La sentenza n. 167/2026 del Tribunale di Udine rischia di essere letta come una semplice decisione relativa all’utilizzo di WhatsApp nei rapporti di lavoro o, al massimo, come una controversia disciplinare nata da una comunicazione effettuata attraverso un canale improprio.
In realtà, il provvedimento mette in luce un fenomeno molto più profondo e strutturale: la progressiva perdita di coincidenza tra organizzazione formalmente dichiarata e organizzazione realmente operante.
Indice degli argomenti
Oltre il caso concreto
Nel caso in questione, la lavoratrice comunica il protrarsi della propria assenza tramite messaggi vocali e documentazione inviata via WhatsApp a un referente aziendale che riceve le informazioni, interagisce con lei, organizza le sostituzioni e mantiene operativo il flusso comunicativo.
Solo successivamente l’organizzazione richiama l’esistenza di procedure che avrebbero richiesto l’utilizzo della posta elettronica e della comunicazione telefonica.
Il Tribunale, però, osserva che presso l’impresa tali indicazioni non avevano carattere realmente prescrittivo e che la concreta fisiologia organizzativa aveva ormai incorporato modalità differenti.
È precisamente qui che la sentenza assume rilievo per privacy, cyber security e governance organizzativa.
Il problema non è il singolo utilizzo di WhatsApp. Il problema è che l’organizzazione continua formalmente a rappresentarsi attraverso un modello procedurale che non coincide più con il proprio funzionamento reale.
La decisione del Tribunale di Udine mostra infatti una dinamica sempre più frequente nelle organizzazioni contemporanee: l’ente continua a produrre policy, regolamenti, linee guida e istruzioni operative, ma la concreta operatività quotidiana tende progressivamente a svilupparsi attraverso relazioni organizzative differenti, costruite sulla rapidità decisionale, sulle necessità funzionali, sulle consuetudini operative e sulle tolleranze manageriali.
Il punto centrale, allora, non riguarda la singola deviazione dalla regola formale. Riguarda piuttosto la progressiva separazione tra normazione dichiarata e normazione effettivamente operante dentro l’organizzazione.
Dinamiche analoghe si riscontrano quotidianamente in molti contesti organizzativi, dalla gestione operativa dei sinistri nei settori assicurativi alla circolazione informale di informazioni tra funzioni aziendali attraverso strumenti di messaggistica istantanea.
Privacy come governo dei processi organizzativi
La questione privacy, in questa prospettiva, non può essere ridotta alla presenza di dati sanitari o all’utilizzo di una piattaforma consumer per trasmettere informazioni sensibili.
Una simile lettura resterebbe ancora ancorata a una concezione prevalentemente documentale della protezione dei dati personali.
Il punto centrale che emerge dalla sentenza è molto più radicale: il GDPR ha progressivamente trasformato la privacy in una disciplina di governo organizzativo dei processi informativi.
La protezione dei dati non riguarda più soltanto la tutela del singolo dato considerato isolatamente.
Riguarda la capacità dell’organizzazione di conoscere, presidiare e controllare l’intera architettura attraverso cui le informazioni circolano, vengono condivise, utilizzate, trasformate in decisioni operative e incorporate nei processi dell’ente.
È questo il significato più profondo del principio di accountability.
Il regolamento europeo
Il regolamento europeo non impone semplicemente l’adozione formale di policy o procedure. Richiede al titolare del trattamento la costruzione di assetti organizzativi concretamente idonei a governare i processi reali.
Ed è precisamente qui che la sentenza del Tribunale di Udine diventa paradigmatica.
Infatti il caso mostra il momento in cui il processo operativo reale si emancipa dalla struttura organizzativa formalmente dichiarata. WhatsApp non è semplicemente un mezzo di comunicazione utilizzato in modo improprio. Diventa il luogo effettivo nel quale si esercitano funzioni organizzative, si coordinano attività, si gestiscono sostituzioni, si prendono decisioni operative e si realizza concretamente il trattamento delle informazioni.
La piattaforma, in altri termini, smette di essere un semplice strumento tecnologico e diventa parte integrante dell’architettura organizzativa reale.
La vera criticità privacy
Il problema non è soltanto che determinati dati transitino su un canale non formalmente autorizzato.
Il problema è che il trattamento finisca per svilupparsi dentro processi organizzativi che l’ente non sembra più pienamente in grado di descrivere, presidiare e ricondurre entro un’architettura procedurale coerente.
La vera vulnerabilità emerge nel momento in cui il titolare perde la capacità di rappresentare in maniera unitaria i processi effettivi attraverso cui il trattamento viene concretamente realizzato.
Quando i flussi informativi si sviluppano dentro ecosistemi relazionali paralleli, tollerati, ma non realmente governati, l’organizzazione perde progressivamente il controllo non soltanto sui dati, ma sul funzionamento stesso dei processi attraverso cui quei dati vengono utilizzati.
Ed è precisamente nella perdita di governo del processo che le esigenze di protezione dei dati e quelle di sicurezza delle informazioni tendono progressivamente a convergere.
La progressiva separazione tra organizzazione dichiarata e organizzazione reale
La sentenza mostra una dinamica che caratterizza sempre più frequentemente le organizzazioni contemporanee: le procedure continuano formalmente a esistere, ma smettono progressivamente di esercitare una reale funzione ordinante.
Questo non significa semplicemente che le regole vengano violate. Significa qualcosa di più complesso: le organizzazioni iniziano progressivamente a produrre una normatività operativa parallela che si sviluppa accanto all’architettura formale e che finisce, nella pratica quotidiana, per sostituirla.
In tali contesti, la separazione tra architettura formale e funzionamento reale non rileva soltanto sotto il profilo della conformità, ma può tradursi in un indebolimento dei presidi di controllo interno e in una crescente esposizione a rischio operativo, nella misura in cui l’organizzazione perde la capacità di identificare, presidiare e governare i processi effettivamente utilizzati.
Nel caso esaminato dal Tribunale, il referente aziendale riceve le comunicazioni via WhatsApp, interagisce con la lavoratrice e organizza le sostituzioni.
Questo significa che il processo organizzativo reale si è già spostato fuori dall’architettura procedurale formalmente dichiarata.
La questione, allora, non riguarda più la singola violazione della procedura. Riguarda la progressiva perdita della capacità dell’organizzazione di produrre normatività effettiva attraverso i propri apparati procedurali.
Ed è qui che la compliance contemporanea mostra la propria trasformazione più radicale. La conformità normativa non coincide più con la mera esistenza di regole astratte o documenti formalmente corretti.
Coincide con la capacità dell’organizzazione di incorporare concretamente le
regole nei propri processi operativi reali.
Quando questo allineamento si rompe, la vulnerabilità non è più soltanto normativa o tecnica. Diventa strutturalmente organizzativa.
Compliance sostanziale e responsabilità di contesto
Questo passaggio modifica radicalmente anche il modo in cui deve essere letto il rapporto tra compliance e responsabilità individuale.
Nel caso deciso dal Tribunale, la lavoratrice si muove all’interno di un ecosistema comunicativo già strutturato dall’organizzazione.
Non sceglie arbitrariamente un canale alternativo contro la volontà datoriale; utilizza uno strumento che il sistema relazionale dell’ente aveva già reso funzionalmente legittimo.
Pretendere, in una situazione simile, che sia il singolo lavoratore a percepire autonomamente l’inadeguatezza normativa della prassi organizzativa significa trasferire sull’individuo il costo del deficit di governance dell’organizzazione.
Ed è precisamente ciò che il modello europeo di protezione dei dati cerca di evitare.
Nei contesti tecnologicamente complessi, il rispetto della normativa non può dipendere dalla capacità dei singoli soggetti di orientarsi autonomamente all’interno di ambienti organizzativi opachi o contraddittori.
Per questa ragione il GDPR attribuisce centralità alle misure organizzative,
alla progettazione dei processi, alla costruzione di assetti prevedibili e alla riduzione dell’ambiguità sistemica.
La compliance, allora, non coincide più con l’esistenza di una regola astratta. Coincide con la capacità dell’organizzazione di produrre condizioni operative tali da rendere fisiologico il comportamento conforme.
Quando un’organizzazione tollera canali paralleli, utilizza prassi difformi, lascia che i referenti operino fuori dalle procedure formalizzate o costruisce relazioni operative su strumenti non governati, non sta semplicemente violando una policy interna.
Sta progressivamente perdendo capacità di governo sui propri processi.
Shadow IT, pressione operativa e organizzazioni parallele
È qui che il tema incontra direttamente la cybersecurity contemporanea.
Perché oggi la sicurezza non riguarda più soltanto la protezione dell’infrastruttura tecnologica.
Riguarda la capacità dell’organizzazione di mantenere allineati processi, comportamenti, responsabilità, architetture decisionali, canali comunicativi e modelli normativi interni.
Quando questo allineamento si rompe, la vulnerabilità non è più soltanto tecnica. Diventa epistemica e organizzativa.
In questa prospettiva, anche il fenomeno dello shadow IT deve essere letto in maniera meno semplicistica rispetto alla tradizionale rappresentazione della “tecnologia non autorizzata”: parliamo di strumenti e pratiche parallele che possono essere adottati perché percepiti come più rapidi, immediati ed efficienti rispetto ai canali ufficiali.
Ed è precisamente questo il punto che merita attenzione.
Shadow IT e organizzazione reale
Nella gran parte dei casi, infatti, lo shadow IT non nasce da una volontà elusiva o antagonistica rispetto all’organizzazione.
Nasce piuttosto dall’esigenza di mantenere tempestività decisionale, continuità operativa e rapidità comunicativa dentro contesti organizzativi che spesso non riescono più a sostenere la velocità dei processi reali.
Le piattaforme di messaggistica istantanea vengono utilizzate perché consentono di coordinare sostituzioni in tempo reale, condividere informazioni operative immediate, gestire criticità improvvise, accelerare flussi autorizzativi o mantenere continuità nelle relazioni organizzative.
Il problema, allora, non è la “devianza” del singolo operatore, ma il fatto che l’infrastruttura procedurale ufficiale non riesca più, da sola, a sostenere la pressione operativa dell’organizzazione contemporanea.
E, quindi, il fenomeno smette di essere soltanto tecnologico perché quando i processi operativi reali trovano stabilmente la propria efficienza fuori dai canali formalmente previsti, significa che l’organizzazione sta progressivamente producendo una normatività parallela fondata sulla funzionalità concreta piuttosto che sulla governance formalmente dichiarata.
Da un punto di vista strettamente di cyber security, questa dinamica produce effetti rilevanti che spesso rimangono sottotraccia.
La perdita progressiva dei presidi fondamentali
Quando i flussi informativi migrano verso canali non governati o solo tollerati, l’organizzazione perde progressivamente alcuni presidi fondamentali:
- la visibilità dei flussi di dati, con conseguente difficoltà nel rilevare accessi, anomalie o comportamenti anomali;
- la tracciabilità delle operazioni, che compromette la capacità di audit e di ricostruzione degli eventi;
- il controllo sugli accessi e sulle autorizzazioni, in particolare nei contesti di collaborazione distribuita;
- la gestione coordinata degli incidenti, resa più complessa dalla frammentazione dei canali e degli strumenti utilizzati.
Il disallineamento tra organizzazione dichiarata e organizzazione reale
In questo senso, la separazione tra organizzazione dichiarata e organizzazione reale non produce soltanto un problema di compliance, ma incide direttamente sul perimetro di sicurezza effettivo dell’ente, che finisce per non coincidere più con quello formalmente presidiato.
Tuttavia, questa dinamica sembra oggi estendersi oltre la dimensione degli strumenti e dei canali operativi.
In alcuni contesti, il disallineamento tra organizzazione dichiarata e organizzazione reale inizia a riguardare non solo il luogo in cui i processi si svolgono, ma anche le modalità attraverso cui vengono elaborate informazioni e formulate decisioni
È in questo passaggio che emerge una nuova questione, destinata a incidere profondamente sugli assetti di governance: quella della shadow AI su cui sarà incentrato un successivo intervento.
Partecipa alla community