Quando un dipendente si dimette e si sospetta che abbia trafugato dati riservati copiati, la tempestività è importante. La fretta, però, non deve trasformare un controllo interno in un’attività invasiva o difficile da utilizzare in seguito.
L’obiettivo è ricostruire i fatti, proteggere il patrimonio informativo dell’impresa e raccogliere elementi verificabili. Servono metodo, tracciabilità e rispetto delle regole sullaprivacy.
Prima fase: contenere il rischio senza cancellare le tracce
Occorre disabilitare, secondo le procedure aziendali, gli account non più necessari e revocare gli accessi a VPN, cloud, gestionali, repository e dispositivi aziendali.
È utile cambiare le credenziali condivise e verificare le autorizzazioni ancora attive. Ogni intervento dovrebbe essere documentato con data, ora, responsabile e motivazione.
Non bisogna però formattare subito il computer, cancellare il telefono aziendale o sovrascrivere i log. Un intervento tecnico non pianificato può eliminare le informazioni utili a capire che cosa è successo.
Che cosa verificare nei sistemi aziendali
Gli accertamenti possono concentrarsi sugli eventi tecnici pertinenti al sospetto concreto: accessi ai server, download anomali, copia su USB, trasferimenti verso account personali e uso di servizi cloud.
Possono essere utili anche i log di autenticazione, la cronologia degli accessi ai documenti e gli eventi di condivisione. La rilevanza dipende dal sistema e dalle policy effettivamente comunicate al personale.
Non è corretto cercare indiscriminatamente ogni attività compiuta dal lavoratore. Il Garante richiama liceità, pertinenza, necessità, minimizzazione e trasparenza nel trattamento dei dati dei dipendenti [1].
Conservare le evidenze con criteri forensi
I dati utili vanno acquisiti mantenendo, per quanto possibile, l’originale e una copia di lavoro. È opportuno annotare chi ha raccolto il dato, da quale sistema proviene, quando è stato estratto e con quale procedura.
Per i file copiati si possono calcolare impronte digitali, come gli hash, così da dimostrare che il contenuto non è cambiato. Anche schermate, esportazioni dei log e report tecnici devono essere collegati a una fonte precisa.
La relazione tecnica deve distinguere i fatti dalle interpretazioni. Dire che un file è stato scaricato alle 18:42 è diverso dal concludere, senza altri elementi, che sia stato usato per danneggiare l’azienda.
Il ruolo delle policy aziendali
Una policy chiara sull’uso di computer, posta elettronica, cloud e supporti rimovibili aiuta a definire quali comportamenti siano consentiti e quali controlli siano possibili.
Il Garante ha indicato l’utilità di disciplinari interni specifici, comprensibili e portati a conoscenza dei lavoratori. La policy dovrebbe chiarire anche quali dati tecnici vengono registrati, per quali finalità, chi può consultarli e per quanto tempo [2].
Le regole non autorizzano automaticamente qualsiasi controllo. L’articolo 4 dello Statuto dei lavoratori prevede condizioni specifiche per gli strumenti dai quali possa derivare un controllo a distanza e impone finalità determinate, informazione e garanzie procedurali [3].
Attenzione alla posta elettronica dell’ex dipendente
La casella aziendale non dovrebbe diventare uno strumento per leggere senza limiti la corrispondenza dell’ex lavoratore. Dopo la cessazione del rapporto occorre tutelare sia la continuità dell’attività sia la riservatezza.
Il Garante ha contestato il mantenimento prolungato dell’account e la lettura sistematica dei messaggi, anche quando l’azienda aveva un interesse a raccogliere elementi per una controversia [4].
È preferibile disattivare l’account, predisporre un indirizzo alternativo per i contatti e valutare le informazioni già disponibili attraverso sistemi aziendali leciti, senza monitorare in modo massivo la casella individuale.
Quando coinvolgere un investigatore privato
Se esiste un sospetto concreto di sottrazione di informazioni, concorrenza sleale o violazione di obblighi contrattuali, il titolare può valutare con il proprio legale un incarico investigativo mirato.
L’investigatore privato non dovrebbe procedere di propria iniziativa. Le regole del Garante prevedono un incarico scritto, con l’indicazione del diritto da esercitare, dei fatti che giustificano l’attività e di un termine ragionevole [5].
L’incarico deve delimitare l’oggetto dell’indagine. Non si tratta di raccogliere tutto ciò che riguarda una persona, ma di verificare fatti specifici con modalità proporzionate e rispettose della legge.
Un percorso operativo in sei passaggi
1. Formalizzare il sospetto
Raccogliere le informazioni iniziali: quali dati mancano, quali cartelle sono interessate, quando è comparsa l’anomalia e chi aveva accesso.
2. Mettere in sicurezza gli accessi
Revocare le autorizzazioni non necessarie e preservare i sistemi, evitando iniziative che possano alterare o cancellare le evidenze.
3. Definire il perimetro
Con il legale e, se necessario, con un tecnico forense, stabilire dispositivi, account, intervalli temporali e categorie di dati pertinenti.
4. Acquisire e documentare
Creare copie verificabili, registrare le operazioni e separare i dati rilevanti da quelli estranei o eccedenti.
5. Valutare gli esiti
Confrontare log, documenti, procedure interne e dichiarazioni, senza formulare accuse prima di avere elementi concordanti.
6. Decidere le iniziative
Dopo la valutazione complessiva si potrà considerare, con il professionista incaricato, una contestazione, una richiesta risarcitoria o un’azione giudiziaria.
Perché evitare il fai-da-te
Controllare di nascosto un dispositivo personale, accedere a un account privato o installare software di sorveglianza può creare nuovi problemi e compromettere la genuinità degli elementi raccolti.
Anche la conservazione eccessiva di log o email può risultare sproporzionata. Il Garante ha ribadito che finalità, quantità e durata della conservazione devono essere limitate a quanto necessario [6].
Un accertamento ben impostato non controlla una persona in generale. Ricostruisce un fatto preciso, con dati pertinenti, procedure documentate e garanzie adeguate.
Conclusione
Quando dati riservati risultano copiati prima delle dimissioni, la risposta più efficace è coordinare sicurezza informatica, consulenza legale e accertamenti professionali.
Agire subito è importante, ma lo è altrettanto agire entro un perimetro chiaro. La raccolta delle evidenze deve essere mirata, proporzionata e tracciabile, così da proteggere l’azienda senza esporla a ulteriori contestazioni.
Per un caso concreto è consigliabile coinvolgere un avvocato e, quando occorre ricostruire attività al di fuori dei soli sistemi aziendali, un investigatore autorizzato.
