Inchiesta sullo smart working fittizio e controlli digitali: l'utilizzabilità dei dati di log-in come prova

1. Il fatto

   La vicenda trae origine da un'articolata indagine della Guardia di Finanza di Milano, coordinata dal PM Paolo Storari, che ha messo sotto esame il modello operativo di società quali Accenture Services s.r.l. e altre realtà del settore. Il procedimento si trova attualmente nella fase di conclusione delle indagini preliminari per l'ipotesi di truffa aggravata per il conseguimento di erogazioni pubbliche. Secondo l'impostazione accusatoria, le imprese avrebbero fruito della cosiddetta Decontribuzione Sud attestando formalmente che i dipendenti svolgevano le proprie prestazioni in regime di smart working da regioni del Mezzogiorno, laddove gli stessi lavoravano stabilmente presso le sedi di Milano o dell'hinterland. Il perno dell'impianto probatorio risiede nell'incrocio tra le dichiarazioni contributive trasmesse all'INPS e i dati di traffico informatico. Gli inquirenti hanno esaminato gli indirizzi IP e i metadati di connessione ai server aziendali, riscontrando una sistematica discrepanza tra la localizzazione geografica dichiarata e quella effettiva. Tale meccanismo avrebbe generato un indebito risparmio contributivo per milioni di euro, determinando l'adozione di imponenti sequestri preventivi confermati in sede di riesame. Ulteriori profili d'indagine concernenti la protezione dei dati personali e il diritto alla disconnessione sono trattati in contributi dedicati.

2. 

   Le norme in gioco

   Il quadro normativo di riferimento si articola su tre direttrici fondamentali che regolano il rapporto tra organizzazione aziendale e rispetto della legalità:

   1. L'art. 640-bis c.p. (Truffa aggravata per il conseguimento di erogazioni pubbliche), che punisce chiunque, con artifizi o raggiri, induca in errore l'ente pubblico per conseguire un ingiusto profitto, con pene edittali fino a sette anni di reclusione.
   2. L'art. 4, comma 2, della Legge n. 300/1970 (Statuto dei Lavoratori), il quale stabilisce che le disposizioni sui controlli a distanza non si applicano agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa, rendendo astrattamente accessibili al datore di lavoro i dati di log-in.
   3. Il D.Lgs. n. 231/2001, che disciplina la responsabilità amministrativa degli enti, prevedendo sanzioni pecuniarie e interdittive qualora il reato di truffa sia commesso nell'interesse o a vantaggio della società in assenza di modelli organizzativi idonei a prevenirlo. La piena efficacia probatoria di tali elementi presuppone l'osservanza degli obblighi d'informativa previsti dal Codice della Privacy, in quanto l'omessa comunicazione preventiva al dipendente circa l'uso dei dati può compromettere l'utilizzabilità della prova.

3. Cosa dice la giurisprudenza

   La giurisprudenza di legittimità ha consolidato l'orientamento secondo cui i dati estratti dagli strumenti di lavoro sono pienamente utilizzabili ove diretti all'accertamento di illeciti penali.

   1. In materia di controlli difensivi, la Corte di Cassazione ha chiarito che il datore di lavoro può monitorare l'attività digitale per tutelare il patrimonio aziendale da condotte delittuosa, superando le garanzie procedurali dell'art. 4 dello Statuto dei Lavoratori qualora il controllo sia effettuato ex post e mirato all'accertamento di uno specifico illecito.
   2. La giurisprudenza lavoristica adotta un approccio più rigoroso: ove il controllo sia diretto a verificare il mero adempimento dell'orario di lavoro, esso rimane subordinato all'accordo sindacale o all'autorizzazione dell'Ispettorato del Lavoro.
   3. Con riferimento alla truffa contributiva, l'orientamento prevalente ritiene che la falsa indicazione del luogo di prestazione nei flussi informativi inviati all'INPS integri gli estremi del reato, in quanto priva l'ente della possibilità di verificare la sussistenza dei presupposti per la concessione del beneficio. Permane il rispetto del principio di proporzionalità, che impone di limitare l'analisi dei dati IP a quanto strettamente necessario per la prova della condotta fraudolenta, senza travalicare in una sorveglianza generalizzata della sfera privata.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   Dall'esame della vicenda discendono indicazioni operative essenziali per la gestione della compliance aziendale:

   1. Aggiornare tempestivamente l'informativa sulla privacy, specificando espressamente che i dati di log-in possono essere trattati per finalità di tutela del patrimonio e di verifica della regolarità contributiva.
   2. Integrare i modelli organizzativi ex D.Lgs. n. 231/2001 con flussi di controllo incrociati tra la localizzazione dichiarata ai fini delle agevolazioni e i dati tecnici di connessione.
   3. Distinguere rigorosamente tra controlli sull'adempimento della prestazione (vietati se occulti) e controlli difensivi (ammessi a fronte di condotte illecite), precostituendo idonea documentazione circa i presupposti dell'indagine interna.
   4. Ponderare l'impianto probatorio: in sede penale, il solo dato informatico relativo all'IP potrebbe richiedere ulteriori riscontri testimoniali o documentali circa l'effettiva presenza fisica del lavoratore.

Riferimenti: Art. 640-bis c.p.Art. 4 Legge 300/1970D.Lgs. 231/2001Legge 81/2017

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 2 settembre 2026