testo integrale con note e bibliografia

sentenza trib. siena n.1047/2025

Le tecniche di verifica occulta dell’attività lavorativa rappresentano oggi uno dei terreni più delicati, poiché impongono di misurare il potere organizzativo dell’impresa con i limiti posti dall’ordinamento a tutela della dignità e della riservatezza del lavoratore. In tale prospettiva, la decisione del Tribunale di Siena , che ha disposto la reintegrazione di un cassiere licenziato dal Gruppo PAM S.p.A. per non aver superato il c.d. “test del carrello”, ha riproposto in termini attuali una pratica di controllo aziendale che, sotto diverse etichette, è da tempo oggetto di attenzione giurisprudenziale e dottrinale. La verifica – consistente nella simulazione di un tentativo di furto da parte di un finto cliente per verificare l’attenzione del cassiere – si colloca infatti nell’alveo di tecniche riconducibili al mystery shopping, sempre più utilizzate anche nella gestione dei rapporti di lavoro subordinato, ponendo in modo particolarmente emblematico il problema del confine tra controllo organizzativo e disciplinare.
Il mystery shopping, in senso proprio, è una tecnica di controllo organizzativo mediante la quale un soggetto incaricato dall’azienda, presentandosi come acquirente, valuta in incognito il servizio reso dai dipendenti durante l’ordinario svolgimento dell’attività lavorativa. Nato come strumento di marketing e customer satisfaction, il suo impiego è progressivamente divenuto rilevante anche sul piano disciplinare, fino a costituire la base per contestazioni e licenziamenti di cassieri accusati di errori nella gestione delle operazioni di vendita. Il caso PAM costituisce, sotto questo profilo, uno dei più significativi banchi di prova per verificare la tenuta dei principi elaborati dalla giurisprudenza in un contesto applicativo concreto e attuale.
È proprio questo slittamento funzionale, dal piano organizzativo a quello punitivo, a porre un problema di qualificazione giuridica del controllo, decisivo ai fini dell’applicazione delle garanzie statutarie. Il tema non è se il mystery shopping – o, nella sua declinazione più aggressiva, il “test del carrello” – sia in astratto lecito o illecito, ma a quali condizioni possa essere utilizzato, con quali finalità e, soprattutto, con quali limiti. Ciò che rileva, secondo un orientamento ormai consolidato della giurisprudenza di legittimità, non è tanto la tecnica di controllo in sé, quanto l’oggetto e la funzione dell’accertamento: la medesima modalità può assumere natura di controllo difensivo o di controllo sulla prestazione a seconda che sia diretta a reprimere condotte fraudolente estranee all’adempimento, ovvero a valutare il modo in cui il lavoratore esegue le mansioni affidategli, con effetti profondamente diversi sul piano delle garanzie applicabili. In questo senso, la giurisprudenza offre una bussola interpretativa che consente di inquadrare correttamente la questione, evitando semplificazioni eccessive.
La Cassazione distingue in maniera chiara tra controlli difensivi e controlli sulla prestazione lavorativa . I primi sono finalizzati a tutelare il patrimonio aziendale o a verificare comportamenti del lavoratore che, pur essendo collegati al rapporto di lavoro, risultino estranei all’ordinario adempimento dell’obbligazione contrattuale e possano integrare illeciti, anche penalmente rilevanti; i secondi, invece, riguardano direttamente il modo in cui il lavoratore svolge le proprie mansioni e incidono sull’esecuzione dell'obbligazione in senso stretto. Ne deriva che il controllo sulla prestazione non può essere sottratto alle garanzie dell’art. 4 dello Statuto dei Lavoratori attraverso una mera qualificazione formale dell’attività di verifica come controllo difensivo, quando in realtà l’accertamento incide direttamente sull’adempimento dell’obbligazione lavorativa, pena l’elusione di un presidio di legalità posto a tutela di interessi di rango generale. Proprio per questa ragione, i controlli sulla prestazione sono assoggettati alle garanzie previste dal già citato art. 4, quali l’informativa preventiva al lavoratore, l’accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro. Le stesse rispondono a una logica di controllo pubblico sull’esercizio del potere datoriale, volta a impedire che strumenti tecnologici o organizzativi si traducano in forme di sorveglianza occulta e sproporzionata, incompatibili con la libertà, la dignità e l’autonomia professionale del dipendente .
In questa prospettiva, i controlli difensivi possono legittimamente essere effettuati anche in modo occulto, purché restino confinati all’accertamento di condotte fraudolente esterne alla prestazione lavorativa. È il caso, ormai consolidato nella giurisprudenza, dei dipendenti assenti per malattia sospettati di svolgere attività incompatibili con lo stato patologico dichiarato, oppure dei controlli relativi all’utilizzo dei permessi concessi ai sensi della legge n. 104 del 1992, quando vi siano fondati indizi di un uso improprio. In tali ipotesi, lo scopo del controllo non è verificare la correttezza dell’esecuzione della prestazione, bensì accertare l’abuso di situazioni giuridiche che presuppongono la sussistenza di determinate condizioni di fatto, con conseguente esclusione dell’ambito applicativo dell’art. 4 dello Statuto .
Diverso è, invece, il caso del mystery shopping impiegato per valutare direttamente la prestazione del singolo lavoratore, come accade nel “test del carrello” finalizzato a verificare l’attenzione del cassiere durante l’operazione di vendita. La giurisprudenza ha chiarito che l’utilizzo di strumenti occulti per misurare puntualità, cortesia, correttezza nella gestione delle procedure o altre attività direttamente riconducibili alle mansioni affidate integra un controllo sulla prestazione lavorativa e, come tale, richiede il rispetto delle garanzie previste, non potendo la valutazione dell’adempimento contrattuale essere sottratta a un presidio di legalità che l’ordinamento affida anche a forme di vigilanza esterna e istituzionalizzata. Va peraltro considerato che il “test del carrello” si fonda su una situazione artificiosamente costruita dal datore di lavoro, che altera le condizioni ordinarie di svolgimento della prestazione e non sempre consente di cogliere il comportamento del lavoratore in un contesto realistico e ripetibile, con possibili ricadute anche sul piano dell’attendibilità e della significatività probatoria dell’episodio simulato.
Tuttavia, la valutazione di legittimità non si esaurisce nella forma del controllo, estendendosi alla finalità perseguita e alla proporzionalità dell’intervento datoriale. Non può infatti trascurarsi che la reiterazione di comportamenti difformi dalle procedure aziendali – come nel caso di un cassiere che, in più occasioni, non rispetti le regole operative – non costituisce un episodio isolato, potendo evidenziare un pattern di inadempimento rilevante sotto il profilo disciplinare. In tali situazioni, il mystery shopping può concorrere alla raccolta di elementi utili per interventi correttivi o formativi, o anche ai fini disciplinari, purché sia inserito in un quadro complessivo di valutazione e corroborato da ulteriori riscontri, quali segnalazioni dei responsabili, richiami formali o altre verifiche interne idonee a confermare la gravità e la reiterazione della condotta. Demandare invece a un singolo “test del carrello” la giustificazione di un licenziamento per giusta causa espone il datore di lavoro a un elevato rischio di illegittimità, come dimostra proprio l’esito giudiziale della vicenda PAM, poiché il giudice può ragionevolmente ritenere non dimostrata una grave e irreversibile compromissione del vincolo fiduciario, tanto più in assenza di un quadro istruttorio complessivo e coerente.
Accanto alla dimensione lavoristica, vi è poi un profilo strutturalmente intrecciato all’esercizio del potere datoriale: la protezione dei dati personali. Il mystery shopping comporta inevitabilmente un trattamento di dati riferibili al lavoratore controllato. Il mystery shopper raccoglie informazioni sul comportamento, sull’operato, sull’efficienza del cassiere; tali informazioni vengono trasmesse all’azienda, elaborate, archiviate e utilizzate per valutazioni e provvedimenti disciplinari. Si tratta, a tutti gli effetti, di un trattamento di dati personali soggetto al Regolamento UE 2016/679 (GDPR), il cui ambito applicativo non può essere eluso attraverso la qualificazione formale dell’attività di controllo come meramente organizzativa. L’art. 4 dello Statuto, in questa prospettiva, non si limita a disciplinare i controlli a distanza: svolge, al contrario, una funzione di cerniera tra il potere datoriale e la disciplina del trattamento dei dati, integrando nel rapporto di lavoro i principi generali del GDPR.
Il primo snodo è rappresentato dai principi di liceità, correttezza e trasparenza. Se il mystery shopping è sistematico e potenzialmente utilizzato anche in ambito disciplinare, il datore di lavoro deve fornire un’adeguata informativa ai sensi dell’art. 13 GDPR, indicando in modo chiaro le finalità del trattamento, la base giuridica, le categorie di dati raccolti, i destinatari, i tempi di conservazione e i diritti del lavoratore. L’assenza di informativa non è un vizio meramente formale, giacché incide sulla stessa legittimità del trattamento, con possibili riflessi anche sull’utilizzabilità dei dati raccolti ai fini disciplinari, secondo un orientamento ormai consolidato in dottrina e nelle prassi applicative.
Si innesta poi il principio di minimizzazione dei dati, che impone di raccogliere solo ciò che è strettamente necessario e che, nel contesto lavoristico, assume una valenza non solo privatistica ma anche pubblicistica, in quanto volto a prevenire pratiche di controllo eccessivo incompatibili con il ruolo di garanzia assegnato all’ordinamento e alle autorità di vigilanza. Se l’obiettivo è valutare la qualità generale del servizio, l’identificazione nominativa del singolo dipendente non è di regola necessaria. L’attribuzione personale delle valutazioni diventa ammissibile solo se funzionale a una finalità disciplinare, e in tal caso richiede il rispetto delle garanzie dell’art. 4 dello Statuto dei Lavoratori, che opera, in questa prospettiva, come norma di raccordo tra disciplina lavoristica e protezione dei dati personali . Devono inoltre ritenersi eccedenti – e dunque illecite – le informazioni non pertinenti, come giudizi soggettivi sul carattere del dipendente o elementi estranei alle procedure operative, poiché prive di un nesso funzionale con le finalità dichiarate del trattamento.
Parimenti assume rilievo il principio di limitazione della conservazione: i dati devono essere conservati solo per il tempo necessario alla finalità perseguita. Conservazioni prolungate o cumulative dei relativi report, non giustificate da esigenze specifiche e documentate, risultano incompatibili con il GDPR, come più volte ribadito dal Garante per la protezione dei dati personali, il quale ha sottolineato come la mera potenzialità di un utilizzo futuro non possa giustificare una conservazione indefinita o generalizzata .
Quanto alla base giuridica del trattamento, il legittimo interesse del datore di lavoro appare, in astratto, uno dei fondamenti ipotizzabili, in quanto correlato all’esigenza di verificare la qualità del servizio e il rispetto delle procedure aziendali. Tale scelta, tuttavia, richiede un rigoroso bilanciamento con i diritti e le libertà fondamentali del lavoratore, che non può risolversi in una mera affermazione di principio, dovendo essere sorretta da un’analisi concreta della necessità e proporzionalità del trattamento. Secondo l’orientamento del Garante per la protezione dei dati personali, infatti, il legittimo interesse non è idoneo a giustificare controlli occulti, sistematici e stabilmente orientati all’adozione di sanzioni disciplinari, ove manchino un’adeguata informativa preventiva e il rispetto delle garanzie procedurali previste dall’articolo 4 dello Statuto dei Lavoratori. Va tuttavia soggiunto che il consenso del lavoratore può risultare, nella maggior parte dei casi, solo formalmente prestato, ma sostanzialmente viziato dallo squilibrio strutturale che caratterizza il rapporto di lavoro, come espressamente riconosciuto dal GDPR, con conseguente inidoneità dello stesso a fungere da base giuridica effettiva del trattamento.
Infine, qualora il mystery shopping comporti un monitoraggio sistematico e su larga scala delle prestazioni dei dipendenti, può rendersi necessaria una valutazione d’impatto sulla protezione dei dati (DPIA), quale espressione del principio di accountability, inteso non come mero adempimento formale, bensì come dovere di responsabilizzazione attiva del datore di lavoro, chiamato a dimostrare ex ante la liceità, la necessità, la proporzionalità e la sostenibilità del trattamento anche sotto il profilo dell’interesse pubblico alla tutela dei diritti fondamentali. La DPIA consente di valutare preventivamente i rischi del trattamento e dimostrare la proporzionalità e la conformità dell’attività di controllo, assumendo un ruolo centrale nei contesti in cui il confine tra controllo organizzativo e sorveglianza disciplinare risulta particolarmente labile, come accade nel caso del “test del carrello”.
In conclusione, il caso PAM conferma che il mystery shopping – e il suo utilizzo nella forma del “test del carrello” – non è di per sé illecito, ma diventa giuridicamente problematico quando viene impiegato come meccanismo surrettizio per fondare licenziamenti, eludendo le garanzie lavoristiche e le regole sulla protezione dei dati personali. La lezione che emerge è chiara: il controllo può essere legittimo solo entro confini rigorosi e non può trasformarsi in una scorciatoia per eludere tutele che non operano esclusivamente sul piano del rapporto individuale, bensì riflettono una scelta di politica del diritto volta a sottoporre l’esercizio del potere organizzativo a limiti di rilevanza generale, funzionali alla tutela di interessi che trascendono la dimensione del singolo rapporto di lavoro.
Quando il controllo mira a verificare come il lavoratore esegue le mansioni affidategli – attenzione, correttezza procedurale, diligenza nello svolgimento dell’attività – esso incide direttamente sull’adempimento dell’obbligazione contrattuale e non può essere sottratto alle garanzie previste dall’art. 4 dello Statuto dei Lavoratori, né sul piano lavoristico né su quello, strettamente connesso, della protezione dei dati personali. L’utilizzo di modalità occulte, la mancanza di un’adeguata informativa e l’assenza di un quadro procedurale trasparente espongono il datore di lavoro a un serio rischio di illegittimità delle sanzioni irrogate, soprattutto quando il controllo si traduce in una valutazione puntuale e individualizzata della prestazione, con effetti che possono riflettersi anche sull’inutilizzabilità della prova raccolta.
Ne deriva che il mystery shopping può legittimamente assolvere a una funzione organizzativa o di miglioramento della qualità del servizio solo se inserito in una logica di valutazione complessiva, non punitiva e proporzionata, e se accompagnato da ulteriori elementi oggettivi e verificabili. Affidare, invece, a un singolo episodio simulato – per definizione eccezionale e artificioso – la giustificazione di un licenziamento per giusta causa significa trasformare uno strumento di analisi organizzativa in un meccanismo sanzionatorio improprio, incompatibile con il sistema delle tutele predisposto dal legislatore, anche sotto il profilo della tenuta del vincolo fiduciario, che non può essere valutato sulla base di un evento isolato e contingente.
La vicenda PAM insegna, dunque, che il potere di controllo del datore di lavoro, pur legittimo, non è illimitato e non può essere esercitato in modo surrettizio. Le garanzie previste dall'ordinamento non rappresentano un ostacolo all'efficienza organizzativa: costituiscono il presidio necessario affinché il controllo sulla prestazione non degeneri in una forma di sorveglianza occulta e sproporzionata, in contrasto con la dignità del lavoratore e con l'equilibrio del rapporto di lavoro, che resta un equilibrio di diritto e non di mera forza, non alterabile da pratiche di verifica fondate su simulazioni episodiche prive di adeguato riscontro oggettivo e incompatibili con una valutazione strutturalmente affidabile della prestazione lavorativa.