Phishing sul lavoro: quando il dipendente rischia il licenziamento

Il caso: quando l'errore diventa inadempimento

Una dipendente addetta alla contabilità cade in una truffa informatica: un messaggio di phishing la induce a disporre un pagamento verso un conto fraudolento. Il datore contesta la condotta e procede al licenziamento. Il nodo giuridico non è la truffa in sé — di cui il lavoratore è vittima — ma l'eventuale violazione dei doveri di diligenza nell'esecuzione della prestazione.

Secondo un orientamento consolidato della giurisprudenza di legittimità, l'errore indotto da terzi non esclude la responsabilità disciplinare quando il dipendente ha omesso le cautele elementari esigibili in relazione alle mansioni svolte. Chi maneggia flussi di denaro è tenuto a un livello di attenzione più elevato rispetto a chi opera in ambiti privi di impatto economico diretto.

Inquadramento normativo

Il fondamento dell'obbligo va individuato con precisione. L'art. 2104 del Codice civile impone al prestatore la diligenza richiesta "dalla natura della prestazione dovuta": è qui che si radica il dovere di adottare le cautele idonee nella gestione di pagamenti e dati aziendali. A questo si aggiunge il canone generale di esecuzione secondo buona fede (artt. 1175 e 1375 c.c.), che impone di preservare l'interesse della controparte contrattuale nei limiti di un apprezzabile sacrificio.

L'art. 2105 c.c., spesso richiamato in questi contesti, riguarda in senso proprio il divieto di concorrenza e di divulgazione di notizie riservate: è pertinente solo se la condotta ha comportato la trasmissione indebita di informazioni protette, non come clausola generale di "fedeltà".

Sul versante del recesso, la legittimità va misurata sui parametri della giusta causa (art. 2119 c.c.) o del giustificato motivo soggettivo (art. 3, L. 604/1966). In entrambi i casi opera il principio di proporzionalità: la sanzione espulsiva è consentita solo se l'inadempimento è di gravità tale da non consentire la prosecuzione del rapporto.

Implicazioni pratiche

Per il lavoratore, l'aver subìto una truffa non è di per sé scudo disciplinare. Rileva la condotta tenuta: se le anomalie erano riconoscibili con un minimo di attenzione (mittente sospetto, richieste di urgenza anomale, indirizzi IBAN modificati), la negligenza può integrare inadempimento.

Per il datore, la valutazione è tutt'altro che automatica. Il giudice verifica il singolo episodio nel contesto: mansioni, esperienza del dipendente, precedenti disciplinari, entità del danno e — punto cruciale — le misure organizzative predisposte dall'azienda. L'assenza di formazione specifica sui rischi informatici, di procedure di verifica dei pagamenti e di controlli sui bonifici indebolisce sensibilmente la posizione datoriale: si può contestare al dipendente ciò che l'organizzazione non gli ha messo in condizione di prevenire.

Un singolo errore, in un quadro privo di procedure e di precedenti, difficilmente giustifica il licenziamento. Diverso è il caso di reiterazione, di violazione di istruzioni esplicite o di condotte gravemente incaute su importi rilevanti.

Cosa fare in concreto contro il rischio phishing

Per i lavoratori:

• Verificate sempre le richieste di pagamento anomale con un canale alternativo (telefonata diretta, non risposta alla mail sospetta).
• Conservate le comunicazioni ricevute e segnalate immediatamente l'accaduto: la tempestività attenua il profilo di negligenza.

Per i datori di lavoro:

• Adottate procedure scritte per la validazione dei pagamenti, con doppio controllo sugli importi rilevanti e sulle modifiche di IBAN.
• Erogate formazione documentata sui rischi di phishing: costituisce prova dell'esigibilità delle cautele.
• Prima di procedere al licenziamento, valutate la proporzionalità dell'episodio rispetto al codice disciplinare e ai precedenti; consigliamo un'istruttoria completa che ricostruisca il contesto organizzativo.

La gestione del contenzioso su licenziamento e phishing richiede un'analisi caso per caso: né automatismi sanzionatori né immunità del dipendente reggono alla verifica giudiziale.

Disclaimer

Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.