Licenziamento per giusta causa: truffa informatica e colpa grave

Introduzione

Il rischio phishing nelle organizzazioni aziendali

L’ordinanza n. 3263 del 2026 della Suprema Corte di Cassazione offre l’occasione per perimetrare i confini del licenziamento per giusta causa e truffa informatica in un contesto lavorativo sempre più esposto alle insidie della criminalità digitale. Il caso esaminato dai giudici di legittimità riguarda la c.d. Business Email Compromise, una variante del phishing in cui l’aggressore si sostituisce ai vertici societari per indurre i dipendenti a disporre pagamenti fraudolenti. La pronuncia si inserisce in un solco interpretativo che valorizza la diligenza qualificata del prestatore, ponendo l’accento sulla responsabilità soggettiva di chi, per anzianità e mansioni, è chiamato a presidiare i flussi finanziari dell’impresa.

La vulnerabilità dei sistemi informativi non risiede esclusivamente in falle tecnologiche, ma spesso nel fattore umano, bersaglio elettivo delle tecniche di ingegneria sociale. Nel panorama giurisprudenziale, il danno derivante da un bonifico disposto in favore di terzi truffatori solleva questioni complesse circa l’imputabilità della condotta e la tenuta del vincolo fiduciario. Come emerge dalla ricostruzione dei fatti operata nell’ordinanza n. 3263/2026, la vicenda ruota attorno alla negligenza di una contabile che, ignorando palesi segnali di allarme, ha dato esecuzione a una mail apparentemente proveniente dal legale rappresentante della società.

La tesi della “diligenza assorbente” rispetto alla formazione

Il punto di rottura argomentativo della decisione risiede nel rapporto tra l’obbligo di sicurezza del datore di lavoro e il dovere di diligenza del dipendente. La lavoratrice aveva infatti eccepito la mancata ricezione di una formazione specifica volta a contrastare le operazioni di phishing. Tuttavia, la Corte ha rigettato tale doglianza, sancendo il primato dell’accortezza professionale legata all’esperienza pluriennale.

In questa prospettiva, la diligenza esigibile da chi svolge mansioni qualificate agisce come un filtro che rende irrilevante l’assenza di istruzioni tecniche mirate, qualora l’inganno sia rilevabile mediante i canoni della prudenza commerciale. L’illecito denota una scarsa attenzione per gli interessi aziendali e una superficialità nel comportamento che espone la parte datoriale a gravi danni patrimoniali, giustificando così la massima sanzione espulsiva. Resta peraltro da osservare come la gravità della condotta venga valutata non solo in astratto, ma alla luce dell’impatto economico concreto arrecato al patrimonio sociale.

Il caso e l’iter processuale

La dinamica del bonifico fraudolento e l’inerzia della lavoratrice

La vicenda prende le mosse nel luglio del 2022, quando una dipendente della società DAS Srl, impiegata amministrativa con oltre trent’anni di servizio e inquadrata come addetta alla contabilità, riceve una comunicazione elettronica dal contenuto apparentemente dispositivo. La mail, che sembrava provenire dal presidente del consiglio di amministrazione, richiedeva l’esecuzione immediata di un bonifico estero per l’importo di Euro 15.812,46, indicando causali generiche legate a presunte spese commerciali. La lavoratrice, confidando nella veridicità del messaggio, disponeva il pagamento senza attivare alcuno dei protocolli di verifica previsti per le operazioni fuori soglia o verso l’estero.

L’elemento fattuale determinante, tuttavia, risiede nella finestra temporale intercorsa tra la ricezione dell’inganno e l’effettiva esecuzione del mandato. Dagli atti di causa emerge che l’effettivo presidente aveva inviato una comunicazione corretta in data 21 luglio 2022, che avrebbe dovuto allertare la dipendente circa l’anomalia della richiesta precedente. Nonostante tale evidenza e la disponibilità di un’intera giornata lavorativa per bloccare l’operazione presso l’istituto di credito, la contabile rimaneva inerte, permettendo la consumazione del danno patrimoniale ai danni della società. Tale condotta è stata qualificata come grave negligenza, in quanto l’accortezza professionale minima avrebbe imposto un controllo incrociato sui dati Swift e sulla causale dell’operazione.

Dalla declaratoria di legittimità in primo grado alla conferma in appello

Il Tribunale di Tivoli, investito dell’impugnazione del recesso, rigettava integralmente le domande della lavoratrice, ritenendo che il comportamento contestato integrasse gli estremi della giusta causa. In particolare, il giudice di prime cure sottolineava come la qualifica e l’esperienza pluriennale della dipendente rendessero inescusabile l’omessa rilevazione delle anomalie testuali e procedurali contenute nella mail truffaldina. La pronuncia escludeva altresì la natura vessatoria di alcune condotte datoriali successive alla scoperta del fatto, quali la richiesta di restituzione del token bancario.

In sede di gravame, la Corte d’Appello di Roma, con la sentenza n. 4023/2024, confermava la legittimità del provvedimento espulsivo. I giudici di secondo grado hanno ribadito che la fattispecie di licenziamento per giusta causa e truffa informatica non può essere scriminata dalla mancata formazione in cybersecurity, qualora il dipendente disponga di competenze contabili tali da dover sospettare di un pagamento privo di fattura o proforma. La Corte territoriale ha valorizzato la rottura definitiva del vincolo fiduciario, osservando che la superficialità dimostrata ha esposto l’azienda a un rischio economico certo, rendendo proporzionata la sanzione irrogata rispetto alla gravità dell’inadempimento.

La questione giuridica e il quadro normativo

La nozione di licenziamento per giusta causa e truffa informatica

L’integrazione della fattispecie di licenziamento per giusta causa e truffa informatica richiede una valutazione rigorosa della condotta sotto il profilo dell’elemento soggettivo e dell’oggettiva gravità dell’inadempimento. Ai sensi dell’art. 2119 c.c., la giusta causa si sostanzia in un evento che scuote la fiducia del datore di lavoro a tal punto da impedire la prosecuzione, anche temporanea, del rapporto lavorativo. Nel contesto delle frodi digitali, il fulcro del dibattito non risiede nella volontà del dipendente di arrecare un danno, bensì nella colpa grave manifestata nel prestare fede a comunicazioni palesemente inattendibili.

La giurisprudenza di legittimità ha più volte chiarito che la giusta causa è un concetto elastico, che deve essere riempito di contenuto dal giudice di merito attraverso l’esame della posizione ricoperta e del grado di affidamento richiesto dalle mansioni. Qualora la prestazione implichi il maneggio di denaro e l’accesso a sistemi di pagamento, l’errore indotto da un terzo non agisce come esimente automatica. Al contrario, la responsabilità disciplinare si configura nel momento in cui il lavoratore omette di esercitare quel controllo critico che il buon senso e le procedure aziendali, anche se non formalizzate in corsi di cybersecurity, imporrebbero a chiunque gestisca risorse finanziarie di terzi.

La diligenza qualificata ex art. 1176, comma 2, c.c.

Il parametro di valutazione della condotta non è quello della diligenza del buon padre di famiglia, ma quello, più stringente, della diligenza professionale prevista dall’art. 1176, comma 2, c.c.. Per un addetto alla contabilità con decenni di esperienza, l’obbligo di diligenza deve essere commisurato alla natura dell’attività esercitata e alla perizia tecnica che è lecito attendersi da tale figura. La Corte di Cassazione, nell’ordinanza n. 3263/2026, evidenzia come l’ordinaria prudenza nei rapporti commerciali avrebbe dovuto suggerire alla lavoratrice la verifica della causale “spese estere”, ritenuta eccessivamente generica e priva dei necessari supporti documentali come fatture o proforma.

Sotto il profilo dell’onere della prova, va osservato che spetta al datore di lavoro dimostrare la sussistenza della giusta causa, ma una volta provata l’oggettiva violazione dei doveri di prudenza, spetta al lavoratore fornire la prova di circostanze impeditive o della propria incolpevolezza. Come ribadito in recenti arresti della Suprema Corte, la violazione dell’art. 2697 c.c. è configurabile solo per un’erronea inversione dei pesi probatori, non per la valutazione del merito istruttorio. Pertanto, la pretesa mancanza di formazione non può scriminare una negligenza che attiene a canoni di prudenza basilari, quali la verifica di un destinatario di bonifico mai censito in precedenza nei registri contabili della società.

La ratio decidendi: la prevalenza della diligenza sull’istruzione

L’irrilevanza della mancata formazione specifica per profili esperti

L’argomentazione della Suprema Corte nell’ordinanza n. 3263/2026 affronta un nodo critico della responsabilità disciplinare: il limite dell’obbligo formativo gravante sul datore di lavoro. La lavoratrice ha fondato la propria difesa sulla pretesa omissione, da parte dell’azienda, di istruzioni necessarie per riconoscere e contrastare le insidie del phishing. Tuttavia, i giudici di legittimità hanno stabilito che la formazione tecnica in materia di sicurezza informatica non costituisce un prerequisito assoluto per sanzionare una condotta che violi i basilari doveri di prudenza legati alla mansione esercitata.

Per un dipendente esperto, assegnato da oltre un trentennio alla gestione contabile, l’accortezza richiesta si estende fisiologicamente alla capacità di vagliare l’attendibilità delle disposizioni finanziarie. La Corte osserva che la mancanza di corsi di aggiornamento digitale non può giustificare l’esecuzione di un bonifico verso l’estero privo di pezze d’appoggio documentali, specie quando la comunicazione presenta anomalie palesi nella forma e nel contenuto. In questo quadro, il perimetro della colpa si definisce attraverso l’esperienza maturata sul campo, la quale agisce come bagaglio conoscitivo sufficiente a percepire il rischio di frode anche in assenza di un addestramento specifico.

L’ordinanza chiarisce che il dovere di diligenza non è un concetto statico, ma si evolve con la professionalità raggiunta dal lavoratore. Se da un lato il datore deve garantire un ambiente di lavoro sicuro, dall’altro non può essere ritenuto responsabile dell’incuria di chi, rivestendo ruoli di fiducia, ignora procedure elementari di verifica. La gravità della disattenzione dimostrata dalla contabile, capace di generare una falla comunicativa nonostante i segnali di allarme inviati dalla proprietà, cristallizza una violazione dei doveri contrattuali che prescinde dalla conoscenza tecnica dei meccanismi del crimine informatico.

La valutazione del danno e la proporzionalità del recesso

Un aspetto centrale dell’ordinanza n. 3263/2026 riguarda la quantificazione del pregiudizio e la sua incidenza sulla proporzionalità della sanzione. Il bonifico fraudolento, pari a Euro 15.812,46, non rappresenta soltanto una perdita patrimoniale immediata per la DAS Srl, ma costituisce la prova tangibile di una falla operativa causata dalla condotta della dipendente. La Corte di Cassazione ha confermato che, ai fini della legittimità del recesso, l’entità del danno deve essere valutata non solo in senso oggettivo, ma anche come sintomo della scarsa affidabilità futura del prestatore.

La lavoratrice aveva contestato la severità della misura, invocando una presunta sproporzione tra la sanzione espulsiva e un singolo episodio di disattenzione in una carriera pluriennale. Tuttavia, i giudici di legittimità hanno ribadito che la giusta causa non richiede necessariamente la recidiva, qualora il fatto contestato sia di gravità tale da minare irreparabilmente l’elemento fiduciario. In questo caso, l’inerzia dimostrata dalla contabile — che ha omesso di intervenire per bloccare il pagamento nonostante ne avesse la possibilità materiale — denota una superficialità incompatibile con la gestione dei flussi finanziari aziendali.

Inoltre, la decisione evidenzia come il danno non sia stato meramente potenziale, ma si sia cristallizzato a causa della mancata attivazione dei controlli minimi richiesti. La condotta è stata definita imprudente proprio perché la dipendente, rivestendo una qualifica che imponeva la massima cautela nei rapporti commerciali, ha prestato fede a una mail priva di riscontri documentali. Tale imprudenza nell’espletamento della prestazione lavorativa ha esposto la datrice di lavoro a un rischio certo, giustificando la scelta di interrompere il rapporto senza preavviso in ragione della natura e della responsabilità delle mansioni assegnate.

Profili di rito e rilievi critici

L’onere della prova e il perimetro del vizio di omessa pronuncia

Sotto il profilo processuale, l’ordinanza n. 3263/2026 affronta due questioni di particolare rilievo: l’eccezione di violazione dell’onere probatorio e la doglianza relativa all’omessa acquisizione di atti istruttori. La ricorrente aveva lamentato che il giudice di merito avesse ritenuto sussistente la colpa grave senza disporre l’acquisizione della denuncia-querela presentata dalla società. Tuttavia, la Suprema Corte chiarisce che tale censura non integra il vizio di omessa pronuncia ex art. 112 c.p.c., il quale è configurabile esclusivamente in relazione a domande attinenti al merito e non a istanze istruttorie.

Sul punto, il collegio richiama il solido orientamento espresso dalle Sezioni Unite nella sentenza n. 15982/2001, secondo cui il mancato esame di una richiesta istruttoria può dar luogo, al più, a un vizio di motivazione qualora ne sia prospettata l’indispensabilità e la decisività. Nel solco tracciato anche da Cass. n. 6715/2013 e Cass. n. 13716/2016, si ribadisce che la valutazione del materiale probatorio è rimessa alla prudente valutazione del giudice di merito. Allo stesso modo, la dedotta violazione dell’art. 2697 c.c. viene dichiarata infondata, poiché l’errore sull’onere della prova si configura solo quando il giudice lo attribuisca a una parte diversa da quella onerata, e non quando si limiti a valutare negativamente le risultanze emerse, come confermato dalle recenti Cass. n. 25220/2023 e Cass. n. 12132/2023.

La legittima valorizzazione dei precedenti disciplinari non contestati

Un passaggio di notevole interesse riguarda la possibilità per il datore di lavoro di richiamare addebiti del passato per i quali aveva deciso di non irrogare sanzioni. Nel caso di specie, la DAS Srl aveva valorizzato un episodio del 2015 riguardante un mancato versamento bancario. La lavoratrice ha eccepito l’illegittimità di tale richiamo, non essendo stato l’episodio contestato come recidiva. La Corte, tuttavia, valida l’operato dei giudici di merito, distinguendo nettamente tra la recidiva quale elemento costitutivo dell’illecito e il precedente quale criterio di valutazione della proporzionalità sanzionatoria.

In conformità con quanto stabilito da Cass. n. 1909/2018 e Cass. n. 23924/2010, si osserva che i precedenti disciplinari, pur se non contestati formalmente ai fini della recidiva, possono essere legittimamente utilizzati per misurare la gravità della colpa e la tenuta del vincolo fiduciario. Questo approccio permette di inquadrare la condotta attuale all’interno di un quadro comportamentale più ampio, dove la precedente disattenzione agisce come conferma della superficialità professionale del dipendente. In questa prospettiva, la legittimità del licenziamento per giusta causa e truffa informatica trova ulteriore fondamento nella recidivanza “di fatto” di comportamenti negligenti, rendendo inequivocabile la prognosi negativa sulla futura correttezza della prestazione.

Conclusioni

L’ordinanza n. 3263/2026 della Suprema Corte di Cassazione consolida un principio di autoresponsabilità del lavoratore che appare quanto mai necessario nell’attuale transizione digitale delle imprese. La decisione chiarisce che la tutela del dipendente non può tradursi in una deresponsabilizzazione assoluta di fronte a condotte che violano i canoni elementari della diligenza professionale. Il licenziamento per giusta causa e truffa informatica trova dunque la sua legittimazione non già in una colpa tecnologica, ma in una trascuratezza operativa che prescinde dallo strumento utilizzato per perpetrare l’inganno.

In definitiva, per le figure assegnate a mansioni contabili e di fiducia, l’accortezza commerciale e la verifica dei presupposti documentali di ogni pagamento rimangono obblighi cardine. La mancanza di una specifica formazione aziendale non può operare come una clausola di salvaguardia per chi, pur disponendo di un bagaglio esperienziale trentennale, ometta di rilevare anomalie macroscopiche. Tale approccio garantisce la tenuta del vincolo fiduciario e protegge l’integrità del patrimonio aziendale da negligenze che, seppur prive di dolo, risultano fatali per la stabilità del rapporto di lavoro.