La crescente digitalizzazione dei processi aziendali ha profondamente trasformato l’organizzazione del lavoro, esponendo le imprese a nuove e sofisticate minacce informatiche. Tra queste, il phishing e le frodi di tipo BEC (Business Email Compromise) rappresentano oggi una delle principali fonti di perdita economica per le società.
In tale contesto, la giurisprudenza più recente ha tracciato un orientamento rigoroso: il lavoratore che, con condotta gravemente negligente, consenta il perfezionamento di una truffa informatica può essere destinatario non solo di un licenziamento per giusta causa, ma anche di un’azione risarcitoria per i danni patrimoniali subiti dall’azienda.
Il perno della responsabilità del prestatore di lavoro si rinviene nell’art. 2104 del Codice Civile, che impone al dipendente di adempiere la prestazione con la diligenza richiesta dalla natura dell’attività svolta.
Nell’attuale ecosistema digitale, tale obbligo non si esaurisce nella mera esecuzione tecnica delle mansioni. Chi opera in ambito amministrativo, contabile o finanziario è chiamato a esercitare un controllo consapevole e critico sulle disposizioni che comportino movimenti di denaro, soprattutto quando si tratta di bonifici verso conti esteri o di importi rilevanti.
La giurisprudenza tende a escludere che il dipendente possa limitarsi a eseguire automaticamente istruzioni ricevute via email. La verifica dell’autenticità del mittente, il controllo delle coordinate bancarie e la coerenza della richiesta rispetto alle procedure interne costituiscono oggi standard minimi di diligenza professionale.
Ignorare segnali evidenti di anomalia — quali indirizzi di posta elettronica alterati, richieste urgenti non documentate o variazioni improvvise delle coordinate di pagamento — può integrare gli estremi della colpa grave.
Qualora la negligenza del lavoratore determini una perdita economica significativa, il datore di lavoro può procedere al licenziamento per giusta causa ai sensi dell’art. 2119 c.c.
Il presupposto è la compromissione irreversibile del vincolo fiduciario. In particolare, quando il dipendente disattende procedure interne di sicurezza — come l’obbligo di doppia autorizzazione, la verifica documentale o il rispetto dei protocolli antifrode — la sua condotta assume una gravità tale da rendere insostenibile la prosecuzione del rapporto.
I giudici non valutano l’episodio come un mero errore tecnico, bensì come indice di un atteggiamento complessivo di trascuratezza verso il patrimonio aziendale. La superficialità nell’autorizzare un pagamento rilevante, in presenza di indicatori sospetti, è ritenuta incompatibile con i ruoli che comportano responsabilità finanziarie.
Accanto alla sanzione espulsiva può profilarsi una responsabilità civile per danno patrimoniale. Secondo l’orientamento consolidato della Corte di Cassazione, il lavoratore risponde personalmente quando il danno derivi da dolo o colpa grave.
Il fatto che il dipendente sia egli stesso vittima della frode non esclude automaticamente la responsabilità. Se la truffa si è perfezionata per effetto di una condotta gravemente imprudente — quale l’omissione di controlli basilari o la violazione delle procedure interne — l’azienda può agire per ottenere il ristoro delle somme perdute.
Non è decisivo, in tali casi, che il lavoratore non abbia tratto alcun vantaggio personale. Ciò che rileva è il nesso causale tra la sua condotta negligente e il pregiudizio economico subito dall’impresa.
Un argomento frequentemente invocato in sede difensiva è l’assenza di specifici corsi di formazione in materia di cybersecurity. Tuttavia, per i profili professionali qualificati, i giudici tendono a ritenere che la conoscenza dei rischi informatici elementari rientri nel bagaglio ordinario di competenze richieste.
Parimenti, la pressione psicologica derivante dall’urgenza — tipica delle tecniche di phishing — non costituisce esimente automatica. Il contesto lavorativo impone comunque l’adozione di verifiche minime, quali il controllo dell’IBAN, la validazione tramite canali alternativi o la richiesta di conferma ai superiori.
Elemento centrale nella valutazione giudiziale è anche la condotta tenuta dopo la scoperta della frode. L’immediata attivazione per contattare l’istituto bancario e tentare il blocco dell’operazione può attenuare il giudizio di gravità.
Al contrario, l’inerzia o il ritardo nell’informare i vertici aziendali aggrava la posizione del dipendente, rafforzando la percezione di scarsa affidabilità e di inadeguata tutela degli interessi datoriali.
La trasformazione digitale ha ampliato il perimetro del dovere di diligenza, imponendo al lavoratore una consapevolezza attiva dei rischi informatici. Il principio che emerge con chiarezza è che la sicurezza non è più esclusiva competenza dei reparti IT, ma responsabilità diffusa all’interno dell’organizzazione.
Nel bilanciamento tra tutela del lavoratore e salvaguardia del patrimonio aziendale, la giurisprudenza sembra orientata a valorizzare la professionalità e l’attenzione quali presupposti imprescindibili del rapporto fiduciario. In un contesto in cui un semplice clic può determinare la perdita di ingenti somme, l’errore non sempre è solo un incidente: può trasformarsi in illecito disciplinare e fonte di responsabilità economica personale.
info@difensorecivile.it
+39 349 580 9138