Articolo a cura di: Redazione - Studio Legale Calvello

La sottrazione di dati da parte di un dipendente può assumere forme molto diverse: copia del database clienti, esportazione di informazioni dal gestionale o dal CRM, trasferimento di file su dispositivi personali, invio di documenti alla propria email privata, caricamento su servizi cloud oppure conservazione di dati prima delle dimissioni. Quando tra le informazioni sottratte vi sono anche dati personali di clienti, dipendenti, fornitori o altri interessati, il problema non riguarda soltanto la tutela del patrimonio informativo dell’impresa: può configurarsi una violazione dei dati personali che richiede una valutazione immediata ai sensi del GDPR.

In queste situazioni occorre agire rapidamente, ma evitando iniziative che possano compromettere le prove o creare ulteriori problemi sul piano lavoristico e privacy. L’azienda deve anzitutto contenere l’accesso ai sistemi, preservare log e altre evidenze informatiche, ricostruire quali informazioni siano state effettivamente acquisite o trasferite e verificare se ricorrano i presupposti per la gestione dell’incidente come data breach. Parallelamente possono rendersi necessarie iniziative nei confronti del lavoratore o dell’ex dipendente e misure per impedire ulteriori utilizzi o divulgazioni dei dati.

Quando la sottrazione di dati da parte del dipendente diventa anche un problema GDPR

Non ogni sottrazione di informazioni aziendali coincide automaticamente con un data breach. Occorre distinguere il patrimonio informativo dell’impresa dai dati personali protetti dal Regolamento (UE) 2016/679. Se il dipendente copia esclusivamente informazioni tecniche o commerciali prive di dati personali, possono sorgere problemi di riservatezza, tutela del know-how, segreti commerciali, obblighi contrattuali e responsabilità del lavoratore, ma il GDPR può non essere direttamente coinvolto. La situazione cambia quando i file sottratti contengono, ad esempio, nominativi e recapiti dei clienti, dati dei dipendenti, informazioni relative ai fornitori, credenziali, dati finanziari, informazioni sanitarie o altre informazioni riferibili a persone fisiche.

Il GDPR considera violazione dei dati personali un incidente di sicurezza che comporta, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. La circostanza che l’autore sia un dipendente che disponeva legittimamente di determinate credenziali non esclude quindi, di per sé, il data breach: occorre verificare se abbia utilizzato l’accesso oltre le istruzioni ricevute, abbia copiato o trasferito informazioni per finalità estranee alle mansioni oppure le abbia rese disponibili a soggetti non autorizzati.

Il punto è particolarmente delicato quando il dipendente aveva normalmente accesso al CRM, al gestionale o alle cartelle aziendali. L’autorizzazione ad accedere ai dati per svolgere le proprie mansioni non equivale infatti alla facoltà di copiarli per finalità personali, trasferirli su dispositivi privati, conservarli dopo la cessazione del rapporto o utilizzarli nell’interesse proprio o di un’altra impresa. Per questo è necessario ricostruire quali dati il dipendente poteva trattare, in base a quali istruzioni e quali operazioni abbia concretamente compiuto.

La verifica deve essere puntuale. Un download anomalo non dimostra da solo che tutti i dati siano stati sottratti o successivamente divulgati; allo stesso modo, la semplice cancellazione dell’account aziendale non consente di stabilire che l’incidente sia terminato se esistono copie già esportate. Devono essere esaminati, secondo le circostanze e nel rispetto delle regole applicabili ai controlli sui lavoratori, log di accesso, operazioni di esportazione, sistemi utilizzati, account interessati, periodi temporali, eventuali inoltri verso indirizzi esterni e ulteriori elementi tecnici disponibili.

Se dalla ricostruzione emerge una violazione di dati personali, l’azienda deve attivare la propria procedura di gestione del data breach. Questo non significa che ogni episodio debba essere automaticamente notificato al Garante: la decisione dipende dalla valutazione del rischio per i diritti e le libertà delle persone coinvolte. La violazione deve comunque essere documentata secondo quanto previsto dall’art. 33 GDPR. Quando l’incidente presenta caratteristiche che rendono necessaria la notifica, il termine previsto dal Regolamento è, ove possibile, di 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Sul tema abbiamo approfondito separatamente cosa fare nelle prime 72 ore dopo un data breach e quando notificare un data breach al Garante Privacy.

Cosa fare appena l’azienda scopre che un dipendente ha copiato o sottratto i dati

Le prime attività devono perseguire due esigenze che possono entrare in tensione: fermare la sottrazione e conservare le prove di quanto è accaduto. Bloccare immediatamente account, cancellare dispositivi da remoto o modificare sistemi senza una preventiva valutazione può essere necessario per contenere un incidente ancora in corso, ma in determinate circostanze può anche alterare informazioni utili a ricostruire i fatti. L’intervento deve quindi essere coordinato tra le funzioni aziendali competenti, coinvolgendo IT, HR e, quando presente e pertinente, il DPO, oltre ai professionisti incaricati dell’assistenza legale o dell’analisi tecnica.

La priorità operativa consiste nel verificare se il dipendente disponga ancora di accessi attivi e se vi siano ulteriori possibilità di esportazione o divulgazione. In base alla situazione possono rendersi necessarie la revoca o sospensione delle credenziali, la modifica delle autorizzazioni, il controllo degli account aziendali e la messa in sicurezza dei sistemi. Particolare attenzione richiedono i casi in cui il dipendente sia in fase di dimissioni, preavviso o cessazione del rapporto: una procedura di offboarding incompleta può lasciare attivi accessi a CRM, caselle di posta, repository documentali, applicazioni cloud e altri sistemi contenenti informazioni riservate o dati personali.

Contemporaneamente occorre preservare gli elementi utili alla ricostruzione dell’incidente. I log disponibili possono consentire di individuare accessi, download, esportazioni o altre operazioni anomale; l’analisi dei dispositivi aziendali può richiedere competenze tecniche specifiche. La raccolta delle prove deve però rispettare la disciplina applicabile ai controlli sui lavoratori e alla protezione dei dati personali. Il sospetto di una condotta illecita non attribuisce al datore di lavoro un potere indiscriminato di accedere a qualsiasi comunicazione o informazione del dipendente.

Una volta delimitato l’incidente, dobbiamo comprendere quali dati siano usciti dal perimetro autorizzato, quante persone siano coinvolte, quale sia la natura delle informazioni e quali utilizzi successivi siano ragionevolmente possibili. La sottrazione di un elenco contenente soli recapiti professionali presenta un profilo diverso rispetto all’esportazione di documenti contenenti dati finanziari, credenziali, informazioni sanitarie o altre categorie di dati particolarmente delicate. Anche la destinazione assume rilievo: una copia rimasta su un dispositivo recuperato può richiedere una valutazione differente rispetto a dati trasmessi a un concorrente, caricati su un account cloud personale o già utilizzati per contattare clienti.

Questa ricostruzione serve anche per stabilire gli adempimenti GDPR. L’art. 32 impone al titolare di adottare misure tecniche e organizzative adeguate al rischio e richiede che chi opera sotto la sua autorità e accede a dati personali li tratti secondo le istruzioni ricevute. L’incidente può quindi rendere necessario verificare non soltanto la condotta individuale, ma anche l’organizzazione degli accessi: privilegi eccessivi, account condivisi, assenza di tracciamento, mancata revoca delle credenziali o possibilità di esportare grandi quantità di dati senza adeguati controlli possono richiedere interventi correttivi.

Quando il dipendente ha già cessato il rapporto, assume particolare rilievo anche la verifica degli accessi residui. Abbiamo esaminato specificamente questo profilo nell’approfondimento dedicato alla privacy e all’accesso ai dati da parte di ex dipendenti. Nel caso della sottrazione, però, la revoca delle credenziali costituisce soltanto una parte dell’intervento: occorre stabilire se esistano copie esterne, se sia possibile ottenerne restituzione o cancellazione, se i dati siano già stati utilizzati e quali ulteriori iniziative siano giuridicamente appropriate.

Se l’impresa dispone di un Modello 231, di procedure di sicurezza, di un sistema disciplinare o di flussi informativi verso l’Organismo di Vigilanza, l’episodio può richiedere anche una verifica sotto questi profili, in funzione della natura della condotta e dei fatti accertati. Il collegamento con il D.Lgs. 231/2001 non deve però essere dato per scontato: la sottrazione di dati da parte di un dipendente non determina automaticamente una responsabilità amministrativa dell’ente. Occorre verificare separatamente l’eventuale rilevanza penale della condotta, la riconducibilità a un reato presupposto e gli ulteriori requisiti previsti dal decreto.

Come gestire il data breach, le prove e le responsabilità senza aggravare il problema

Dopo avere contenuto l’accesso ai sistemi e ricostruito le operazioni compiute dal dipendente, l’azienda deve decidere come qualificare e gestire l’incidente. Se sono stati sottratti dati personali, occorre valutare il rischio per i diritti e le libertà degli interessati considerando natura e quantità dei dati, numero delle persone coinvolte, possibilità di identificazione, eventuale presenza di credenziali o informazioni particolarmente delicate e probabilità che i dati vengano utilizzati, divulgati o trasferiti ulteriormente. La valutazione deve essere documentata anche quando si conclude che non ricorrono i presupposti per notificare la violazione al Garante.

Quando il rischio raggiunge la soglia prevista dall’art. 33 GDPR, il titolare deve notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Se invece la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutata anche la comunicazione agli interessati ai sensi dell’art. 34 GDPR, tenendo conto delle condizioni e delle eccezioni previste dalla norma. Per questo la scoperta che un dipendente ha copiato un database non dovrebbe tradursi né in una notifica automatica né, all’opposto, nella decisione di considerare l’episodio una semplice questione disciplinare.

La gestione privacy deve procedere insieme alla tutela dell’azienda nei confronti dell’autore della condotta. Possono essere necessarie contestazioni disciplinari, richieste di restituzione o cancellazione dei dati, diffide rispetto al loro utilizzo e ulteriori iniziative giudiziali o stragiudiziali. La scelta dipende da ciò che è effettivamente accaduto e dalle prove disponibili. Se, ad esempio, un dipendente ha inviato documenti alla propria casella personale, è diverso il caso in cui il materiale sia stato immediatamente recuperato e non ulteriormente utilizzato rispetto a quello in cui il database sia stato trasferito a un concorrente o impiegato per contattare la clientela.

Proprio la prova richiede particolare cautela. L’azienda può avere interesse a esaminare log, posta elettronica aziendale, dispositivi, cronologia delle operazioni o altri elementi digitali, ma deve farlo nel rispetto della disciplina lavoristica e privacy applicabile. Una raccolta indiscriminata di comunicazioni o informazioni personali può creare un secondo problema giuridico e compromettere l’utilizzabilità o la corretta acquisizione degli elementi sui quali fondare le successive iniziative. È quindi opportuno definire preventivamente quali dati siano realmente necessari per accertare i fatti e conservarli secondo modalità idonee a preservarne integrità e attendibilità.

L’incidente deve essere utilizzato anche per verificare le misure organizzative che hanno consentito la sottrazione. Se un singolo dipendente poteva esportare senza limitazioni un intero database clienti, utilizzare account condivisi o mantenere credenziali attive dopo il cambiamento delle mansioni, il problema non riguarda più soltanto la condotta individuale. Può rendersi necessario rivedere autorizzazioni, privilegi, procedure di offboarding, sistemi di logging, istruzioni agli autorizzati, formazione e misure tecniche previste per impedire accessi o esportazioni non necessari. Questa verifica rientra nella logica di accountability del GDPR e può incidere sulla valutazione complessiva dell’incidente.

Quando la sottrazione emerge da una segnalazione interna, deve essere rispettata anche la disciplina applicabile al whistleblowing. L’istruttoria sulla condotta segnalata e la gestione della violazione dei dati personali possono procedere parallelamente, ma con finalità, soggetti autorizzati e regole di riservatezza che non devono essere confuse. Allo stesso modo, nelle imprese dotate di Modello 231, l’eventuale coinvolgimento dell’Organismo di Vigilanza dipenderà dai fatti, dai flussi informativi previsti dal Modello e dalla possibile rilevanza dell’episodio rispetto alle aree di rischio presidiate. Non ogni sottrazione di dati deve essere trasformata artificialmente in una questione 231, mentre un episodio concretamente rilevante non dovrebbe essere escluso dai flussi previsti dall’organizzazione aziendale.

Un caso pratico: il dipendente esporta il database clienti prima delle dimissioni

Consideriamo, a titolo esemplificativo, il caso di un’azienda che rileva un’anomala esportazione dal CRM effettuata da un dipendente durante il periodo di preavviso. Il file contiene dati identificativi e recapiti di numerosi clienti e risulta trasferito al di fuori dei sistemi aziendali. L’impresa deve evitare di limitarsi alla revoca delle credenziali: occorre preservare i log, ricostruire le operazioni effettuate, individuare con precisione i dati coinvolti e verificare se esistano ulteriori copie o trasferimenti.

L’attività richiede particolare attenzione nel coordinare la conservazione delle evidenze con il contenimento dell’incidente. Dopo avere delimitato i dati interessati, viene effettuata la valutazione della violazione ai fini degli artt. 33 e 34 GDPR e vengono esaminate separatamente le iniziative nei confronti del dipendente. La verifica interna riguarda anche i privilegi assegnati sul CRM e la procedura prevista per i lavoratori in uscita, così da comprendere perché fosse possibile esportare il database e quali misure organizzative debbano essere corrette. Un caso di questo tipo mostra perché la sottrazione di dati da parte di un dipendente richiede una gestione coordinata tra profili privacy, informatici, probatori e lavoristici, anziché un intervento limitato alla sola disattivazione dell’account.

Domande frequenti sulla sottrazione di dati aziendali da parte di un dipendente

Se un dipendente copia il database clienti si tratta sempre di un data breach?
No. Occorre verificare il contenuto del database e le circostanze della sottrazione. Se sono coinvolti dati personali e la copia determina un accesso, una divulgazione o comunque un trattamento non autorizzato, l’episodio può integrare una violazione dei dati personali ai sensi del GDPR. La qualificazione deve essere effettuata sulla situazione concreta.

L’azienda deve sempre notificare al Garante la sottrazione di dati personali?
No. Ai sensi dell’art. 33 GDPR, la notifica non è richiesta quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. L’azienda deve però effettuare e documentare la valutazione. Se ricorrono i presupposti per la notifica, questa deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione.

Possiamo controllare il computer e la posta elettronica aziendale del dipendente?
La necessità di accertare una possibile sottrazione di dati non consente controlli indiscriminati. Devono essere considerate la disciplina sui controlli dei lavoratori, le regole privacy, le policy aziendali applicabili e le caratteristiche dell’indagine. Prima di accedere a comunicazioni, dispositivi o account è opportuno definire quali verifiche siano necessarie e proporzionate, anche per evitare di compromettere la corretta acquisizione delle prove.

Cosa fare se il dipendente si è già dimesso e conserva una copia dei dati?
La revoca degli accessi aziendali non risolve il problema delle copie già esportate. Occorre ricostruire quali informazioni siano state sottratte, dove possano essere conservate e se risultino utilizzate o comunicate a terzi. In base alle circostanze possono essere valutate richieste di restituzione o cancellazione, diffide e ulteriori iniziative per impedire l’utilizzo dei dati, oltre agli eventuali adempimenti GDPR.

La sottrazione dei dati da parte di un dipendente coinvolge anche il Modello 231?
Non automaticamente. Nelle imprese che hanno adottato un Modello 231 occorre verificare la natura della condotta, l’eventuale rilevanza rispetto ai reati presupposto, i protocolli applicabili e i flussi informativi verso l’Organismo di Vigilanza. La responsabilità dell’ente ai sensi del D.Lgs. 231/2001 richiede specifici presupposti e non deriva dalla semplice circostanza che un dipendente abbia sottratto informazioni aziendali.

Come possiamo assistere l’azienda quando un dipendente sottrae dati

Quando emerge che un dipendente o un ex dipendente ha copiato, esportato o utilizzato dati aziendali e personali, è necessario ricostruire rapidamente l’accaduto e distinguere i diversi profili coinvolti. La valutazione può riguardare il contenimento dell’incidente, la conservazione delle prove, la qualificazione dell’evento come data breach, l’eventuale notifica al Garante, la tutela dei dati dei clienti o dei dipendenti e le iniziative da adottare nei confronti dell’autore della condotta.

Assistiamo le imprese nella gestione di queste situazioni valutando gli obblighi GDPR e le misure da adottare sulla base delle caratteristiche concrete dell’incidente. Per sottoporci il caso è possibile richiedere una valutazione in merito al GDPR e alla privacy aziendale attraverso il modulo dedicato.