Controllo a distanza e DLP: la tutela del patrimonio ex art. 4 St. Lav.

La difesa della legittimità dei dati raccolti tramite sistemi DLP (Data Loss Prevention) in assenza di accordo sindacale o autorizzazione dell'Ispettorato del Lavoro deve necessariamente poggiare sulla distinzione tra "controllo a distanza dell'attività lavorativa" e "controlli difensivi in senso stretto", nonché sulla corretta qualificazione dello strumento ai sensi dell'art. 4, comma 2, L. 300/1970 1[Norme sulla tutela della liberta' e dignita' dei lavoratori, della liberta' sindacale e dell'attivita' sindacale, nei luoghi di lavoro e norme sul collocamento. ]L. 300/1970, art. 4… Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalita' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. ….

Ecco i principali argomenti difensivi e i profili di criticità desumibili dalla normativa e dalla giurisprudenza di legittimità:

1. La qualificazione del DLP come "Strumento di lavoro" (Art. 4, comma 2, Stat. Lav.)

La prima linea difensiva consiste nel sostenere che il sistema DLP rientri tra gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa 1[Norme sulla tutela della liberta' e dignita' dei lavoratori, della liberta' sindacale e dell'attivita' sindacale, nei luoghi di lavoro e norme sul collocamento. ]L. 300/1970, art. 4… Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalita' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. …. Ai sensi del comma 2 dell'art. 4, tali strumenti non necessitano di accordo sindacale preventivo 2Cass. civ. sez. L, Ordinanza n. 04936/2025… 15094/2018 circa il ricorso ad agenzie investigative; h) d’altronde, come bene ha ritenuto il Tribunale, ai sensi del co. 2 dell’art. 4 L. n. 300/1970 la disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere ….

• Argomentazione: Poiché il DLP è intrinseco alla sicurezza dell'infrastruttura su cui il dipendente opera (specialmente in una società software), esso può essere considerato un elemento necessario all'erogazione della prestazione in sicurezza.
• Limite: La giurisprudenza è rigorosa nell'escludere da questa categoria quegli strumenti che vengono "modificati" o "aggiunti" per finalità di controllo non strettamente funzionali all'esecuzione tecnica del lavoro 3Cass. civ. sez. L, Sentenza n. 30822/2025… La Corte di merito, premesso che le riprese oggetto di causa erano state effettuate tramite impianti di controllo a distanza autorizzati dall’Ispettorato del Lavoro ai sensi dell’art. 4 della legge n. 300/1970 nel testo antecedente alle modifiche introdotte dal d. lgs n. 151/2015 e che in base all’autorizzazione ….

2. La teoria dei "Controlli Difensivi" post-reato

Un pilastro della difesa può essere la natura "difensiva" del controllo, mirata a tutelare il patrimonio aziendale da illeciti. Tuttavia, la Cassazione ha recentemente chiarito che:

• Controlli difensivi "in senso stretto": Sono legittimi anche senza i requisiti dell'art. 4 solo se attivati ex post, ossia dopo l'insorgere di un fondato sospetto di un illecito già in corso o commesso 3Cass. civ. sez. L, Sentenza n. 30822/2025… La Corte di merito, premesso che le riprese oggetto di causa erano state effettuate tramite impianti di controllo a distanza autorizzati dall’Ispettorato del Lavoro ai sensi dell’art. 4 della legge n. 300/1970 nel testo antecedente alle modifiche introdotte dal d. lgs n. 151/2015 e che in base all’autorizzazione …4Cass. civ. sez. L, Ordinanza n. 37326/2022… il ricorrente ha dedotto violazione degli artt. 15 disp. prel. c.c., 102, lett. b) d.lgs. 112/1998, 2106 c.c., 7 l. 300/1970, per mancato rispetto del principio di specificità della contestazione e di immediatezza del recesso, sulla premessa di abrogazione implicita della normativa disciplinare del r.d. ….
• Controlli difensivi "potenziali": Se il sistema DLP opera un monitoraggio continuo e preventivo, esso ricade pienamente nell'art. 4, comma 1, richiedendo l'accordo sindacale anche se la finalità è la tutela del patrimonio 1[Norme sulla tutela della liberta' e dignita' dei lavoratori, della liberta' sindacale e dell'attivita' sindacale, nei luoghi di lavoro e norme sul collocamento. ]L. 300/1970, art. 4… Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalita' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. …5Cass. civ. sez. L, Sentenza n. 31778/2021… allo svolgimento delle predette prove di esame imponesse l'osservanza delle procedure di cui all'art 4, co. 2, L. 300/1970, nel caso di specie non rispettate. 2. La sentenza è stata impugnata dal Ministero con due motivi, resistiti da controricorso di USB. ….

3. L'adempimento dell'obbligo di informativa (Art. 4, comma 3 e GDPR)

Anche laddove lo strumento fosse considerato "di lavoro" o finalizzato alla sicurezza, i dati sono utilizzabili a fini disciplinari solo se è stata data al lavoratore adeguata informazione circa le modalità d'uso degli strumenti e l'effettuazione dei controlli 1[Norme sulla tutela della liberta' e dignita' dei lavoratori, della liberta' sindacale e dell'attivita' sindacale, nei luoghi di lavoro e norme sul collocamento. ]L. 300/1970, art. 4… Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalita' d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. ….

• Informativa Privacy: L'assenza di una policy chiara che specifichi la presenza del DLP e la possibilità di controlli sui log rende il trattamento illecito e i dati inutilizzabili 6Cass. civ. sez. L, Ordinanza n. 15391/2024… lavorative del 4 e del 5 febbraio 2019. 3.1. Considerava, allora, che, rispetto al disposto di cui all’art. 4 L. n. 300/1970, come modificato dall’art. 23 d.lgs. n. 151/2015, mentre erano utilizzabili i dati derivanti dalla geolocalizzazione …7Cass. civ. sez. L, Sentenza n. 28365/2025… doveva considerarsi illecita. 1.2. Il secondo motivo denuncia la violazione e falsa applicazione dell’art. 4 L. 300/1970, del D.lgs. n.196/2003 e dell’art. 13 G.D.P.R. (Regolamento U.E. 2016/679), deducendo l’illegittimità ….
• Trasparenza: È fondamentale dimostrare che il controllo non è stato "occulto", ma basato su procedure note al dipendente 5Cass. civ. sez. L, Sentenza n. 31778/2021… allo svolgimento delle predette prove di esame imponesse l'osservanza delle procedure di cui all'art 4, co. 2, L. 300/1970, nel caso di specie non rispettate. 2. La sentenza è stata impugnata dal Ministero con due motivi, resistiti da controricorso di USB. ….

4. Il bilanciamento tra Art. 88 GDPR e Tutela del Patrimonio

Il richiamo alla tutela del patrimonio aziendale (derivante anche dall'obbligo di fedeltà ex art. 2105 c.c. 8Codice CivileCodice Civile, art. 2105Art. 2105. (Obbligo di fedelta'). Il prestatore di lavoro non deve trattare affari, per conto proprio o di terzi, in …) deve confrontarsi con i principi di proporzionalità e necessità previsti dal Codice Privacy e dal GDPR 9Codice in materia di protezione dei dati personali ((, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE)).D.Lgs. 196/2003, art. 1141. Resta fermo quanto disposto dall' articolo 4 della legge 20 maggio 1970, n. 300 .10Cass. civ. sez. L, Ordinanza n. 13873/2023… considerare l’effettiva collocazione normativa della strumentazione biometrica, prima della modifica dell’art. 4 L. n. 300/1970 ad opera dell’art. 23 d.lgs. n. 151/2015. In tal senso, ha preso in esame una serie di provvedimenti adottati dal Garante per la protezione dei dati personali (cfr. ….

• Se il sistema DLP ha raccolto dati in modo massivo e indiscriminato prima che sorgesse il sospetto specifico, il Garante e le Corti tendono a considerarlo un controllo a distanza vietato 3Cass. civ. sez. L, Sentenza n. 30822/2025… La Corte di merito, premesso che le riprese oggetto di causa erano state effettuate tramite impianti di controllo a distanza autorizzati dall’Ispettorato del Lavoro ai sensi dell’art. 4 della legge n. 300/1970 nel testo antecedente alle modifiche introdotte dal d. lgs n. 151/2015 e che in base all’autorizzazione …10Cass. civ. sez. L, Ordinanza n. 13873/2023… considerare l’effettiva collocazione normativa della strumentazione biometrica, prima della modifica dell’art. 4 L. n. 300/1970 ad opera dell’art. 23 d.lgs. n. 151/2015. In tal senso, ha preso in esame una serie di provvedimenti adottati dal Garante per la protezione dei dati personali (cfr. ….
• La difesa deve puntare sulla specificità dell'illecito: se il log del DLP ha semplicemente "confermato" un sospetto sorto da altre evidenze (es. segnalazioni esterne o anomalie nei database), la sua utilizzabilità è più facilmente sostenibile 11Cass. civ. sez. L, Ordinanza n. 04379/2026… lavorativa; 1.2. il secondo motivo deduce: “Violazione dell’art. 360, n. 3, c.p.c., degli artt. 2697 c.c., 7 L. 300/1970 e 112, 115 c.p.c. nonché del dovere di iudicare secundum allegata et probata in relazione alla sola dedotta ….

Sintesi per la strategia difensiva:

1. Dimostrare il "Sospetto Specifico": Provare che il controllo sui log del DLP è stato mirato e attivato solo a seguito di indizi di sottrazione di dati o violazione dell'obbligo di fedeltà 4Cass. civ. sez. L, Ordinanza n. 37326/2022… il ricorrente ha dedotto violazione degli artt. 15 disp. prel. c.c., 102, lett. b) d.lgs. 112/1998, 2106 c.c., 7 l. 300/1970, per mancato rispetto del principio di specificità della contestazione e di immediatezza del recesso, sulla premessa di abrogazione implicita della normativa disciplinare del r.d. ….
2. Verificare la Policy Aziendale: Produrre in giudizio l'informativa consegnata al dipendente che autorizzava il monitoraggio degli asset aziendali per fini di sicurezza 6Cass. civ. sez. L, Ordinanza n. 15391/2024… lavorative del 4 e del 5 febbraio 2019. 3.1. Considerava, allora, che, rispetto al disposto di cui all’art. 4 L. n. 300/1970, come modificato dall’art. 23 d.lgs. n. 151/2015, mentre erano utilizzabili i dati derivanti dalla geolocalizzazione ….
3. Proporzionalità: Sostenere che il sistema DLP non monitorava l'attività lavorativa (il "come" lavorava), ma esclusivamente l'integrità dei dati aziendali (la "sicurezza del patrimonio") 3Cass. civ. sez. L, Sentenza n. 30822/2025… La Corte di merito, premesso che le riprese oggetto di causa erano state effettuate tramite impianti di controllo a distanza autorizzati dall’Ispettorato del Lavoro ai sensi dell’art. 4 della legge n. 300/1970 nel testo antecedente alle modifiche introdotte dal d. lgs n. 151/2015 e che in base all’autorizzazione ….

Senza un accordo sindacale, la difesa è percorribile solo se si riesce a dimostrare che il controllo è stato un atto eccezionale e mirato a fronte di un illecito, e non un monitoraggio silente e costante della prestazione ordinaria.