1. Inquadramento e fatti di causa

L’ordinanza in commento (Cass. n. 2806 del 5 febbraio 2025) affronta il tema della legittimità del licenziamento per giusta causa di un dipendente bancario che aveva effettuato accessi al sistema informatico dell’istituto, consultando posizioni di clienti in assenza di qualsiasi ragione di servizio. L’illecito è accertato tramite le registrazioni di log e i controlli interni di sicurezza; la banca contesta la condotta come violazione grave dei doveri di riservatezza e come comportamento oggettivamente idoneo a minare il vincolo fiduciario presupposto indefettibile del rapporto in ambito creditizio.

Il lavoratore impugna il recesso. In sintesi, le difese sviluppano tre linee: (i) minima offensività della condotta (accessi “sporadici”, senza diffusione esterna dei dati e senza utilizzo a fini di profitto); (ii) assenza di un danno concreto all’immagine dell’istituto; (iii) difetto di tipizzazione e mancata affissione/conoscibilità del codice disciplinare ex art. 7 St. lav., con conseguente illegittimità dell’intero procedimento sanzionatorio.

I giudici di merito – con motivazioni convergenti – ritengono provata la condotta e decisiva la sua intrinseca gravità rispetto al “nucleo duro” degli obblighi di correttezza e riservatezza nel lavoro bancario: anche a prescindere dalla prova di un pregiudizio patrimoniale o reputazionale, l’accesso immotivato a dati della clientela lede l’affidabilità professionale richiesta dal ruolo e la fiducia dell’istituto. Ne discende la conferma del licenziamento.

In Cassazione, il lavoratore censura – tra l’altro – la valutazione di proporzionalità e insiste sulla necessità del codice disciplinare (o della predeterminazione collettiva) per fondare la sanzione espulsiva. Domanda quindi la cassazione con rinvio della decisione.

2. La decisione della Cassazione: architravi argomentative

La Suprema Corte rigetta il ricorso, muovendo da tre capisaldi che strutturano l’intera motivazione.

2.1. Centralità del vincolo fiduciario nel lavoro bancario

La Corte rimarca che il settore creditizio è sorretto da un rapporto fiduciario qualificato: il lavoratore gestisce o può accedere a informazioni altamente sensibili (dati identificativi, posizioni, movimenti, talora assetti patrimoniali e familiari). Il solo accesso privo di causa di servizio integra violazione del dovere di riservatezza e manifesta inaffidabilità nella custodia del patrimonio informativo della banca, in sé idonee a far venir meno il presupposto della prosecuzione del rapporto. La lesione, in tal prospettiva, non richiede la prova di un danno ulteriore (economico o reputazionale).

2.2. Regola del “minimo etico” e (in)rilevanza dell’affissione del codice disciplinare

La Corte richiama il consolidato principio per cui non occorre l’affissione del codice disciplinare quando la condotta, per la sua intrinseca illiceità, sia immediatamente percepibile dal lavoratore come contraria ai doveri fondamentali di correttezza e buona fede: la consultazione abusiva dei conti altrui, in difetto di una istruzione o giustificazione di servizio, ricade in tale area di illecito “evidente”, il cui disvalore è auto‑evidente (regola del “minimo etico” disciplinare). La tipizzazione contrattuale o collettiva, in questi casi, non è condizione di legittimità della sanzione.

2.3. Proporzionalità “in re ipsa” in presenza di condotte che elidono la fiducia

La Corte ribadisce che l’apprezzamento di merito sulla proporzionalità – quando congruamente motivato – è insindacabile in legittimità. Nel caso concreto, la proporzione tra condotta e recesso discende dal tipo di illecito: l’intrusione nel patrimonio informativo della clientela scardina il presupposto fiduciario del lavoro bancario; non rileva che gli accessi siano “pochi”, né che non sia provata la diffusione esterna o un profitto: il rischio insito nella condotta e l’inaccettabile disallineamento tra poteri informatici e doveri di custodia integrano, da soli, il “fatto” di gravità espulsiva.

3. Precedenti espressamente richiamati

La motivazione si fonda – inter alia – sui seguenti precedenti di legittimità richiamati dalla stessa Corte:

• Cass., 34717/2021: l’accesso al sistema informatico aziendale per finalità estranee o non riconducibili al servizio non è fatto lieve; in ambito creditizio può legittimare la sanzione espulsiva per la rottura del vincolo fiduciario.
• Cass., 6893/2018: in tema di minimo etico disciplinare, non è necessaria l’affissione del codice per condotte manifestamente illecite e lesive di doveri fondamentali, essendo immediata la percezione della loro contrarietà all’ordinamento e al contratto.

La Corte valorizza tali arresti per ancorare, in termini di continuità sistematica, le tre regole-cardine: (i) gravità intrinseca dell’accesso indebito; (ii) superfluità della tipizzazione formale quando l’illecito è evidente; (iii) proporzionalità correlata alla natura del disvalore e non al numero o all’eventuale esito degli accessi.

4. Analisi tematica dei “nodi” della pronuncia

4.1. Riservatezza e “patrimonio informativo” dell’impresa bancaria

La decisione prende sul serio la natura e la qualità delle informazioni coinvolte. In banca, la riservatezza non è un mero corollario: è asset di business e capitale reputazionale. L’accesso indebito aggira le barriere organizzative (profilazioni, segregazione dei ruoli, logging, need‑to‑know) e svincola la condotta dalla finalità per cui il potere tecnico è conferito (la gestione della relazione con il cliente). Proprio questo scarto finalistico – e non l’uso di strumenti “leciti” in senso tecnico – connota l’illecito. La Corte registra che il fatto “accesso senza ragione di servizio” è sufficiente a realizzare la rottura fiduciaria.

Conseguenza pratica: nelle politiche interne e nel processo disciplinare assume rilievo decisivo la tracciabilità (log) degli accessi e la riconducibilità funzionale dell’attività svolta. Il datore non deve dimostrare il danno, ma la non pertinenza degli accessi rispetto al perimetro mansioni/istruzioni; è poi l’attitudine lesiva della condotta, per il solo rischio che genera, a saturare il giudizio di gravità.

4.2. Il “minimo etico” disciplinare: perché il codice non serve (qui)

L’art. 7 St. lav. imporrebbe, in via ordinaria, la conoscibilità delle regole disciplinari (codice affisso). La Cassazione, in coerenza con il precedente del 2018, richiama l’eccezione: per le condotte “ictu oculi” illecite – ossia contrarie a legge o a regole elementari di correttezza – non occorre la tipizzazione preventiva, perché nessun lavoratore diligente può ritenere lecito leggere i conti altrui senza ragioni di servizio. La disapprovazione sociale e professionale dell’atto, unita alla potenziale compromissione della fiducia del cliente nell’istituto, rendono superfluo il presidio formale dell’affissione. È qui che la nozione di “minimo etico” mostra la sua funzione garantistica al contrario: non per legittimare un arbitrio disciplinare, ma per preservare l’ordine minimo di lealtà che rende possibile l’organizzazione, specie nelle attività regolate.

4.3. Proporzionalità: quando la lesione è “in re ipsa”

L’obiezione difensiva – pochi accessi, nessun esito dannoso, nessuna diffusione – è neutralizzata sul piano sistematico. La Corte chiarisce che la proporzione non pesa “quanti” accessi, bensì “quale” condotta: invasiva del cuore della fiducia. La finalità aliena e la indebita curiosità (o peggio) spostano l’ago della bilancia verso l’incompatibilità con la prosecuzione del rapporto. Così letta, la proporzionalità opera come giudizio di conformità tra ruolo e comportamento: l’impiegato bancario che, senza giustificazione alcuna, “fruga” nel conto di un cliente nega in radice la stessa missione fiduciaria dell’istituto. Non rileva – ai fini dell’an della sanzione – che non sia provato un abuso ulteriore del dato.

4.4. Onere probatorio e funzione dei log aziendali

È interessante l’assetto dell’onere della prova: grava sulla banca dimostrare la condotta (accessi, utenza, timestamp) e la mancanza di giustificazione funzionale. Una volta assolto tale onere – tipicamente tramite registri di accesso e matrici di autorizzazione – diventa arduo sostenere una “licenza di consultazione” sganciata dalle mansioni. In ciò si coglie la coerenza della sentenza con i modelli organizzativi del settore: la sicurezza non è solo di rete, ma giuridica; e il suo fallimento tattico (l’accesso è avvenuto) non depotenzia il presidio disciplinare, anzi ne attiva la funzione correttiva.

4.5. Danno, pericolo e tutela dell’affidamento della clientela

La Cassazione ribadisce che l’illecito si consuma prima del danno: l’esposizione a rischio della sfera informativa del cliente è di per sé contraria al contenuto del sinallagma nel lavoro bancario. Nello schema fiducia‑fedeltà, la potenzialità lesiva basta a sorreggere l’estrema ratio espulsiva. Ciò non trasforma la disciplina in una responsabilità oggettiva del lavoratore: resta fermo l’onere datoriale di provare i fatti e di agganciarli all’alterità rispetto al servizio; ma una volta dimostrato che l’unico scopo è la curiosità o il vantaggio personale, la sanzione si giustifica “per ragione di ruolo”.

4.6. Linee di demarcazione: “banalità” dell’atto e difese di occasione

Non giova invocare la banalità dell’atto (“ho solo guardato l’anagrafica”, “non ho aperto i movimenti”). L’anagrafica è dato personale; la sola tracciabilità dell’accesso può risultare lesiva dell’aspettativa di confidenzialità del cliente. Né la motivazione valorizza la reiterazione come requisito: anche l’accesso singolo, in contesto bancario, comunica l’inaffidabilità di presidio del dato. Sul fronte soggettivo, non entra in gioco la colpa grave in senso civilistico: basta la consapevole inutilità di servizio dell’accesso (dolo o colpa in re ipsa, data la regola aurea “non si guarda ciò che non serve”).

5. Ricadute applicative e tenuta sistemica

Per i datori di lavoro (banche): la decisione legittima modelli disciplinari incentrati su logging, profilazione degli accessi, formazione e policy chiare: non per “criminalizzare” il click, ma per contenere il perimetro funzionale dell’informazione. In sede contenziosa, l’evidenza digitale (chi ha visto cosa, quando e perché non doveva) diventa spina dorsale del processo probatorio.

Per i lavoratori: la sentenza segnala una responsabilità a geometria variabile: quanto più sensibile è il patrimonio informativo gestito, tanto più stringenti sono i doveri di lealtà e correttezza. Non è un criterio punitivo, ma funzionale: chi è abilitato tecnicamente all’accesso è vincolato giuridicamente a non esercitarlo oltre scopo.

Per i giudici di merito: la pronuncia invita a maneggiare con cura l’argomento della “tenuità”: fuori da abusi manifesti del datore, la categoria risulta poco adatta a ridimensionare condotte che negano il senso della prestazione. La proporzionalità, qui, è misura dell’incompatibilità tra ruolo e atto, non del conteggio degli episodi.

6. Principio di diritto (desumibile)

«Nel rapporto di lavoro bancario, l’accesso ai dati della clientela senza correlazione con ragioni di servizio costituisce violazione grave dei doveri di riservatezza e correttezza e lede il vincolo fiduciario in modo irredimibile; ne consegue la legittimità del licenziamento per giusta causa, anche in assenza di danno concreto e senza necessità dell’affissione del codice disciplinare, ove l’illecito sia immediatamente percepibile come contrario al “minimo etico” dell’ordinamento e dell’organizzazione.»

7. Conclusioni critiche

La decisione non “alza” l’asticella punitiva: ricolloca la sanzione espulsiva nella sua natura di extrema ratio per condotte che negano il ruolo. Il valore aggiunto sta nel riequilibrio tra forma (tipizzazione, codici) e sostanza (illiceità evidente): quanto più il disvalore è intrinseco, tanto meno gli apparati formali diventano condizione di legittimità. Questo non scioglie il datore dall’onere di provare i fatti e di motivare la proporzione, ma conferma che, nel nucleo sensibile del rapporto bancario, l’uso arbitrario del potere di accesso “parla da sé”.

I precedenti richiamati (Cass. 34717/2021 e Cass. 6893/2018) offrono l’intelaiatura: il primo fissa la non lievità dell’accesso non funzionale; il secondo spiega perché, in siffatte ipotesi, l’affissione del codice disciplinare sia superflua. Su questo duplice binario, la sentenza n. 2806/2025 si allinea senza strappi, dando certezza agli operatori: log ben tenuti, policy chiare e formazione sono strumenti che non solo prevengono il contenzioso, ma sorreggono la tenuta probatoria quando l’illecito si è già consumato.

8. Raccordo con l’ordinanza della Corte di Cassazione n. 23318 del 29 agosto 2025

La sentenza si colloca, peraltro, in un filone giurisprudenziale che ho già avuto modo di approfondire commentando la pronuncia di legittimità n. 23318/2025 (con L. A. Beccaria), Rilievo disciplinare della condotta del direttore di banca, in Guida Lavoro, n. 34/2025, relativa al caso del direttore di filiale che aveva attivato strumenti di pagamento a nome di una cliente ultranovantenne senza reale consenso ( pronuncia che per completezza e comodità del lettore viene qui pubblicata).

In quell’occasione, la Corte aveva chiarito che il giudizio di proporzionalità non può ancorarsi alla misura del danno patrimoniale prodotto, essendo dirimente la lesione dell’elemento fiduciario e la prognosi negativa sull’affidabilità futura del lavoratore.

La decisione n. 2806/2025, pur con un diverso oggetto (accessi indebiti ai conti anziché indebita attivazione di carte), si muove nello stesso solco: ribadisce che, nel lavoro bancario, anche l’assenza di un profitto personale o di un danno concreto non attenua il disvalore disciplinare, perché ciò che viene irrimediabilmente compromesso è l’affidamento fiduciario che sorregge il rapporto.

Entrambe le pronunce, quindi, convergono nell’affermare una nozione “rafforzata” di giusta causa nel settore creditizio: il focus non è sulla quantificazione di un pregiudizio economico, bensì sulla verifica della compatibilità della condotta con la speciale affidabilità richiesta dal ruolo, che deve essere garantita non solo verso l’istituto datore, ma anche – e soprattutto – nei confronti della clientela.

Pasquale Dui, avvocato in Milano e professore a contratto nell’Università degli Studi di Milano Bicocca

Visualizza i documenti: Cass., ordinanza 29 agosto 2024, n. 23318; Cass., ordinanza 5 febbraio 2025, n. 2806

Scarica il commento in PDF

L'articolo Licenziamento del dipendente bancario che consulta le posizioni dei clienti senza nessuna ragione di servizio sembra essere il primo su Rivista Labor - Pacini Giuridica.