Diritto del Lavoro

L’accesso non autorizzato alla posta elettronica altrui, quando si accompagna all’utilizzazione della casella per inviare comunicazioni apparentemente provenienti dal suo titolare, non costituisce una semplice deviazione dalle regole informatiche interne. Esso altera l’identità funzionale mediante la quale l’organizzazione attribuisce dichiarazioni, decisioni e responsabilità. La Sentenza della Corte Suprema di Cassazione Sezione Lavoro n. 24241/2026 pubblicata il 30/07/2026 consente pertanto di leggere il licenziamento disciplinare non come reazione alla mera violazione di una credenziale digitale, ma come risposta alla compromissione intenzionale dell’affidabilità dell’intero sistema comunicativo. La condotta esaminata comprendeva l’accesso a caselle elettroniche altrui, la conoscenza di corrispondenza riservata e l’invio, attraverso l’account di un soggetto diverso, di messaggi dal contenuto anche diffamatorio.

Il nucleo della questione non coincide, dunque, con la posta elettronica intesa quale contenitore di dati. La casella assegnata nell’ambito di un’organizzazione è anche uno strumento di imputazione: ciò che da essa viene trasmesso è normalmente attribuito al titolare, produce affidamento nei destinatari e può orientare comportamenti, valutazioni e decisioni. Entrare nella posta di un altro soggetto significa violarne la sfera informativa; scrivere da quella casella significa appropriarsi della sua voce istituzionale. La seconda condotta possiede una qualità ulteriore, perché non si limita a sottrarre conoscenza, ma introduce nel circuito organizzativo una falsa rappresentazione dell’autore della comunicazione.

È precisamente questa alterazione dell’imputazione a spiegare perché l’illecito possa assumere una gravità espulsiva. Il rapporto di lavoro non si regge soltanto sull’esecuzione della prestazione principale. Esso presuppone che le parti non manipolino deliberatamente gli strumenti attraverso i quali l’attività viene documentata, comunicata e attribuita. Nell’ambiente digitale, l’obbligo di fedeltà acquista così una dimensione informativa: richiede che l’identità elettronica altrui non venga utilizzata per produrre effetti che il titolare non ha voluto, che le comunicazioni riservate non siano acquisite abusivamente e che i canali organizzativi non siano trasformati in mezzi di aggressione personale o reputazionale.

La rottura fiduciaria non deriva, in questa prospettiva, dal solo carattere offensivo del messaggio. Il contenuto diffamatorio aggrava la condotta, ma la lesione strutturale si manifesta già nella sostituzione dell’autore reale con un autore apparente. Anche una comunicazione formalmente neutra, se inviata mediante l’appropriazione dell’account altrui, potrebbe incidere profondamente sull’affidamento organizzativo. La deviazione argomentativa è rilevante: concentrare l’attenzione esclusivamente sulle parole utilizzate rischia di oscurare il fatto che la falsificazione della provenienza costituisce essa stessa una manipolazione del processo decisionale e relazionale.

L’identità digitale, infatti, non è un semplice riflesso tecnologico dell’identità personale. All’interno di una struttura complessa essa opera come dispositivo di autenticazione sociale. Il destinatario non verifica, per ciascuna comunicazione, chi abbia materialmente premuto il tasto di invio; confida nella corrispondenza tra account e titolare. Questa presunzione pratica rende possibile la rapidità degli scambi, ma espone il sistema a una vulnerabilità specifica. Chi dispone abusivamente delle credenziali altrui può creare documenti apparentemente autentici, generare conflitti, compromettere reputazioni e orientare reazioni sulla base di una provenienza inesistente.

La decisione valorizza indirettamente tale dimensione quando riconosce la tenuta della valutazione di proporzionalità formulata nei precedenti gradi di giudizio. Le condotte erano state considerate incompatibili con la prosecuzione del rapporto per la grave violazione dell’obbligo di fedeltà, per la preordinazione dell’azione e per l’intenzione di arrecare pregiudizio. Non emerge, quindi, un automatismo secondo cui qualsiasi accesso irregolare determinerebbe necessariamente il licenziamento. Emerge, piuttosto, un criterio qualitativo: la sanzione espulsiva diviene coerente quando l’accesso abusivo si inserisce in una sequenza consapevole di acquisizione, sostituzione identitaria e utilizzazione dannosa del canale informatico.

La premeditazione svolge, sotto questo profilo, una funzione decisiva. L’illecito digitale può essere istantaneo nella sua esecuzione, ma complesso nella sua progettazione. La ripetizione degli accessi, la selezione della casella, la conoscenza di comunicazioni non destinate all’autore dell’intrusione e l’impiego dell’account per trasmettere messaggi a nome altrui rivelano una condotta difficilmente riconducibile a disattenzione, inesperienza o uso improprio occasionale. Il comportamento assume la forma di una strategia di interferenza con l’identità comunicativa di altri soggetti e, attraverso essa, con il funzionamento dell’organizzazione.

La proporzionalità della sanzione deve allora essere valutata considerando non soltanto il danno già verificatosi, ma anche la capacità della condotta di distruggere l’affidamento futuro. Dopo l’accertamento di un uso intenzionalmente abusivo delle caselle elettroniche altrui, la questione non riguarda più soltanto la sicurezza delle singole credenziali. Riguarda la possibilità di confidare che gli strumenti informatici, le informazioni riservate e le identità funzionali saranno rispettati anche quando l’accesso tecnico sia materialmente possibile. La fiducia giuridicamente rilevante non coincide con un sentimento soggettivo; rappresenta la ragionevole aspettativa che il rapporto possa proseguire senza esposizione a comportamenti analoghi.

In tale quadro acquista significato anche il rapporto tra procedimento penale e procedimento disciplinare. La pronuncia chiarisce che l’accertamento disciplinare non dipende necessariamente dalla formazione di un giudicato penale. Le risultanze raccolte in altra sede possono essere utilizzate come prove atipiche, purché il giudice proceda a una valutazione autonoma e le sottoponga al contraddittorio. La sentenza penale non definitiva non opera, quindi, come comando vincolante, ma può documentare elementi istruttori suscettibili di essere apprezzati nel giudizio relativo al rapporto di lavoro.

Questa autonomia impedisce di sovrapporre responsabilità penale e responsabilità disciplinare. La prima risponde alle condizioni tipiche stabilite dalle norme incriminatrici; la seconda valuta la compatibilità della condotta con gli obblighi e con la permanenza del vincolo fiduciario. Un fatto può non condurre a una condanna definitiva e conservare, nondimeno, un’elevata rilevanza disciplinare. Simmetricamente, il richiamo a una decisione penale non esonera dall’individuare quali condotte risultino provate, quale obbligo sia stato violato e perché la loro gravità impedisca la prosecuzione del rapporto.

Nel caso esaminato, la ricostruzione dei fatti era stata fondata anche sugli elementi tecnici relativi alla provenienza degli accessi e delle comunicazioni. La rilevanza disciplinare non discendeva dall’etichetta formale attribuita all’esito penale, ma dalla verifica che determinate caselle erano state utilizzate senza autorizzazione, che vi erano stati accessi reiterati e che alcune comunicazioni erano state conosciute o trasmesse attraverso una falsa imputazione soggettiva. La Corte ha ritenuto che l’apprezzamento operato nei gradi di merito non fosse una ricezione passiva della pronuncia penale, ma una valutazione delle circostanze da essa documentate.

La distinzione è essenziale anche sul piano della gestione organizzativa. Una contestazione disciplinare costruita esclusivamente sul richiamo a un procedimento penale presenta una struttura fragile, perché sostituisce la qualificazione interna dell’illecito con l’attesa dell’esito esterno. Diversamente, la contestazione che descrive gli accessi, individua le caselle coinvolte, ricostruisce la provenienza tecnica delle operazioni, precisa le comunicazioni inviate e collega tali elementi agli obblighi violati conserva autonomia e intelligibilità. Il procedimento può così misurare il significato fiduciario del comportamento senza dipendere integralmente dalla qualificazione penalistica.

La stessa nozione di tempestività deve confrontarsi con la natura degli illeciti informatici. La mera percezione di un’anomalia non coincide necessariamente con l’acquisizione di una notizia circostanziata. Un messaggio disconosciuto dal titolare della casella può segnalare un problema, ma non identifica automaticamente l’autore materiale dell’accesso. L’avvio consapevole dell’azione disciplinare richiede un grado informativo sufficiente a formulare un addebito determinato e difendibile. Per questa ragione il momento rilevante non può essere anticipato a una fase nella quale esista soltanto il sospetto dell’intrusione, privo di elementi idonei a collegare il fatto a una persona determinata.

L’equilibrio è delicato. Da un lato, la complessità dell’accertamento digitale non può diventare un alibi per ritardare indefinitamente la contestazione. Dall’altro, la tempestività non può essere trasformata nell’obbligo di procedere sulla base di intuizioni o dati tecnici ancora equivoci. La qualità della notizia disciplinare dipende dalla sua capacità di rappresentare il fatto nella materialità essenziale: chi ha effettuato l’accesso, mediante quale utenza, con quale frequenza, su quale casella e con quali conseguenze. È questa soglia conoscitiva, non la semplice scoperta dell’anomalia, a rendere concretamente esercitabile il potere disciplinare.

La pronuncia assume rilievo anche in relazione alla competenza dell’organo disciplinare. Nel pubblico impiego contrattualizzato, la garanzia centrale non consiste nella cristallizzazione assoluta delle regole interne di composizione, ma nella salvaguardia della terzietà organizzativa e del diritto di difesa. Le sostituzioni rese necessarie da situazioni di conflitto non determinano automaticamente l’invalidità della sanzione, quando non risultino compromesse l’imparzialità della funzione e la possibilità dell’interessato di conoscere e contrastare gli addebiti. La forma organizzativa resta importante, ma deve essere letta secondo la funzione di garanzia che è chiamata a svolgere.

Progressivamente, la vicenda rende visibili alcune conseguenze operative. La sicurezza della posta elettronica non può essere affidata soltanto alla segretezza della password. Occorrono sistemi che consentano di ricostruire gli accessi, distinguere le utenze, individuare anomalie e conservare dati tecnici affidabili. La disponibilità di registrazioni coerenti assume valore non solo preventivo, ma anche probatorio. Senza una corretta tracciabilità, l’organizzazione può percepire l’abuso e non essere in grado di attribuirlo; può conoscere il contenuto di una comunicazione falsa e non riuscire a dimostrarne la provenienza.

L’adozione di autenticazioni rafforzate, la limitazione degli accessi privilegiati, la tempestiva disattivazione delle credenziali non necessarie e la conservazione proporzionata dei registri informatici contribuiscono a ridurre il rischio. Tuttavia, la tecnologia non sostituisce la chiarezza regolativa. Deve risultare inequivoco che la possibilità materiale di accedere a una casella non equivale ad autorizzazione giuridica, che la conoscenza occasionale di una credenziale non consente di utilizzarla e che l’impiego dell’account altrui altera la riferibilità delle comunicazioni anche quando non produca un immediato danno economico.

Nella fase disciplinare, la ricostruzione dovrebbe separare analiticamente l’accesso, la presa di conoscenza, l’eventuale estrazione dei contenuti, l’invio di messaggi e la falsa attribuzione della loro paternità. Questi elementi possono concorrere nella medesima condotta, ma possiedono un diverso peso. La precisione consente di evitare formule generiche, rende effettivo il diritto di difesa e permette di motivare la proporzionalità della sanzione sulla base della concreta combinazione tra intenzionalità, reiterazione, posizione delle caselle coinvolte, contenuto delle comunicazioni e capacità lesiva del comportamento.

Il principio espresso dalla sentenza n. 24241/2026 non va quindi ridotto alla formula secondo cui entrare nella posta elettronica di colleghi o soggetti collocati ai vertici comporta sempre il licenziamento. La conclusione è più articolata e, proprio per questo, più incisiva. Il licenziamento può risultare pienamente legittimo quando l’accesso abusivo non rappresenti un’irregolarità marginale, ma divenga strumento di appropriazione dell’identità digitale altrui, di conoscenza illecita della corrispondenza e di invio di messaggi falsamente attribuiti, anche offensivi o diffamatori. In simili condizioni, la violazione investe contemporaneamente riservatezza, lealtà, autenticità documentale e affidabilità delle relazioni interne.

La posta elettronica si conferma così un’infrastruttura fiduciaria. Proteggerla significa tutelare non soltanto i dati che contiene, ma la credibilità dell’intero sistema di attribuzione delle comunicazioni. Quando un dipendente utilizza l’account altrui per parlare a suo nome, l’organizzazione non subisce esclusivamente un accesso non consentito: perde la certezza che le proprie comunicazioni corrispondano alla volontà dei soggetti cui sono formalmente riferite. È in questa perdita di autenticità, aggravata dall’intento di nuocere e dall’uso diffamatorio del canale, che la sanzione espulsiva trova la sua più solida giustificazione sistemica.

L’argomento viene trattato anche su studiocervellino.it

Autore: Avv. Francesco Cervellino