Dipendenti licenziati e investigatori privati

Con la sentenza n. 28378/2023 (sotto allegata) la Cassazione si è occupata di una vicenda legata ad un licenziamento disciplinare basato su prove raccolte da investigatori privati.

È ormai pacifico che il datore di lavoro possa effettuare controlli sui propri dipendenti (cc.dd. difensivi) a tutela del proprio patrimonio aziendale, anche di tipo occulto, se finalizzati ad evitare comportamenti illeciti, ed in presenza di un fondato sospetto circa la commissione di un illecito, purché sia assicurato un corretto bilanciamento tra le esigenze di protezione di interessi e beni aziendali, correlate alla libertà di iniziativa economica, rispetto alle imprescindibili tutele della dignità e della riservatezza del lavoratore, e sempre che il controllo riguardi dati acquisiti successivamente all'insorgere del sospetto. Non è esclusa la possibilità per il datore di lavoro – ed è anzi ormai prassi consolidata – di ricorrere ad agenzie investigative purché queste non sconfinino nella vigilanza dell'attività lavorativa vera e propria, restando giustificato l'intervento in questione non solo per l'avvenuta perpetrazione di illeciti e l'esigenza di verificarne il contenuto, ma anche in ragione del solo sospetto o della mera ipotesi che degli illeciti siano in corso di esecuzione.

Pertanto, i controlli del datore di lavoro a mezzo di agenzia investigativa, riguardanti l'attività lavorativa del prestatore svolta anche al di fuori dei locali aziendali, sono legittimi ove siano finalizzati a verificare comportamenti che possano configurare ipotesi penalmente rilevanti, od integrare attività fraudolente o fonti di danno per il datore medesimo, escludendo che l'oggetto dell'accertamento sia l'adempimento, la qualità o la quantità della prestazione lavorativa.

Per il trattamento dei dati personali della persona oggetto di indagine (cd. "target investigativo"), l'investigatore privato può fruire dell'esimente prevista dall'ex art. 24 d. lgs. 196/03 rispetto all'obbligo di acquisizione del consenso preventivo stabilito dall'ex art. 23 stesso codice (oggi Considerando 47 e 52 GDPR 679/2016), applicabile allorquando si intenda tutelare un proprio od altrui diritto in sede giudiziaria.

Può capitare, però, che l'investigatore incaricato abbia necessità di avvalersi di altri investigatori. In tal caso è necessario che il primo rispetti scrupolosamente non soltanto i dettami previsti dall'articolo 260 del Regio Decreto 6 maggio 1940, n. 635 (Regolamento per l'esecuzione del TULPS) e dal D.M 269/10 in materia di investigazione privata, ma anche quelli statuiti dal suddetto GDPR in materia di trattamento dei dati personali. In particolare, è indispensabile che i nominativi di eventuali altri professionisti coinvolti nell'indagine siano indicati nell'incarico all'atto del conferimento, o successivamente allo stesso qualora l'esigenza sia sopravvenuta. Trattasi di un requisito di validità e di liceità delle indagini e della utilizzabilità del relativo esito, con ciò prescindendo dal fatto che l'investigatore "B" incaricato dall'investigatore "A" sia anche egli titolare della prevista autorizzazione. Nel mandato investigativo dell'agenzia incaricata, pertanto, è indispensabilità che sia menzionata l'ipotesi che essa si possa avvalere di altri investigatori, e che questi siano indicati in tale documento, sia ab origine sia ex post.

Tale mancanza inficia il mandato e comporta, di conseguenza, l'inutilizzabilità, ai sensi dell'art. 11, co. 2, d.lgs. n. 196/2003, dei dati raccolti da soggetti non legittimati a farlo. L'autorizzazione n. 6/2016 del Garante per la protezione dei dati personali, registro dei provvedimenti n. 528 del 15/12/2016 prevede, infatti, che "l'investigatore privato deve eseguire personalmente l'incarico ricevuto e non può avvalersi di altri investigatori non indicati nominativamente all'atto del conferimento dell'incarico oppure successivamente in calce ad esso qualora tale possibilità sia stata prevista nell'atto di incarico", come anche ribadito dall'articolo 8, comma 4, del provvedimento del garante n. 60 del 06/11/2008, allegato A.6 al d.lgs. n. 196/2003.

Quanto precede trova origine nell'obbligo di carattere generale, in capo ad ogni soggetto, di acquisire preventivamente dall'interessato il consenso al trattamento dei suoi dati personali (ex articolo 23 del D. Lgs. 196/03). A tale onere si può derogare allorquando il trattamento sia necessario per varie finalità, tra cui quella di "far valere o difendere un diritto in sede giudiziaria" (ex articolo 24 del D. Lgs. 196/03, comma 1, lettera f).

In assenza di un incarico specifico conferito dall'investigatore originario "A" all'investigatore di supporto "B", si potrebbe verificare una illecita diffusione di dati personali da parte dell'investigatore "A", ed un illecito trattamento da parte dell'investigatore "B" il quale – avendo acquisito senza titolo dati personali sul "target investigativo" – si potrebbe trovare nella paradossale situazione di dover adempiere all'obbligo di cui al comma 3 dell'articolo 14 del GDPR (informativa dati personali acquisiti presso terzi), da eseguirsi nel più breve tempo possibile e comunque entro un mese.

I dati personali raccolti e trattati, ovvero le informazioni e prove reperite in violazione dei suddetti dettami, sono quindi inutilizzabili ai sensi dell'articolo 11, comma 2, d. lgs. 196/2003, così come sostituito dall'articolo 2-decies del d. lgs. 101/2018 contenente identica formulazione, con l'unica aggiunta della salvezza di quanto previsto dall'art. 160 bis d. lgs, n. 196/03.

Scrivono i giudici: "Ne consegue che sul piano processuale tale norma preclude non solo alle parti di avvalersi dei predetti dati come mezzo di prova, ma pure al giudice di fondare il proprio convincimento su fatti dimostrati dal dato acquisito in modo non rispettoso delle regole dettate dal legislatore e dai codici deontologici".

D'altronde, questa assolutezza si spiega in chiave funzionale: la ratio della norma è quella di scoraggiare la ricerca, l'acquisizione e più in generale il trattamento abusivo di dati personali, e per realizzare questa funzione il rimedio previsto dal legislatore è quello di impedirne la realizzazione dello scopo. Nel caso in questione, non essendo stati indicati in calce alla lettera di incarico, neppure successivamente, i nominativi degli investigatori esterni a quello originariamente incaricato, viene meno la utilizzabilità della relazione investigativa e dei dati in essa evincibili. Oltre alle intuibili conseguenze nello specifico giudizio, gli investigatori "A" e "B" potrebbero essere sanzionati dalle rispettive Prefetture per violazione degli adempimenti relativi al mandato tra agenzie; essere citati dinanzi al Garante privacy, il primo per aver violato il divieto di diffusione dei dati personali, ed il secondo per illecito trattamento a seguito di omessa informativa. Essi potrebbero inoltre essere chiamati a rispondere dei danni subiti dal committente a seguito della inutilizzabilità delle prove raccolte (che ragionevolmente porterà all'annullamento del licenziamento), in quanto tale evento è stato determinato da una loro negligenza professionale, vale a dire dal mancato rispetto della normativa di settore in materia di investigazione privata e di tutela dei dati personali.

Andrea Pedicone

Consulente investigativo ed in materia di protezione dei dati personali

Auditor/Lead Auditor Qualificato

UNI CEI EN ISO/IEC 27001:2017 Sistemi di Gestione per la Sicurezza delle Informazioni