Quando la Sicurezza Informatica è Preventiva
Licenziamento Legittimo per Divulgazione di Dati Aziendali: la Chiave è l’Informativa Preventiva
La Corte di Cassazione, con la recente sentenza n. 28365 del 27 ottobre 2025, ha ribadito un principio fondamentale: il controllo a distanza dei computer aziendali è legittimo se la policy interna è chiara, preventiva e comunicata ai dipendenti.
L’importanza della Policy Aziendale
La vicenda riguarda un dipendente licenziato per aver divulgato in modo massivo dati personali, informazioni e documenti aziendali.
Il datore di lavoro ha potuto dimostrare la correttezza della propria condotta grazie a un elemento decisivo: l’esistenza di una policy aziendale sull’utilizzo delle dotazioni informatiche, adeguatamente diffusa e sottoscritta dal personale.
Tale policy definiva in modo trasparente:
- le regole d’uso degli strumenti informatici aziendali;
- la possibilità di effettuare verifiche e controlli in caso di anomalie, nel rispetto della normativa vigente;
- la facoltà di applicare sanzioni disciplinari in caso di comportamenti non conformi.
Questa accortezza ha consentito all’azienda di acquisire legittimamente dati relativi anche a un periodo precedente al primo alert dei sistemi informatici, dimostrando la sistematicità della condotta del lavoratore.
Le indagini hanno evidenziato una violazione di proporzioni eccezionali:
- oltre 54.000 accessi in poco più di sei mesi;
- l’invio di oltre 10 milioni di record contenenti dati sensibili, informazioni lavorative e documenti contabili;
- la trasmissione verso 125 indirizzi e-mail esterni.
Secondo la Cassazione, tale condotta ha esposto la società a seri rischi sanzionatori da parte del Garante Privacy e ha compromesso in modo irreparabile il vincolo fiduciario tra azienda e lavoratore.
I giudici hanno sottolineato come il dipendente abbia dimostrato un “disinteresse per i doveri di fedeltà e diligenza, e una consapevole, intenzionale e persistente violazione delle regole aziendali”, giustificando pienamente il licenziamento.
Le Implicazioni per le Aziende
La sentenza rafforza un principio cardine:
in presenza di una policy aziendale chiara, diffusa e accettata, che informi in modo specifico sulle modalità di controllo e rispetti la normativa sulla privacy e lo Statuto dei Lavoratori, il datore di lavoro può legittimamente condurre verifiche a distanza e sanzionare le violazioni dei doveri fondamentali del dipendente.
In questo scenario, la sicurezza informatica preventiva diventa la prima forma di tutela.
Disporre di un sistema strutturato di gestione della sicurezza, conforme agli standard ISO 9001 e ISO 27001, rappresenta non solo un vantaggio competitivo ma anche una garanzia di controllo e protezione del patrimonio informativo aziendale.
Anche l’allineamento alle best practice di tali norme, senza necessariamente ottenere la certificazione, contribuisce a mantenere elevato il livello di sicurezza.
Con la propria esperienza e competenza nei progetti di governance, risk management e cybersecurity, Crowe Bompani si conferma un partner serio e affidabile, in grado di supportare le aziende nella definizione di policy efficaci, nell’implementazione di sistemi di sicurezza informatica e nella conformità normativa.