Tribunale distrettuale dell'Aia, 7 luglio 2026, ECLI:NL:RBDHA:2026:18633, numero di causa 12156440 \ RP VERZ 26-50366.
Un datore di lavoro che sospetta che un dipendente stia lavorando sistematicamente meno ore di quelle concordate deve agire con cautela. L'analisi occulta dei dati di accesso e disconnessione non è automaticamente consentita e, anche laddove tali dati rivelino delle discrepanze, ciò non costituisce automaticamente una prova sufficiente per il licenziamento in tronco. Il 7 luglio 2026, il Tribunale cantonale dell'Aia si è pronunciato su questa questione con una sentenza rilevante per ogni datore di lavoro che stia valutando l'utilizzo di strumenti di monitoraggio digitale.
I fatti
Il dipendente era impiegato dal 2022 presso EControls Europe BV, un'azienda tecnologica con sede a Delfgauw, dove ricopriva, tra gli altri, un ruolo dirigenziale all'interno del dipartimento finanziario. Nell'estate del 2025, la compagna del dipendente si è sottoposta a cure per un tumore al seno. Con il consenso della direzione, il dipendente ha successivamente lavorato più spesso da casa, anche per prendersi cura dei loro due figli piccoli. La sua performance è stata valutata positivamente durante le valutazioni del personale e all'inizio del 2026 ha persino ricevuto un aumento di stipendio.
In seguito, il datore di lavoro iniziò a dubitare del suo impegno. La scintilla scoccò due solleciti di routine, uno dal commercialista e uno dall'Istituto Nazionale di Statistica (CBS), riguardanti obblighi amministrativi non adempiuti. Senza prima chiedere spiegazioni al dipendente, il datore di lavoro trascorse circa un mese ad analizzare i dati di accesso e disconnessione del suo account utente sulla rete aziendale. Sulla base di questi dati, il datore di lavoro concluse che il dipendente aveva lavorato 29 ore in meno rispetto a quanto concordato e lo licenziò in tronco per presunte carenze strutturali di ore lavorate e per non essere stato onesto con il datore di lavoro al riguardo.
Mancanza di una base giuridica adeguata ai sensi del GDPR.
Analizzando i dati di accesso e disconnessione, il datore di lavoro trattava i dati personali del dipendente. Tale trattamento richiede una base giuridica ai sensi del GDPR. In un rapporto di lavoro, il fondamento giuridico è l'opzione più ovvia, ma ciò richiede più di una semplice volontà da parte del datore di lavoro di esercitare un controllo. Il datore di lavoro deve essere in grado di dimostrare un interesse concreto e attuale, che il trattamento sia necessario per perseguire tale interesse e che gli interessi e i diritti fondamentali del dipendente non siano prevalenti.
Il monitoraggio del rispetto degli accordi di lavoro può, in linea di principio, costituire un legittimo interesse del datore di lavoro. In questo caso, tuttavia, le due lettere di sollecito si sono rivelate insufficienti a tale scopo. Non indicavano alcuna carenza di ore lavorate e davano comunque al dipendente la possibilità di adempiere ai suoi obblighi amministrativi. Non sussisteva quindi una base sufficientemente concreta per il trattamento dei dati: non si trattava di un fatto accertato o di un sospetto specificamente fondato, bensì di un'indicazione indiretta che, senza alcun confronto con il dipendente, si è trasformata in un'indagine occulta.
Inoltre, il dipendente non sapeva che i suoi dati di accesso e disconnessione potessero essere utilizzati per questo tipo di verifica. La politica di lavoro da casa, introdotta solo di recente, non forniva alcuna base chiara in tal senso. I dipendenti devono poter comprendere quali dati vengono raccolti, per quale scopo e in quali circostanze possono essere monitorati. Il fatto che il lavoro da casa fosse espressamente consentito, anche a causa di circostanze personali del dipendente, rende la mancanza di trasparenza ancora più significativa: proprio in tale contesto, il datore di lavoro avrebbe dovuto chiarire in anticipo cosa ci si aspettava in termini di orario di lavoro, disponibilità e registrazione delle ore lavorate.
Il monitoraggio non era né proporzionato né sussidiario
Anche se il datore di lavoro avesse avuto un interesse legittimo, il monitoraggio avrebbe comunque dovuto essere proporzionato: la gravità e la portata dell'intrusione nella privacy del dipendente devono essere proporzionate al motivo e allo scopo dell'indagine. Tale proporzionalità è mancata in questo caso. Il datore di lavoro ha analizzato i dati di un singolo dipendente per circa un mese, senza informarlo preventivamente né chiedere spiegazioni, nonostante vi fossero solo motivi limitati e indiretti per farlo. Inoltre, il dipendente stava svolgendo bene il proprio lavoro, aveva recentemente ricevuto un aumento di stipendio e il lavoro da casa era stato autorizzato con il consenso della direzione.
Il datore di lavoro avrebbe dovuto anche valutare se lo stesso obiettivo potesse essere raggiunto con mezzi meno invasivi – il cosiddetto test di sussidiarietà. Durante l'udienza, il responsabile ha affermato di aver deliberatamente evitato un colloquio con il dipendente, temendo che questi avrebbe modificato il proprio comportamento una volta venuto a conoscenza dell'indagine. Il tribunale cantonale non ha ritenuto convincente tale motivazione. La correzione di una condotta potenzialmente scorretta è proprio l'obiettivo che un datore di lavoro dovrebbe perseguire attraverso un colloquio, un richiamo o un piano di miglioramento. Rinunciando deliberatamente a questi mezzi e optando immediatamente per la sorveglianza occulta, il datore di lavoro ha adottato una misura eccessivamente drastica senza prima aver tentato alternative meno invasive.
I dati di accesso e disconnessione non dimostrano automaticamente che qualcuno non ha lavorato
Anche nel merito, il tribunale cantonale ha ritenuto i dati insufficientemente convincenti. Non essere connessi alla rete aziendale non significa automaticamente che una persona non stia lavorando. Il ruolo del dipendente comprendeva anche analisi, pianificazione, consulenza, supervisione e contatti telefonici, attività che non richiedono necessariamente una connessione di rete attiva. I dati di accesso e disconnessione registrano l'attività di sistema, non l'intera portata dell'attività lavorativa di una persona.
Il tribunale cantonale ha ritenuto possibile che il lavoro offline spiegasse in parte la differenza, ma non interamente, di 27 ore in un periodo di 4.5 settimane. Ciononostante, la differenza media di poco più di un'ora al giorno lavorativo non era sufficiente per concludere che, strutturalmente, fossero state lavorate significativamente meno ore di quelle concordate. Al massimo, i dati costituivano un'indicazione, non una prova conclusiva di grave illecito o dolo.
La violazione del GDPR e il licenziamento non sono questioni separate.
L'illiceità del trattamento dei dati non implica automaticamente l'esclusione del loro utilizzo nel procedimento di licenziamento, ma ha seriamente compromesso l'attendibilità e la validità dell'indagine. Il datore di lavoro ha basato il licenziamento in larga misura su dati raccolti senza un'adeguata informazione preventiva, analizzati senza una motivazione concreta specificamente correlata a carenze di ore lavorate, ottenuti attraverso modalità di controllo eccessivamente invasive e che fornivano solo un quadro limitato del lavoro effettivamente svolto. Senza ulteriori indagini, senza aver ascoltato il dipendente e senza esempi concreti di lavoro non svolto, non si poteva desumere da questi dati alcuna giusta causa di licenziamento. La violazione del GDPR non rappresentava quindi una questione di privacy a sé stante, ma parte integrante dell'inadeguata preparazione e giustificazione del licenziamento in tronco.
Questa sentenza si inserisce in una linea consolidata di giurisprudenza.
Il tribunale cantonale dell'Aia non è il solo a pensarla così. Già nel 2017, la Corte europea dei diritti dell'uomo (CEDU) ha formulato, nella sentenza ampiamente dibattuta del caso Bărbulescu contro Romania (CEDU, 5 settembre 2017, n. 61496/08), un quadro di valutazione per il monitoraggio da parte del datore di lavoro che continua a influenzare la giurisprudenza olandese. La CEDU ha stabilito che, nella valutazione del monitoraggio digitale dei dipendenti, occorre tenere conto, tra l'altro, dei seguenti aspetti: se il dipendente sia stato informato in anticipo della possibilità di essere monitorato, quanto esteso e invasivo sia stato il monitoraggio, se il datore di lavoro avesse una ragione legittima per il monitoraggio, se fossero disponibili metodi meno invasivi, quali conseguenze il monitoraggio abbia avuto per il dipendente e se siano state fornite adeguate garanzie.
Questo quadro di valutazione ricorre, ad esempio, in una sentenza del 2021 del Tribunale distrettuale dei Paesi Bassi centrali (ECLI:NL:RBMNE:2021:6071). In quel caso, un datore di lavoro monitorava l'utilizzo della posta elettronica di un dipendente a seguito di due segnalazioni interne, senza che fosse chiaro quanto invasivo fosse stato tale monitoraggio o se il dipendente fosse stato informato in anticipo della possibilità di essere monitorato. Poiché il datore di lavoro non ha fornito sufficiente trasparenza al riguardo, il tribunale cantonale non è stato in grado di stabilire se i criteri Bărbulescu fossero stati soddisfatti, né se i risultati dell'indagine fossero indipendenti da un eventuale monitoraggio illegittimo. La richiesta di risoluzione del contratto di lavoro è naufragata proprio per questa mancanza di chiarezza. Lo stesso problema si ripresenta nel caso EControls: anche in questo caso, mancava la trasparenza sulla politica di monitoraggio e il datore di lavoro non è stato in grado di dimostrare che il monitoraggio fosse proporzionato e legato a una ragione concreta.
Che il monitoraggio digitale non sia intrinsecamente illegale è dimostrato da una sentenza più recente del Tribunale distrettuale dell'Olanda Settentrionale del 12 dicembre 2025 (ECLI:NL:RBNHO:2025:14471). In quel caso, un datore di lavoro aveva avviato un'indagine informatica su un dipendente dopo che questi aveva minacciato di divulgare dati aziendali all'esterno e un collega aveva segnalato un possibile uso improprio dei sistemi informatici. Il tribunale cantonale ha stabilito che non si trattava di una ricerca indiscriminata e indiscriminata, bensì di un'indagine con una base concreta e attuale, per cui i risultati potevano effettivamente essere utilizzati per giustificare il licenziamento in tronco. Il contrasto con il caso EControls è emblematico: mentre all'Aia la base per l'indagine erano solo due lettere di sollecito di routine, nel caso dell'Olanda Settentrionale vi erano segnali concreti, attuali e seri provenienti direttamente dal dipendente stesso e da un collega.
Infine, ai fini probatori nei casi di licenziamento, è rilevante che la Corte Suprema, il 13 marzo 2026 (ECLI:NL:HR:2026:409), abbia sottolineato che un tribunale che basa la propria decisione su un licenziamento sommario in parte su prove digitali, come le riprese delle telecamere, deve assicurarsi che il dipendente abbia effettivamente potuto visionare tale materiale e commentarlo. In caso contrario, si configura una violazione del principio del contraddittorio e della parità delle armi ai sensi dell'articolo 19(1) del Codice di procedura civile olandese e dell'articolo 6 della CEDU. Tale ragionamento è ugualmente valido quando un datore di lavoro, come nel caso EControls, basa un licenziamento sui dati di accesso e disconnessione: anche in questo caso, al dipendente deve essere data una reale opportunità di visionare e contestare tali prove prima che un tribunale basi la propria decisione su di esse.
Non sussistono motivi urgenti per il licenziamento immediato.
Un licenziamento in tronco valido richiede una causa urgente ai sensi dell'articolo 7:677(1) e dell'articolo 7:678(1) del Codice civile olandese. Tale causa deve essere accettata con grande cautela e deve essere basata su fatti dimostrabili; l'onere della prova e dell'affermazione spetta al datore di lavoro. In questo caso, non vi era una base fattuale sufficiente. Il datore di lavoro non aveva preventivamente chiesto spiegazioni al dipendente, si era basato su dati raccolti in modo occulto, non aveva tenuto adeguatamente conto del lavoro svolto al di fuori della rete aziendale, non aveva dato alcun preavviso né opportunità di miglioramento e non aveva dato sufficiente peso alle circostanze personali del dipendente. Il tribunale cantonale ha quindi stabilito che il licenziamento in tronco non era giustificato e che il datore di lavoro avrebbe dovuto prima adottare misure meno invasive.
Conseguenze finanziarie per il datore di lavoro
Poiché il licenziamento non era stato validamente disposto, il datore di lavoro è stato condannato al pagamento di diverse forme di indennizzo: l'indennità di transizione prevista dalla legge, l'indennità per cessazione irregolare del rapporto di lavoro e un equo risarcimento (billijke vergoeding) di 60,000 euro lordi, corrispondenti a circa sei mesi di stipendio. Nel determinare l'importo dell'equo risarcimento, il tribunale cantonale ha tenuto conto del fatto che il dipendente era stato sottoposto, da un giorno all'altro, alla sanzione più severa prevista dalla normativa sul lavoro, pur avendo svolto bene il proprio lavoro e senza che il datore di lavoro avesse seguito un'accurata procedura preliminare. Sono state inoltre annullate le compensazioni che il datore di lavoro aveva applicato all'indennità di legge fissa.
Lezioni pratiche per le risorse umane e il management
Questa sentenza offre una serie di chiari insegnamenti pratici. Quando si consente ai dipendenti di lavorare da casa, è fondamentale concordare in anticipo orari di lavoro, disponibilità, produttività e registrazione delle ore lavorate, e documentare in modo trasparente quali dati digitali vengono raccolti, per quale scopo e quando possono essere consultati. Non utilizzare i dati di sistema, come gli orari di accesso e disconnessione, come parametro automatico per valutare la presenza o le prestazioni, ma solo nell'ambito di un'attenta indagine. In caso di dubbi sull'impegno di un dipendente, le Risorse Umane dovrebbero innanzitutto avviare un colloquio, chiedere spiegazioni al dipendente e valutare misure meno invasive, come la registrazione temporanea delle ore lavorate, un richiamo o un piano di miglioramento. Qualsiasi forma di monitoraggio prevista deve essere valutata preventivamente in base ai requisiti di base giuridica, necessità, proporzionalità e sussidiarietà. Solo se, dopo aver ascoltato il dipendente, permangono segnali concreti di inadempienza, si può prendere in considerazione un provvedimento disciplinare, per non parlare del licenziamento in tronco.
Per le disposizioni relative al trattamento dei dati personali e per le strutture finalizzate al monitoraggio della presenza, della condotta o delle prestazioni dei dipendenti, si applica anche il diritto di consenso del consiglio di fabbrica ai sensi dell'articolo 27, paragrafo 1, della legge olandese sui consigli di fabbrica (WOR). Il datore di lavoro che intende introdurre una tale disposizione o un sistema di monitoraggio farebbe bene a valutare preventivamente se è necessario il consenso del consiglio di fabbrica e, se necessario, a ottenere tale consenso o un'autorizzazione sostitutiva dal tribunale cantonale prima di applicare il provvedimento.
Cosa significa in pratica
Il monitoraggio occulto dei dipendenti è giustificabile solo se conforme ai principi dell'articolo 5 del GDPR, tra cui la liceità, la trasparenza, la limitazione delle finalità e la minimizzazione dei dati, e se si basa su una valida base giuridica, come previsto dall'articolo 6 del GDPR. L'articolo 88 del GDPR consente l'adozione di norme più specifiche sul trattamento dei dati nel rapporto di lavoro, ma non fornisce di per sé una carta bianca per il monitoraggio occulto. Il monitoraggio deve inoltre essere necessario e proporzionato, e devono essere state preventivamente valutate alternative meno invasive. I dati raccolti illegalmente o utilizzati per finalità diverse da quelle previste possono compromettere seriamente la sussistenza dei presupposti per un provvedimento sanzionatorio in materia di diritto del lavoro – certamente un licenziamento in tronco – e comportare rischi significativi in termini di privacy e di diritto del lavoro.
La lezione fondamentale che si può trarre da questo caso non è che il monitoraggio digitale non sia mai consentito, ma che è difendibile solo quando il datore di lavoro può individuare un interesse concreto, sceglie il metodo meno invasivo e ne informa il dipendente in modo trasparente e preventivo. In questo caso, il datore di lavoro ha fallito su tutti e tre i fronti: il presupposto non era sufficientemente concreto, il monitoraggio era troppo invasivo e non erano state utilizzate alternative meno invasive.
Domande frequenti
Un datore di lavoro può semplicemente controllare i dati di accesso e disconnessione di un dipendente?
No. Un datore di lavoro può trattare questo tipo di dati personali solo se sussiste un interesse legittimo ai sensi del GDPR e se l'intrusione nella privacy del dipendente è proporzionata e necessaria. Inoltre, il dipendente deve in linea di principio essere informato in anticipo della possibilità di tale monitoraggio, ad esempio tramite una politica aziendale chiaramente comunicata. In mancanza di ciò, l'indagine diventa rapidamente illegittima, come in questo caso.
Qual è la differenza tra non essere connesso e non lavorare?
Il mancato accesso alla rete aziendale non implica automaticamente che un dipendente non abbia lavorato. Molti ruoli, infatti, prevedono mansioni che non richiedono una connessione al computer, come la consulenza, l'analisi o la supervisione. Il tribunale cantonale sottolinea che i dati di accesso e disconnessione possono al massimo fornire un'indicazione, ma non costituiscono di per sé una prova sufficiente di carenze strutturali di ore lavorate.
Un datore di lavoro può basare un licenziamento in tronco su un semplice sospetto?
No. Un licenziamento in tronco valido richiede una causa urgente, che deve essere addotta e provata dal datore di lavoro. Il tribunale esercita grande cautela nella valutazione di tale causa. Un sospetto, basato su prove incomplete o ottenute illegalmente, non è sufficiente. Inoltre, il datore di lavoro deve prima valutare misure meno drastiche, come un colloquio, un richiamo o un piano di miglioramento, prima di optare per la sanzione più severa prevista dalla legge sul lavoro.
Quale risarcimento può ricevere un dipendente dopo un licenziamento ingiustificato per giusta causa?
Qualora il licenziamento per giusta causa risulti illegittimo, il dipendente può richiedere un'indennità di transizione, un risarcimento per cessazione irregolare pari alla retribuzione percepita durante il periodo di preavviso e un equo indennizzo. L'ammontare dell'equo indennizzo dipende da tutte le circostanze del caso, compreso il grado di colpa del datore di lavoro e le conseguenze del licenziamento per il dipendente.
Un datore di lavoro può sottoporre il lavoro da casa a un monitoraggio aggiuntivo?
Non senza ulteriori accorgimenti. Se è consentito il lavoro da casa, ciò non significa automaticamente che il datore di lavoro possa effettuare un monitoraggio aggiuntivo o occulto. Gli accordi relativi a orari di lavoro, disponibilità, produttività e qualsiasi forma di registrazione dovrebbero preferibilmente essere chiaramente definiti in anticipo e discussi con i dipendenti. Anche il monitoraggio aggiuntivo deve avere un fondamento concreto e non può andare oltre quanto strettamente necessario.
Cosa dovrebbe fare un datore di lavoro in caso di dubbi sulle ore lavorate?
La Corte menziona esplicitamente alternative meno invasive, come un colloquio, il monitoraggio delle ore lavorate, l'emissione di un richiamo o l'avvio di un piano di miglioramento. Solo qualora tali misure non producano risultati sufficienti e vi siano segnali concreti e comprovati, si potrà prendere in considerazione un monitoraggio più incisivo, nel rispetto dei requisiti del GDPR.
È illegale qualsiasi forma di monitoraggio digitale di un dipendente?
No. Il monitoraggio digitale può essere giustificato qualora il datore di lavoro dimostri l'esistenza di un evento scatenante concreto e attuale, come minacce concrete o una segnalazione interna di abuso, e di aver agito nel rispetto dei principi di proporzionalità e sussidiarietà. Ne è un esempio la sentenza del Tribunale distrettuale dell'Olanda Settentrionale del 12 dicembre 2025 (ECLI:NL:RBNHO:2025:14471), in cui un'indagine informatica, innescata da minacce concrete e da una segnalazione interna, è stata ritenuta legittima e i suoi risultati sono stati ammessi come base per un licenziamento in tronco.
Conclusione
Questa sentenza chiarisce che i dati di monitoraggio digitale non possono essere semplicemente utilizzati come prova di assenze ingiustificate. Un datore di lavoro che monitora in modo occulto, senza un chiaro segnale o informazioni preventive, corre il rischio che sia l'indagine che il licenziamento basato su di essa non reggano. La strada più sicura è quindi: esaminare attentamente i segnali, avviare prima un dialogo e solo successivamente, se strettamente necessario, optare per una misura di monitoraggio appropriata e proporzionata.
