Una policy aziendale funziona davvero se nessuno la comprende?

No. E il diritto italiano lo dice con una chiarezza che molti datori di lavoro non si aspettano.

Nelle aziende circolano documenti di ogni tipo: policy sull’uso degli strumenti informatici, codici di condotta, regolamenti interni, informative sulla privacy. Spesso sono testi lunghi, scritti in linguaggio tecnico, firmati alla prima settimana di lavoro insieme a decine di altri fogli, e poi dimenticati in una cartella condivisa. L’azienda li ha redatti, il dipendente li ha — formalmente — ricevuti. Tutto in ordine, potrebbe sembrare. Ma non è così.

Il problema della conoscibilità: cosa dice la legge

L’art. 7 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) prevede che il codice disciplinare aziendale debba essere affisso in luogo accessibile a tutti i lavoratori. Non è un adempimento burocratico: è la condizione che rende legittimo l’esercizio del potere disciplinare. La Cassazione ha chiarito più volte che questa forma di pubblicità non ammette equipollenti — non basta la consegna personale, non basta l’email, non basta l’inserimento nel portale interno — e che il suo adempimento deve essere provato dal datore di lavoro (Cass. civ., Sez. lavoro, Ord., n. 24722 del 11 agosto 2022).¹

La ratio è precisa: la previa pubblicizzazione delle norme disciplinari assolve una funzione di garanzia di legalità e prevedibilità, consentendo al lavoratore di orientare la propria condotta e di sapere in anticipo quali comportamenti possono esporlo a sanzione e quale sanzione è prevista (Cass. civ., Sez. lavoro, Sent., n. 33811 del 12 novembre 2021).² Una policy che il lavoratore non conosce — o che conosce solo formalmente, senza averla mai realmente compresa — non può essere invocata per giustificare un provvedimento disciplinare, tantomeno un licenziamento.

Quando la policy è aziendale, non basta la legge

C’è un aspetto che sorprende chi non conosce il diritto del lavoro: l’obbligo di affissione e conoscibilità vale in modo particolarmente stringente proprio per quelle regole che non derivano dalla legge, ma da scelte organizzative del datore. La Cassazione ha stabilito che, quando le violazioni contestate consistono nella violazione di direttive aziendali — suscettibili di mutare nel tempo, legate a contingenze economiche o di mercato — la loro rilevanza disciplinare deve essere previamente e chiaramente portata a conoscenza dei lavoratori (Cass. civ., Sez. lavoro, Ord., n. 14782 del 2 giugno 2025).³ Detto in parole semplici: più la regola è specifica dell’azienda, più deve essere visibile e comprensibile. E questo vale pienamente per le policy sull’uso degli strumenti digitali, degli account email aziendali, degli strumenti di intelligenza artificiale.

Il codice disciplinare, peraltro, non deve contenere un’analitica predeterminazione di ogni infrazione — la Cassazione ha precisato che è sufficiente che renda chiare le ipotesi di infrazione “in forma schematica”, indicando le correlative previsioni sanzionatorie “anche se in maniera ampia” (Cass. civ., Sez. lavoro, Sent., n. 20284 del 14 luglio 2023).⁴ Ma proprio questo significa che il margine di genericità non è illimitato: dove la regola è specifica, la comunicazione deve essere specifica.

La policy sulla privacy: un obbligo a sé stante

Separato dal profilo disciplinare, ma ugualmente rilevante, è il tema della privacy policy aziendale nei confronti dei lavoratori. Il Regolamento (UE) 2016/679 (GDPR) impone al datore di lavoro, quale titolare del trattamento, di fornire ai dipendenti un’informativa trasparente, concisa e facilmente comprensibile sui trattamenti dei loro dati personali.⁵ Questo vale per la posta elettronica aziendale, per i sistemi di monitoraggio, per qualsiasi strumento che consenta — anche indirettamente — di controllare l’attività del lavoratore. Il Garante per la protezione dei dati personali e l’Ispettorato Nazionale del Lavoro, nel rinnovo del protocollo d’intesa del 26 marzo 2025, hanno confermato che la disciplina del GDPR e i principi dell’art. 4 dello Statuto dei lavoratori operano in modo integrato, e che spetta al datore promuovere policy aziendali che prevedano misure specifiche e che informino realmente — non solo formalmente — i lavoratori.⁶ Informare non significa depositare un documento: significa adottare misure di formazione e sensibilizzazione che mettano ogni lavoratore in condizione di capire cosa può fare, cosa non può fare e perché.⁷

Il costo dell’incomprensione

Il punto che molte aziende non calcolano è questo: una policy che non è stata realmente compresa espone l’azienda su due fronti contemporaneamente. Sul fronte del diritto del lavoro, il datore che irroga una sanzione o un licenziamento basandosi su una regola non conosciuta rischia di vedere il provvedimento annullato — con reintegrazione o indennizzo, secondo i casi. Sul fronte della privacy, il datore che non ha formato i dipendenti sull’uso corretto degli strumenti digitali è esposto alle conseguenze del GDPR se un dipendente — per inconsapevolezza, non per malafede — causa una violazione dei dati.

La domanda che ogni azienda dovrebbe porsi non è “abbiamo una policy?” ma “i nostri dipendenti sanno cosa c’è scritto e perché quella regola esiste?” La distanza tra le due domande è il luogo dove nasce il rischio.

Avv. Monica Ravasi