Sentenze · IT, AI & Data Protection

Il Tribunale di Pisa ha respinto il ricorso di una dipendente licenziata per giusta causa per aver omesso, per oltre un anno, di comunicare al datore di lavoro che il figlio minorenne ricopriva un ruolo apicale in una società fornitrice, in potenziale conflitto di interessi.

Il controllo sulla casella e-mail aziendale, disposto dopo l'emersione di un fondato sospetto e circoscritto con parole chiave e limiti temporali, è stato qualificato come legittimo "controllo difensivo in senso stretto", estraneo al perimetro dell'art. 4 Stat. Lav., a condizione che riguardi dati successivi all'insorgere del sospetto e che la lavoratrice sia stata previamente informata (nel caso di specie, dal 18.10.2021) tramite policy aziendale idonea.

Il Giudice ha ritenuto irrilevante, ai fini dell'utilizzabilità della prova, l'illecito amministrativo di data retention rilevato dal Garante Privacy.

Respinta anche la tesi del licenziamento ritorsivo, non avendo la ricorrente provato l'intento vendicativo come causa esclusiva del recesso.

La Corte di Cassazione con sentenza n. 6433 del 18 marzo 2026 è recentemente intervenuta su una vicenda legata al diritto all’oblio e alla responsabilità di un motore di ricerca per la mancata deindicizzazione tempestiva di contenuti online.

Il caso riguardava una persona coinvolta in un procedimento penale, concluso senza condanna, la quale aveva chiesto a Google la rimozione dai risultati di ricerca di alcuni articoli che riportavano ancora quella vicenda.

Il Tribunale di Roma, pur riconoscendo che la società aveva violato il diritto all’oblio, poiché aveva tardato a rimuovere alcuni contenuti, aveva tuttavia respinto la richiesta di risarcimento del danno, ritenendo che non fosse stata fornita una prova sufficiente del pregiudizio subito.

La Cassazione ha cassato questa decisione, ritenendo che la motivazione del Tribunale inadeguata e solo apparente. In particolare, i giudici di legittimità hanno sottolineato che, una volta accertata la violazione del diritto all’oblio, il giudice di merito avrebbe dovuto valutare in modo più approfondito le circostanze del caso, considerando elementi come la diffusione delle notizie, la loro natura e il possibile impatto sulla reputazione dell’interessato, ed ha altresì evidenziato come il danno possa essere provato anche tramite presunzioni, senza necessità di una prova diretta.

Per questi motivi, la Cassazione ha accolto il ricorso, ha annullato la sentenza e ha rinviato il caso al Tribunale di Roma, in persona di un diverso Magistrato, che dovrà riesaminare la questione.

La divulgazione di dati personali di un lavoratore, quali nome, cognome, data di nascita, qualifica e posizione economica, l'informazione relativa alla condizione di salute, il numero dei giorni di malattia usufruiti negli ultimi tre anni e il numero dei giorni di assenza per malattia usufruita con la indicazione specifica delle date della propria inabilità totale al lavoro, e della data di collocamento in pensione, effettuata tramite pubblicazione “in chiaro” nell’Albo Comunale di una sentenza resa tra parti i un giudizio per mobbing avanti il Giudice del lavoro, costituiscono una palese violazione del trattamento di dati sensibili della dipendente, anche se la finalità della comunicazione era quella di ottemperare agli obblighi di trasparenza previsti ai sensi degli artt. 183 e 194 comma 1, lett. a D.Lgs n. 267 del 2000.

I passaggi più significativi:

• I dati sensibili idonei a rivelare lo stato di salute possono essere trattati soltanto mediante modalità organizzative, quali tecniche di cifratura o criptatura che rendono non identificabile l'interessato. Ne consegue che i soggetti pubblici o le persone giuridiche private, anche quando agiscano rispettivamente in funzione della realizzazione di una finalità di pubblico interesse o in adempimento di un obbligo contrattuale, sono tenuti all'osservanza delle predette cautele nel trattamento dei dati in questione (Cass. Civ., SSUU, n. 30981 del 2017)
• Costituisce diffusione di un dato sensibile quella relativa all'assenza dal lavoro di un dipendente per malattia, in quanto tale informazione, pur non facendo riferimento a specifiche patologie, è comunque suscettibile di rivelare lo stato di salute dell'interessato (Cass. civ. Sez. I n. 18980 del 2013)
• Il danno non patrimoniale da lesione della privacy consiste, allora, anzitutto nella illecita - perché effettuata in assenza del consenso del titolare - diffusione pubblica di dati personali, sui quali l'individuo vanta un diritto alla riservatezza
• La pubblicazione dei dati personali nell'Albo del Comune, ivi compreso quello on-line, di un piccolo territorio è fonte di sicuro disagio e integra danno non patrimoniale.

Nello scorso mese di ottobre una sentenza della Corte di Strasburgo ha avuto particolare risonanza mediatica.

Il caso all'origine della pronuncia (sentenza 17 ottobre 2019 sui ricorsi 1874/13 e 8567/13) risale al 2009, quando il direttore di un supermercato spagnolo in provincia di Barcellona, rilevando irregolarità tra stock di magazzino e vendite e una rilevante perdita negli incassi nell'arco di cinque mesi (circa 82mila euro), decise di far installare alcune telecamere a circuito chiuso, sia visibili (alle uscite) che nascoste (puntate sulle casse).

Le videoriprese portarono alla luce una serie di furti di merci da parte del personale e, conseguentemente, al licenziamento per motivi disciplinari di diversi cassieri o addetti alle vendite.

Alcuni di questi dipendenti, nonostante il Tribunale nazionale avesse dichiarato legittimo il recesso, hanno adito la Corte Europea dei Diritti dell’Uomo per fare accertare la lesività dei loro diritti visto che non erano stati informati preventivamente della sorveglianza.

Per i giudici della Corte europea invece non vi era stata alcuna violazione nei loro confronti in quanto i Giudici delle corti spagnole chiamati a decidere la legittimità dei licenziamenti avevano «attentamente bilanciato» i diritti dei dipendenti sospettati di furto e quelli del datore di lavoro, effettuando un esame approfondito delle ragioni della videosorveglianza. E la mancata notifica preventiva dell’installazione delle telecamere, nonostante sia prevista dalle norme interne iberiche, era da ritenersi giustificata dal «ragionevole sospetto» di una grave colpa dei cassieri e dall'entità della perdita economica subita dal supermercato a causa dei furti.

La Corte deliberava così che un datore di lavoro può installare delle telecamere nascoste per la videosorveglianza senza avvertire i propri dipendenti qualora abbia il fondato sospetto che questi lo stiano derubando e se le perdite subite per la loro condotta sono ingenti, senza che tutto ciò costituisca violazione del diritto alla privacy.

Il Garante per la protezione dei dati personali ha emanato un comunicato stampa in data 17.10.19 a commento della pronuncia. Si legge che:

"La sentenza della Grande Camera della Corte di Strasburgo se da una parte giustifica, nel caso di specie, le telecamere nascoste, dall'altra conferma però il principio di proporzionalità come requisito essenziale di legittimazione dei controlli in ambito lavorativo.

L'installazione di telecamere nascoste sul luogo di lavoro è stata infatti ritenuta ammissibile dalla Corte solo perché, nel caso che le era stato sottoposto, ricorrevano determinati presupposti: vi erano fondati e ragionevoli sospetti di furti commessi dai lavoratori ai danni del patrimonio aziendale, l'area oggetto di ripresa (peraltro aperta al pubblico) era alquanto circoscritta, le videocamere erano state in funzione per un periodo temporale limitato, non era possibile ricorrere a mezzi alternativi e le immagini captate erano state utilizzate soltanto a fini di prova dei furti commessi.

La videosorveglianza occulta è, dunque, ammessa solo in quanto extrema ratio, a fronte di "gravi illeciti" e con modalità spazio temporali tali da limitare al massimo l'incidenza del controllo sul lavoratore. Non può dunque diventare una prassi ordinaria.

Il requisito essenziale perché i controlli sul lavoro, anche quelli difensivi, siano legittimi resta dunque, per la Corte, la loro rigorosa proporzionalità e non eccedenza: capisaldi della disciplina di protezione dati la cui "funzione sociale" si conferma, anche sotto questo profilo, sempre più centrale perché capace di coniugare dignità e iniziativa economica, libertà e tecnica, garanzie e doveri ".