Terzo motivo di appello: violazione e falsa applicazione dell'art. 115 c.p.c. e dell'art. 4 della legge 20 maggio 1970, n. 300 nel punto in cui la sentenza ha ritenuto che l'ammissione da parte dell'appellato dei fatti oggetto della contestazione disciplinare non comportasse il superamento dell'inutilizzabilità dei fatti asseritamente appresi in violazione dell'art. 4 della legge 20 maggio 1970, n. 300. Con il terzo motivo l'appellante contesta il capo della sentenza nella parte in cui ha affermato che neppure l'ammissione da parte dell'appellato dei fatti contestati potesse superare l'eventuale illegittimità delle indagini aziendali, immotivatamente discostandosi dal principio secondo il quale, laddove vi sia stata conferma, da parte del lavoratore, degli addebiti contestati, la questione circa l'utilizzabilità delle prove, in ipotesi assunte in violazione dell'art. 4 dello Statuto dei Lavoratori, è da intendersi superata. Infatti, è proprio l'appellato ad aver ammesso di aver inoltrato a vari soggetti delle comunicazioni inerenti alla sua attività lavorativa. Pertanto, le ammissioni fornite dal lavoratore, avendo contenuto di riconoscimento della verità di fatti sfavorevoli alla parte dichiarante, hanno valore di confessione stragiudiziale ai sensi degli artt. 2734 e 2735 c.c., come tale revocabile solo per errore di fatto o violenza (che, semmai, avrebbero dovuto essere dedotti e dimostrati da controparte, che però nulla ha dedotto e chiesto di provare in merito ed è ormai definitivamente decaduta dal farlo). Sicché dette attestazioni, avendo piena efficacia di prova legale, sono vincolanti quanto alle indicazioni in esse contenute e preclusive della prova contraria per testi. Quarto motivo di appello: violazione e falsa applicazione dell'art. 3 del decreto legislativo 4 marzo 2025, n. 23 per avere la sentenza, dopo avere affermato che la violazione dell'art. 4 dello statuto dei lavoratori comporti la “insussistenza del fatto materiale contestato” ai sensi dell'art. 3, comma 2, del decreto legislativo 4 marzo 2015, n. 23, ha omesso di ritenere necessariamente applicabile il relativo regime sanzionatorio (ossia la reintegrazione) e, non avendo l'appellato in primo grado chiesto l'applicazione di detto regime, ha omesso di rigettare il ricorso per carenza della domanda. Con tale motivo l'appellante contesta l'inutilizzabilità “di tutti i dati illegittimamente acquisiti” con la conseguenza, sotto il profilo prettamente processuale, della “insussistenza del fatto contestato” di cui, appunto, all'art. 3, comma 2, del Decreto 4 marzo 2015, n. 23, elemento che avrebbe dovuto comportare – ai sensi e per gli effetti dello stesso Decreto Legislativo -
[5] l'applicazione del conseguente regime sanzionatorio ossia la reintegrazione e la sanzione dell'indennità da 6 a 36 mensilità; ma, preso atto che, nel ricorso, non era stata svolta la domanda di reintegrazione, il giudice di primo grado avrebbe dovuto rigettare il ricorso per assenza della corretta domanda. Quinto motivo di appello: violazione e falsa applicazione dell'art. 3, comma 1, del decreto legislativo 4 marzo 2015, n. 23, per avere la sentenza quantificato l'indennità risarcitoria in misura (15 mensilità) eccessiva rispetto ai parametri fissati dalla corte costituzionale con sentenza dell'8 novembre 2018, n. 194 e comunque in contraddizione con detti parametri. Con il quinto motivo l'appellante chiede una rideterminazione dell'indennità risarcitoria riconosciuta al dipendente (15 mensilità). In particolare, la società, richiamando i criteri della ridotta anzianità lavorativa (meno di 3 anni, essendo l'appellato stato assunto il 14 dicembre 2020 e licenziato il 28 novembre 2023) e dell'età anagrafica (32 anni), conclude chiedendo la riduzione di tale indennità, secondo i parametri fissati dalla Corte Costituzionale. In ogni caso, ribadita la necessità di qualificare il licenziamento sorretto da giusta causa, l'appellante chiede che il giudice converta il provvedimento datoriale in un
“licenziamento per giustificato motivo soggettivo”, sulla scorta dei medesimi fatti oggetto di contestazione.
Con memoria, depositata il 20.11.2024, si è costituito il lavoratore, chiedendo il rigetto dell'appello. Sul primo motivo di gravame, l'appellato, preliminarmente, rileva che la privacy policy consisteva in una serie di documenti, suddivisi in articoli, scritti in lingua inglese. Tale contenuto è contrario ai principi enucleati dal giudice di primo grado ossia che “la messa a disposizione di informazioni non pertinenti o sovrabbondanti genera, di fatto, disinformazione;
sicché l'informazione, intanto potrà risultare “adeguata”, in quanto risulti completa, pertinente, chiara e intellegibile”. Appurato che detta policy non avesse un contenuto “pienamente adeguato” e addirittura non soddisfacesse i principi di “esaustività, completezza, pertinenza e chiarezza”, l'appellato si sofferma sulle modalità con le quali detta informativa è stata portata a conoscenza dei dipendenti e, in particolare, di come lui ne sia venuto a conoscenza. Correttamente il giudice di primo grado ha ritenuto che la pubblicazione della policy sull'intranet aziendale non sarebbe sufficiente, diversamente da quanto avviene per il codice disciplinare. Ciò in virtù del fatto che il codice disciplinare ricalca, nei fatti, le previsioni del CCNL, a differenza della privacy policy, documento che ha lo scopo di preavvertire i lavoratori di “verifiche datoriali destinate potenzialmente a determinare un'invasione nella privacy del dipendente oltremodo severa, e a consentire un vero e proprio monitoraggio delle attività e delle informazioni, con raccolta dei relativi dati”. Tornando al caso di specie l'appellante non ha dimostrato che l'appellato abbia mai consultato il sito web contenente la policy né che lo stesso abbia mai ricevuto
[6] l'e-mail del 26.01.2023 indirizzata all'indirizzo con copia Email_1 conoscenza indirizzata a e a , Email_2 Email_3 nonostante l'indirizzo del lavoratore sia sempre stato , per di Email_4 più l'e-mail del 26.01.2023, non include tra i propri allegati la policy prodotta da controparte né fa menzione alla pubblicazione di una nuova policy sull'intranet aziendale. Sul secondo motivo di appello, quanto all'inesistenza di validi presupposti che legittimassero il controllo difensivo da parte di , il giudice ha correttamente Pt_1 rilevato che le circostanze che avrebbero fatto sorgere detto legittimo sospetto attenevano tutte, esclusivamente, a presunti inadempimenti e negligenze nello svolgimento dell'attività lavorativa e concernevano la normale attività lavorativa, rispetto alla quale i controlli devono essere necessariamente realizzati nel rispetto dell'art. 4 Statuto dei Lavoratori. Sul terzo motivo di appello, concordemente a quanto statuito dal giudice di primo grado, l'appellato ribadisce che l'ammissione, da parte del lavoratore, dei fatti oggetto della contestazione non può in alcun modo considerarsi “sanante” dei vizi afferenti al contenuto della policy e la sua effettiva conoscenza o conoscibilità. Se per assurdo il comportamento del lavoratore venisse qualificato in termini di confessione, essa, per essere apprezzabile deve essere libera e non ottenuta, come nel caso di specie, in violazione di norme inderogabili. Sulla quarta censura, l'appellante assume vi sia un rapporto di alternatività tra i primi due commi dell'art. 3 del Dlgs 23/2015. In realtà, dal tenore letterale della norma, il lavoratore può richiedere sia la reintegrazione (perché in possesso, come rilevato dal giudice di primo grado, dei requisiti specifici di cui al secondo comma) sia la più generale tutela di cui al comma 1. Sul quinto motivo, l'appellato insiste nella conferma della sentenza di primo grado in quanto, in virtù della giovane età anagrafica e professionale del ricorrente e delle grandi dimensioni aziendali, un'indennità di 15 mensilità, peraltro pari a meno della metà del massimo di legge, è da ritenersi del tutto congrua.
All'udienza di discussione la causa è stata decisa come da dispositivo in calce.

MOTIVI DELLA DECISIONE L'appellante ha censurato la sentenza qui impugnata per distinti ordini di ragioni: in primo luogo, per aver il Giudice di primo grado ritenuta l'inutilizzabilità dei dati acquisiti tramite controllo sulla posta elettronica aziendale per asserita inadeguatezza delle modalità con cui l'informativa è stata portata a conoscenza dell'appellato; in secondo luogo, per avere il Giudice ingiustamente ritenuto indimostrato il legittimo sospetto che giustificava i c.d. controlli difensivi pur in presenza di condotte da ritenersi, quanto meno potenzialmente, illecite;
in terzo luogo, per aver il Tribunale ritenuto che l'ammissione da parte del lavoratore degli stessi fatti contestati non potesse nondimeno comportare l'utilizzabilità degli stessi;
in quarto luogo, per aver il giudice applicato il regime sanzionatorio
[7] indennitario (quantificando l'indennità risarcitoria nell'eccessiva misura di 15 mensilità) - nonostante la violazione dell'art. 4 S.L. comportasse la “insussistenza del fatto materiale contestato” ai sensi dell'art. 3, comma 2, del decreto legislativo 4 marzo 2015, n. 23 - invece di rigettare il ricorso in mancanza della proposizione della corretta domanda reintegratoria.
L'appello è infondato per tutte le ragioni di seguito precisate. Il primo Giudice, dopo aver correttamente ricostruito i dati normativi (da ritenersi in questa sede integralmente richiamati), si è attenuto ai principi vigenti in materia di controlli del datore di lavoro sulla posta elettronica aziendale dei dipendenti. Il Collegio è consapevole della complessità della questione e delle diverse soluzioni elaborate dalla dottrina e dalla giurisprudenza e non ha la pretesa in questa sede di affrontare in modo esaustivo tutti i profili critici della compatibilità della disciplina sulla privacy con quella giuslavoristica. Il punto di partenza dev'essere ricercato nel novellato art. 4 dello Statuto dei Lavoratori secondo cui “Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 19”. Tale norma che vieta l'utilizzo di strumenti tecnologici per l'esclusiva finalità di controllo sul lavoro svolto dal dipendente si applica esclusivamente ai dispositivi esterni all'azienda (ad esempio telecamere di sorveglianza). I pc aziendali, invece, risultano esclusi dall'ambito di applicazione della norma in quanto strumenti necessari per l'adempimento della prestazione: il comma 2, infatti, statuisce che “La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze”. Non vi possono essere, infatti, dubbi sulla qualificazione di "strumento di lavoro" della posta elettronica aziendale, oggetto dei controlli, essendo essa, pacificamente, funzionale alla prestazione lavorativa. In questi casi la disciplina vigente prevede l'esclusione delle procedure di garanzia di cui all'art. 4, comma 1, per tali controlli. Tuttavia, l'utilizzabilità del risultato di tali controlli "a tutti i fini connessi al rapporto di lavoro", compresi quindi quelli disciplinari, è subordinata, secondo il comma 3 dello stesso art. 4, alla "condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal D.Lgs. 30 giugno 2003, n. 196".
In linea di massima, si ritiene di condividere l'impostazione recentemente avallata dalla Suprema Corte (vedi Cass., 22.09.2021, n. 25732) che ha posto la distinzione tra i controlli difensivi in senso lato e in senso stretto, precisando che
[8] i primi (i controlli a difesa del patrimonio aziendale) “riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro che li pone a contatto con tale patrimonio, controlli che dovranno necessariamente essere realizzati nel rispetto delle previsioni dell'art. 4 novellato in tutti i suoi aspetti”, mentre i c.d. “controlli difensivi in senso stretto” sono “diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se questo si verifica durante la prestazione di lavoro”. La Suprema Corte ritiene che “questi ultimi controlli, anche se effettuati con strumenti tecnologici, non avendo ad oggetto la normale attività del lavoratore, si situino, anche oggi, all'esterno del perimetro applicativo dell'art. 4. […] Inoltre, …, per essere in ipotesi legittimo, il controllo 'difensivo in senso stretto' dovrebbe quindi essere mirato, nonché attuato ex post, ossia a seguito del comportamento illecito di uno o più lavoratori del cui avvenuto compimento il datore abbia avuto il fondato sospetto, sicché non avrebbe ad oggetto l'attività – in senso tecnico – del lavoratore medesimo”. In particolare, in materia di controlli difensivi in senso stretto, la Cassazione, Sez. Lavoro, n. 18168 del 26.6.2023 ha confermato come il controllo “difensivo in senso stretto” deve essere “mirato” ed “attuato ex post”, ossia “a seguito del comportamento illecito di uno o più lavoratori del cui avvenuto compimento il datore abbia avuto il fondato sospetto”, perché solo a partire “da quel momento” il datore può provvedere alla raccolta di informazioni utilizzabili (Cass. n. 25732/2021 cit., punti 40 e 44)”. Sostanzialmente, se ne desume che, affinché il datore di lavoro possa accedere alla e-mail del dipendente, e quindi nella sua sfera coperta dalle garanzie costituzionali, occorre che il controllo sia mirato e avvenga ex post, ossia a seguito del fondato sospetto che il lavoratore abbia posto in essere un comportamento illecito. Oltre a ciò, occorrerà verificare contestualmente che siano stati ottemperati gli adempimenti in ambito privacy di informazione e trasparenza nei confronti del personale aziendale ricavabili dal Codice della privacy e dal Regolamento UE n. 2016/679. In caso di controlli illeciti, in mancanza d'un fondato sospetto o con modalità illegittime, i relativi risultati sono “inutilizzabili”. Il datore di lavoro deve pertanto verificare la liceità dell'accesso alle e-mail, valutando la corretta base giuridica del trattamento e “la sussistenza dei presupposti di liceità stabiliti dall'art. 4 della l. 20 maggio 1970, n. 300, cui fa rinvio l'art. 114 del Codice, nonché il rispetto delle diposizioni che vietano al datore di lavoro di acquisire e comunque trattare informazioni non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore o comunque afferenti alla sua sfera privata (art. 8 della l. 20 maggio 1970, n. 300 e art. 10 d.lgs. 10 settembre 2003, n. 276, cui fa rinvio l'art. 113 del Codice)”. In merito a ciò, nel provvedimento n. 8 dell'11 gennaio 2023 del Garante, l'Autorità specifica come “[…] il legittimo interesse a trattare dati personali per difendere un proprio diritto in giudizio non possa comportare un aprioristico
[9] annullamento del diritto alla protezione dei dati personali riconosciuto agli interessati considerato, tra l'altro, che il contenuto dei messaggi di posta elettronica – come pure i dati esteriori delle comunicazioni e i file allegati – riguardano forme di corrispondenza assistite da garanzie di segretezza tutelate anche costituzionalmente, […]”.
Il datore di lavoro, nella sua veste di titolare del trattamento dei dati personali dell'interessato, è tenuto a rispettare i principi generali del trattamento (in particolare, gli artt. 5, 24 e 25 del Regolamento) e a porre in essere tutti gli adempimenti previsti dalle disposizioni normative in materia di protezione dei dati personali (tra i quali si vedano gli artt. 12, 13, 14, 30, 32 e 35 del Regolamento), anche con riguardo alla necessità di fornire agli interessati in modo corretto e trasparente una chiara rappresentazione del complessivo trattamento effettuato, consentendo agli stessi di disporre di tutti gli elementi informativi essenziali previsti dal Regolamento e di essere pienamente consapevoli, prima che il trattamento abbia inizio, delle caratteristiche dello stesso. Tale consapevolezza si può realizzare solo se al dipendente sono state fornite sia una idonea informativa privacy, sia un regolamento sull'uso della posta elettronica aziendale, che indichi i limiti dell'utilizzo di tale strumento ed i potenziali controlli che potranno essere effettuati dal datore e le relative e graduali modalità con cui tali controlli verranno posti in essere.
Ciò premesso, occorre esaminare la fattispecie oggetto di causa. L'appellante ha sostenuto la legittimità dei controlli sulla posta elettronica del dipendente, assumendo, da un lato, la conoscenza da parte del lavoratore della policy aziendale pubblicata sul portale intranet e, dall'altro, l'insorgenza di sospetti in capo al dipendente afferenti svariati inadempimenti (emissione di fatture per lavori in realtà non svolti a favore di clienti). Tale prospettazione non è fondata sotto vari profili. Innanzitutto, in adesione a quanto sostenuto dal primo giudice, l'informativa – attenendo a diritti primari – dev'essere comunicata direttamente e personalmente al lavoratore che deve attestare di averla ricevuta. A tal fine il dipendente dev'essere messo in grado, con strumenti efficienti, di prendere cognizione dell'informativa in modo completo e trasparente, non potendo affidare al dipendente l'onere di rintracciare in tutti i documenti aziendali l'informativa della privacy ed il regolamento dell'uso della posta elettronica La versione, infatti, pubblicata sul sito aziendale non è immediatamente conoscibile, ma subordina la sua visibilità alla scelta del lavoratore di visionare proprio quella pagina web. Non è sufficiente, quindi, dare atto della pubblicazione sull'intranet aziendale dell'informativa, ma occorre dimostrare di aver comunicato in modo adeguato al lavoratore tale fondamentale pubblicazione, invitando il dipendente a prenderne visione.
[10] Non trovandosi, invero, difronte ad un mero obbligo formale, occorre che il datore di lavoro (quale titolare del trattamento dei dati) si faccia parte diligente affinchè il dipendente possa venire effettivamente a conoscenza dell'informativa della privacy e prenderne visione. Ciò non è avvenuto nella specie perché il generico riferimento, contenuto nell'e- mail (inviata, peraltro, ad una casella postale aziendale diversa da quella in uso esclusivo del sig. ) alla pubblicazione sull'intranet aziendale di un documento CP_1
– insieme ad altri – in lingua inglese, privo di traduzione in italiano (senza alcun'altra precisazione) non può soddisfare il necessario paradigma della trasparenza e della completezza dell'informazione, considerato altresì che il lavoratore ha sostenuto di non conoscere la lingua inglese (deduzione rimasta incontestata o, quantomeno, priva di prova contraria). La conoscenza effettiva è elemento indispensabile che non può essere sostituita da situazioni non comparabili. Anche l'eventuale obbligo contrattuale, assunto dal dipendente al momento dell'assunzione, di conoscere tutte le circolari pubblicate sul sito intranet, non assume carattere dirimente in quanto l'eventuale inadempimento a tale impegno, se può far sorgere un'eventuale responsabilità disciplinare, non può, in alcun modo, 'sanare' i controlli disposti unilateralmente dal datore di lavoro integranti un'interferenza nella privacy del lavoratore in assenza della "condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal D.Lgs. 30 giugno 2003, n. 196". La società appellante non ha, pertanto, dimostrato che il proprio dipendente, sig.
, abbia effettivamente preso visione dell'informativa della privacy. CP_1
Conseguentemente, il controllo, effettuato sulla posta elettronica dell'appellante in assenza di una condizione essenziale, non può essere ritenuto legittimo.
Quanto all'inesistenza di ulteriori validi presupposti che legittimassero il controllo difensivo da parte di , il primo giudice ha correttamente rilevato che le Pt_1 circostanze che avrebbero fatto sorgere il 'fondato sospetto' (richiesto, peraltro, nell'informativa aziendale) attenevano tutte, esclusivamente, a presunti inadempimenti e negligenze nello svolgimento dell'attività lavorativa, concernenti, per definizione, la normale attività lavorativa del lavoratore, rispetto alla quale i controlli devono essere necessariamente realizzati nel rispetto dell'art. 4 Statuto dei Lavoratori. Il principio è confermato dalla giurisprudenza (ex multis Cass. 18168/2023 e Cass. 25732/2021). Occorre nella specie ribadire che il controllo difensivo strictu sensu è giustificato solamente se effettuato ex post, in modo mirato, a seguito di precisi e fondati sospetti circa la commissione da parte del lavoratore di condotte illecite. Ad avviso del Collegio, un mero inadempimento non può costituire condotta 'illecita' la quale – per essere tale – deve pregiudicare interessi che esulano da
[11] quello del datore di lavoro di pretendere una corretta, puntuale e diligente esecuzione delle mansioni lavorative. Per condotte illecite si intendono, invero, condotte plurioffensive quali furti, danneggiamenti, percosse, truffe, vessazioni ai danni di altri soggetti, atti di concorrenza sleale, sviamento di clientela, violazioni del divieto di riservatezza, divulgazioni di informazioni segrete, etc. I fondati sospetti debbono avere ad oggetto gravi condotte, dovendo escludersi che un ordinario inadempimento (integrato, ad es., come nella specie, da un utilizzo dello strumento lavorativo per fini privati in contrasto con un divieto posto dal datore di lavoro, oppure da una mancata prestazione lavorativa) possa determinare quella gravità che legittima il ricorso ad un controllo difensivo. La società appellante, anche in questa sede, non ha chiarito il motivo per cui il sospetto della mancata o parziale esecuzione di alcuni servizi appaltati, coordinati del sig. , dovesse necessariamente richiedere e prevedere il controllo CP_1
(difensivo) della posta elettronica del dipendente. Ciò è tanto vero che l'esito di tale controllo, lungi dal fornire risposte circa la corretta esecuzione dei progetti affidati al sig. (a cui si riferivano le fatture CP_1 contestate), ha condotto invece ad evidenziare asserite inadempienze circa la gestione della posta elettronica aziendale, costituite dall'inoltro da parte del sig.
di alcune e-mail a soggetti estranei (che nulla hanno a che fare con le CP_1 vicende oggetto di monitoraggio). Un simile modus operandi non può essere ammesso, contrastando con le condizioni poste dall'ordinamento. Il controllo difensivo infatti risulta essere stato attivato a fronte del sospetto (sorto non si comprende su quali 'fondati' elementi investigativi) di meri inadempimenti (non caratterizzati, cioè, da quella gravità propria delle condotte illecite) che, peraltro, non hanno avuto alcun riscontro oggettivo, essendo emerse altre irregolarità, neppure ipotizzate al momento dell'avvio del controllo della posta elettronica del lavoratore, anch'esse sussumibili in meri inadempimenti, non essendo emerso in modo inequivocabile né la riservatezza del contenuto di dette e-mail, né la divulgazione di segreti aziendali. Su quest'ultimo aspetto, l'appellato ha ribadito le proprie giustificazioni (vedi pag. 12 e segg. n. 1-6), precisando, in relazione alle e-mail contestate, che:
-G WA era un cliente di rapporto comune a e a Be-boost, società Pt_1 riconducibile al sig. e che i documenti inoltrati dal lavoratore all'indirizzo CP_1 di Be-boost erano, invero, destinati a quest'ultimo fin dal principio;

- i dati erano stati condivisi su altro indirizzo e-mail riconducibile sempre al sig. ; CP_1
- il documento, contenente informazioni riguardanti il ricorrente e non l'azienda, è stato in ogni caso condiviso su un indirizzo di posta elettronica riconducibile al lavoratore e non verso un indirizzo generico e fuori dalla sua sfera di controllo;

- la mail inviata in data 29 agosto 2023 ai signori e Controparte_3 Per_1 non contiene, in tutta evidenza, alcun dato sensibile ma dati facilmente
[...] reperibili in canali istituzionali;

[12] - il sig. (CCO di Linkalab srl) era un cliente di e che la Per_2 Pt_1 documentazione gli era stata inoltrata per consentirgli di aiutare a Pt_1 sviluppare l'infrastruttura digitale, trattandosi di un progetto di startup Orbiter e di EY NO (le due piattaforme sviluppate per con le risorse coordinate Pt_1 dallo stesso sig. ). E' stato proprio il sig. a specificare al suo CP_1 CP_1 destinatario che trattasi di documenti riservati da trattare come tali, omettendo di condividerli al di fuori del team di;
Pt_1
- nessuna presentazione di eventi formativi interni è mai stata inoltrata all'esterno dal sig. dato che il file non è mai stato scaricato poiché si trovava sullo CP_1
SharePoint aziendale al quale non era consentito l'accesso a terzi non autorizzati. A fronte di tali puntuali giustificazioni la datrice di lavoro (sulla quale incombeva il relativo onere probatorio) non ha fornito sicuri elementi contrari che potessero convalidare le contestazioni disciplinari, dimostrando in modo inoppugnabile l'avvenuta dispersione di documenti riservati e segreti con grave nocumento della società, indicando il verificarsi (o prospettando il rischio concreto) di eventuali conseguenze pregiudizievoli derivanti dalle asserite violazioni.
Con riferimento al terzo motivo di appello, il Collegio – richiamando la giurisprudenza sopra citata – ribadisce che, in caso di controlli illeciti, in mancanza d'un fondato sospetto o con modalità illegittime, i relativi risultati sono inutilizzabili. L'ammissione, da parte del lavoratore, dei fatti oggetto della contestazione, non può in alcun modo considerarsi, come preteso dall'appellante, “sanante” dei vizi genetici afferenti al contenuto della policy, la sua effettiva conoscenza o conoscibilità e alla sussistenza dei requisiti per attivare i controlli difensivi. La Cassazione, in particolare, ha ritenuto corretta la sentenza di questa Corte che, accertata l'assenza delle condizioni di legge fissate dal citato art. 4 S.L., “ha
… escluso l'utilizzabilità dei dati raccolti, con la conseguenza del venir meno dell'intera base fattuale della contestazione disciplinare” (Cass., 22/09/2021, n.25731). Legittimare ex post le condotte poste in essere in aperta violazione con lo Statuto dei Lavoratori significherebbe di fatto frustrarne la ratio, a maggior ragione nei casi in cui l'ammissione del lavoratore è, come nel caso di specie, causalmente connessa proprio con il comportamento illecito datoriale. Quelli dedotti dalla società appellante ed ottenuti per mezzo di un controllo illecito non sono “meri fatti storici” ma i presupposti causali posti alla base di un licenziamento. Non si può tollerare che le ammissioni del lavoratore, ottenute in aperta violazione dello Statuto dei Lavoratori, siano valutate prescindendo totalmente dal modo in cui le stesse sono state ottenute.
In ogni caso, nella specie, il lavoratore, lungi dal confessare di aver commesso i fatti contestati, ha escluso motivatamente che l'inoltro delle e-mail integrassero una violazione dell'obbligo di riservatezza: peraltro, solo questo profilo – se
[13] provato – avrebbe potuto avere una qualche rilevanza, a differenza del fatto di aver violato le regole aziendali circa le modalità di inoltro delle e-mail aziendali. Quest'ultimo aspetto, infatti, integrante semmai un semplice inadempimento, non è in grado di integrare una giusta causa di recesso e, quindi, di giustificare l'applicazione della più grave sanzione espulsiva, considerata, altresì, l'assenza di precedenti disciplinari in capo all'appellato.
La quarta censura è infondata. Il Giudice, essendo vincolato alle domande delle parti, non può provvedere ultra petita. Conseguentemente, nell'ipotesi in cui l'accertamento della illegittimità del licenziamento potrebbe condurre, come nella specie, all'applicazione della tutela reale, il Giudice, qualora il lavoratore si sia limitato a chiedere l'inferiore tutela indennitaria, non potrà che accordare – in presenza dei presupposti legali – la tutela (inferiore) richiesta dal ricorrente (in quanto da ritenersi ricompresa in quella maggiore) e giammai rigettare il ricorso per carenza della domanda. Correttamente, quindi, il Tribunale, visto il tenore delle domande esplicate dal sig.
e riscontrata l'illegittimità del licenziamento per insussistenza dei fatti CP_1 contestati, ha accolto la domanda di condanna del datore di lavoro al pagamento dell'indennità risarcitoria prevista dal comma 1 dell'art. del Dlgs 23/2015.
Anche l'ultima censura è infondata. Il primo Giudice ha quantificato l'indennità così motivando: “ferma l'estinzione del rapporto, dovendosi tener conto di un parametro commisurato tra un minimo di sei e un massimo di trentasei mensilità, e avere riguardo dei criteri di quantificazione previsti dalla legge (in primis, in ossequio all'insegnamento della Consulta, dell'anzianità della ricorrente), si ritiene equo condannare al Parte_1 pagamento di un'indennità non assoggettata a contribuzione previdenziale di importo pari a quindici mensilità dell'ultima retribuzione di riferimento per il calcolo del trattamento di fine rapporto, oltre interessi e rivalutazione dal dovuto al saldo. Alla suddetta quantificazione il giudicante perviene tenendo senz'altro conto della ridotta anzianità lavorativa e della giovane età anagrafica del dipendente, ma valorizzando altresì il vizio genetico del procedimento disciplinare e le dimensioni aziendali”. Le doglianze dell'appellante sono del tutto generiche e non cercano neppure di analizzare i criteri applicati dal tribunale sulla base di una interpretazione aderente al dettato normativo e giurisprudenziale, prospettando, eventualmente, differenti approdi in considerazione delle particolarità della fattispecie concreta. A fronte della compiuta motivazione della quantificazione dell'indennizzo, parte appellante nulla eccepisce rispetto ai criteri applicati dal Giudice di prime cure (anzianità lavorativa, giovane età anagrafica del lavoratore, valorizzazione del vizio genetico e dimensioni aziendali) né eccepisce che sia stato violato l'onere di specifica motivazione sul punto, limitandosi a dolersi genericamente dell'asserita infondatezza del licenziamento.
[14] Il Collegio ritiene che la motivata quantificazione effettuata dal primo Giudice meriti conferma in quanto rispettosa dei criteri legali e pienamente rispondente all'esigenza di equità del caso concreto.
Per tutti i motivi sopra esposti, l'appello dev'essere rigettato con conseguente integrale conferma della sentenza impugnata.
Le spese del grado sono poste a carico della parte soccombente e liquidate come da dispositivo, in ragione della controversia e delle tabelle dei compensi professionali di cui al DM n. 55 del 10 marzo 2014, come modificato dal decreto 8-3-2018, n. 37.


P.Q.M.


Rigetta l'appello avverso la sentenza n. 3809/2024 del Tribunale di Milano;
condanna l'appellante al pagamento delle spese del grado liquidate in euro 3.500,00 oltre spese generali ed accessori di legge;
dichiara la sussistenza dei presupposti per il versamento, da parte dell'appellante, dell'ulteriore importo a titolo di contributo unificato di cui all'art. 13 comma 1-quater del DPR n. 115/2002 così come modificato dall'art. 1 comma 17 della L. 24.12.2012 n. 228. Milano, il 10 dicembre 2024
IL PRESIDENTE IL RELATORE
(dott. Roberto Vignati) (dott. Giovanni Casella)
[15]