Le indagini interne richiedono un equilibrio delicato tra esigenza investigativa, diritti dei lavoratori e rispetto del GDPR. Una gestione rigorosa di basi giuridiche, accessi, conservazione e documentazione è essenziale per evitare rischi sanzionatori e contenziosi.
Base giuridica del trattamento dei dati nelle indagini interne
Nelle indagini interne il primo nodo da sciogliere è la base giuridica del trattamento. Senza un fondamento chiaro ogni attività investigativa rischia di essere contestata, a prescindere da quanto sia legittima l’esigenza aziendale.
Nella maggior parte dei casi il riferimento va ricercato nell’adempimento di un obbligo legale (ad esempio in materia di sicurezza sul lavoro, normativa anticorruzione, segnalazioni di illeciti) e nel legittimo interesse del titolare, soprattutto quando l’indagine ha natura di controllo difensivo a tutela dell’azienda in previsione o in pendenza di un contenzioso. La base “esecuzione del contratto di lavoro” è di solito troppo stretta per coprire un’attività investigativa strutturata.
Il consenso del lavoratore è in genere inidoneo: il rapporto di subordinazione rende difficile considerarlo realmente libero. Può avere un ruolo marginale, ad esempio per trattamenti accessori non strettamente necessari, ma non può sorreggere l’intera indagine.
La scelta della base giuridica va formalizzata in modo preciso: policy interne, registro dei trattamenti, incarichi agli investigatori o agli studi legali, fino ad arrivare – nei casi più delicati – a una vera e propria valutazione d’impatto (DPIA) che chiarisca rischi, misure e ragioni del trattamento.
Principio di minimizzazione e pertinenza delle informazioni raccolte
Il principio di minimizzazione impone che, nelle indagini interne, vengano trattati solo i dati strettamente necessari al perseguimento delle finalità accertative. È un criterio operativo, non un vezzo formale: influenza scelte quotidiane su quali email acquisire, quali log analizzare, quali colleghi sentire come testimoni.
Raccogliere “tutto, nel dubbio” è la scorciatoia più rischiosa. Se l’azienda indaga su un sospetto di appropriazione indebita, difficilmente sarà giustificabile la copia integrale della posta elettronica di un dipendente per mesi, inclusa la corrispondenza palesemente privata o irrilevante. Meglio delimitare a priori periodo, parole chiave, categorie di dati da includere ed escludere.
La pertinenza va valutata in concreto: alcune informazioni sensibili (come dati sanitari o relativi alle opinioni politiche) non dovrebbero mai entrare nel perimetro dell’indagine, se non in casi estremi e ben documentati. Nelle verifiche sull’uso degli strumenti aziendali, ad esempio, è preferibile lavorare su metadati e statistiche aggregate, limitando l’accesso ai contenuti solo quando emergano indizi specifici.
Un buon metodo è definire in anticipo criteri di ricerca e filtri con il supporto dell’IT e della funzione privacy, lasciando traccia delle scelte fatte. Anche un semplice verbale interno può fare la differenza.
Accesso ai dati investigativi da parte di HR e legali interni
Chi può vedere cosa, durante e dopo un’indagine interna, è un tema spesso sottovalutato. Il principio di need to know dovrebbe guidare la gestione degli accessi: solo chi è effettivamente coinvolto e ha competenze specifiche dovrebbe poter trattare i dati investigativi.
La funzione HR ha quasi sempre un ruolo centrale, soprattutto quando le risultanze possono portare a procedimenti disciplinari. Tuttavia, non è necessario che tutta la struttura HR acceda al dettaglio delle evidenze raccolte: in molti casi è sufficiente che la documentazione sensibile resti circoscritta a un numero limitato di referenti, formalmente incaricati del trattamento e vincolati alla riservatezza.
I legali interni svolgono spesso una funzione di coordinamento dell’indagine, in particolare quando si configurano controlli difensivi o si prevedono riflessi penali e civili. Qui entra in gioco anche la distinzione – non sempre netta – tra documentazione coperta da segreto professionale e materiale puramente gestionale. In alcune realtà, le attività più critiche vengono affidate a studi legali esterni proprio per rafforzare il perimetro di tutela.
Sul piano tecnico, conviene prevedere cartelle elettroniche segregate, tracciamento degli accessi, divieto di inoltro non autorizzato e gestione separata dei file più delicati. Un foglio Excel copiato su una chiavetta USB sbagliata ha causato più problemi di molte violazioni teoriche del GDPR.
Conservazione, anonimizzazione e distruzione dei documenti d’indagine
La conservazione dei dati raccolti in un’indagine interna non può essere indefinita. Il principio di limitazione della conservazione richiede tempi chiari e motivati, commisurati alla natura dei fatti esaminati e ai possibili sviluppi (disciplinari, civili, penali, assicurativi).
In pratica, è utile distinguere fra documentazione investigativa “grezza” (esportazioni complete di email, log di sistema, note di colloqui) e documentazione “di sintesi”, come il rapporto conclusivo. La prima dovrebbe avere una conservazione più breve, limitata al tempo necessario per verifiche, contraddittorio e primi eventuali contenziosi. Il rapporto, invece, può essere conservato più a lungo, ma con accessi molto controllati.
L’anonimizzazione o, più spesso, la pseudonimizzazione è uno strumento prezioso. Quando l’indagine viene utilizzata per aggiornare procedure, fare formazione o alimentare statistiche interne, non serve conservare i nomi dei soggetti coinvolti. Si può lavorare con identificativi numerici o dati aggregati, mantenendo separata la chiave di collegamento, custodita dal DPO o dall’ufficio legale.
La distruzione sicura dei documenti d’indagine dovrebbe seguire procedure standard: cancellazione certificata dei file, distruzione fisica della carta tramite servizi qualificati, rimozione di copie ridondanti in backup non necessari. È bene che tutto ciò sia tracciato, ad esempio con un semplice verbale di cancellazione.
Informative ai lavoratori e limiti di trasparenza investigativa
Il GDPR insiste molto su trasparenza e informativa. Nel contesto delle indagini interne, però, la comunicazione al lavoratore deve misurarsi con un’esigenza contraria: non compromettere l’efficacia dell’attività investigativa. È una tensione fisiologica.
La soluzione non è improvvisare, ma prevedere già nelle informative generali sul trattamento dei dati dei dipendenti la possibilità di effettuare controlli difensivi e indagini mirate in presenza di indizi concreti di illecito. L’uso di formule chiare – ma non eccessivamente dettagliate – permette di rispettare l’obbligo di informazione senza rivelare in anticipo le tecniche investigative.
Durante una specifica indagine, può essere legittimo differire alcune informazioni al lavoratore, in particolare quando vi sia il rischio di inquinamento delle prove o di ostacolo all’accertamento. Occorre però valutare caso per caso e non trasformare il differimento in una regola. Una volta conclusa la fase più delicata, è opportuno chiarire al dipendente i trattamenti effettuati sui suoi dati, soprattutto se ne derivano conseguenze disciplinari.
Nel contesto di segnalazioni anonime o whistleblowing, il bilanciamento diventa ancora più delicato: bisogna tutelare il segnalante, garantire i diritti dell’indagato e non eccedere nelle comunicazioni che potrebbero identificare chi ha collaborato con l’indagine.
Come documentare la compliance privacy in caso di verifiche
Quando un’autorità o un giudice esamina un’indagine interna, il dato tecnico conta, ma spesso pesa di più come l’azienda ha documentato le proprie scelte. La responsabilizzazione (accountability) si gioca soprattutto qui.
Un primo pilastro è il registro dei trattamenti, che dovrebbe contenere una voce specifica per le indagini interne e i controlli difensivi, con indicazione di basi giuridiche, categorie di dati, destinatari, tempi di conservazione. In secondo luogo, è utile predisporre una procedura interna che descriva il flusso tipico: attivazione dell’indagine, ruoli coinvolti, criteri di raccolta, misure di sicurezza.
Per le indagini più sensibili, la DPIA diventa quasi imprescindibile. Anche una valutazione “snella”, ma ben strutturata, aiuta a dimostrare che l’azienda ha riflettuto sui rischi di trattamento illecito o sproporzionato. In parallelo, andrebbero conservati: incarichi a consulenti, verbali di riunioni, istruzioni a IT e HR, log di accesso ai fascicoli.
Un dettaglio spesso trascurato è la formazione mirata: attestati di partecipazione, slide, materiali dedicati a HR, legali, cybersecurity. In un contesto sportivo nessuno farebbe disputare una gara complessa senza allenamento mirato; nelle indagini interne succede più spesso di quanto si pensi. Documentare che il “team” è preparato vale quasi quanto il regolamento.
