I mercoledì della privacy: se il dipendente cancella i dati di studio è reato

Cosa accade se il collaboratore di studio “infedele”, cessi di svolgere la propria attività per l'amministratore e, per dispetto o con intento fraudolento riconsegni i dispositivi di proprietà dello studio “svuotati” da dati, informazioni e documenti? Tema caldo questo che riguarda ogni soggetto che ripone fiducia in collaboratori/dipendenti ai quali offre i propri strumenti per svolgere le attività che gli sono demandate.

I tanti dati sensibili custoditi dall’amministratore
Per giunta, nel settore immobiliare, tale problematica può ritenersi amplificata laddove si consideri che uno studio di amministrazione ha la gestione di una molteplicità di dati personali, considerandosi sicuramente facente parte di questi i dati conservati all'interno dell'anagrafica condominiale.Non solo, uno studio di amministrazione potrebbe anche gestire una serie di dati privati che vanno oltre a quelli specificati nell'anagrafica, si pensi, ad esempio, alle email, al cellulare, ma anche alle informazioni che si raccolgono relative alle posizioni urbanistiche dei singoli condòmini che si vanno a trattare durante lo svolgimento delle procedure collegate ai bonus fiscali per gli interventi “trainati”, per non parlare poi di eventuali dati sensibili collegati a sinistri con lesioni o a pratiche per l'abbattimento delle barriere architettoniche.

La recente pronuncia di legittimità sul tema
Insomma, lo studio ha un vero e proprio “potenziale” di dati che tratta e che potrebbero ingolosire uno scaltro malintenzionato.Sulla questione, si è pronunciata di recente la Cassazione (sezione lavoro 33809/2021). Nel caso in questione il ricorso viene proposto avverso una sentenza della Corte d’appello di Torino con cui, questa, rigettava la domanda risarcitoria proposta dal datore di lavoro nei confronti dell’ex dipendente e condannava la società datrice al pagamento di una somma in favore del lavoratore a titolo di indennità di mancato preavviso, così riformando la sentenza di primo grado, che aveva invece condannato il dipendente al pagamento, in favore della società a titolo risarcitorio, della somma di euro 370.000,00 oltre rivalutazione e interessi dalle date di maturazione del credito.

Nel merito il dipendente aveva cancellato dati ed informazioni che si trovavano sul pc aziendale, in particolare file di conversazione a mezzo Skype. L'azienda le aveva ricostruite a seguito di riconsegna del computer ad opera del dipendente, secondo la Corte d'appello in violazione della segretezza della corrispondenza (tale essendo anche quella informatica o telematica) e pure della password personale di accesso del lavoratore, mai avendo la società ritenuto di fornirne una aziendale, nonostante l’impiego dell’applicativo Skype anche per lo svolgimento dell’attività lavorativa. Secondo il datore di lavoro ricorrente, invece, non integra incursione in una corrispondenza privata “chiusa”, la legittima attività del datore di lavoro atta a recuperare dei documenti, dati e informazioni contenuti, e dolosamente cancellati dai dispositivi aziendali da parte del dipendente prima della riconsegna, trattandosi per giunta di dati afferenti l’attività lavorativa e scambiati, per giunta, attraverso la rete internet aziendale.

Secondo il Collegio, occorre prima di tutto effettuare l’esame del fatto storico (Cassazione sezioni Unite 7 aprile 2014, n. 8053), omesso dalla Corte d'appello, che nel caso concreto si determina nella riconsegna da parte del dipendente dei dispositivi aziendali svuotati di tutti i dati.La cancellazione, quando non esclude la possibilità di recupero se non con l’uso anche dispendioso di particolari procedure (come nel caso in specie), integra, secondo il Collegio, gli estremi oggettivi della fattispecie delittuosa dell’articolo 635 bis Codice penale (Cassazione penale 5 marzo 2012, n. 8555).

L’avvio del data breach
Cancellazione dei dati, dunque, parificata all'utilizzo fraudolento degli stessi da parte di un soggetto non autorizzato al trattamento.Ma attenzione, al verificarsi di questa fattispecie, il datore di lavoro deve comunque ricordarsi di avviare la procedura di data breach. Altrimenti alla procedura penale nei confronti del dipendente deve aggiungersi quella verso il titolare di studio.Infatti, la perdita o cancellazione fraudolenta di dati personali integra la necessità di avviare le suddette procedure a tutela dei diritti e delle libertà delle persone fisiche.

Inoltre, nella medesima sentenza, si rinviene un altro passaggio interessante, ovvero che: «la produzione in giudizio di documenti contenenti dati personali è sempre consentita ove sia necessaria per esercitare il proprio diritto di difesa, anche in assenza del consenso del titolare e quali che siano le modalità con cui è stata acquisita la loro conoscenza. Rimane però fermo il limite del rispetto dei doveri di correttezza, pertinenza e non eccedenza e in base al bilanciamento tra il contenuto del dato utilizzato, cui va correlato il grado di riservatezza, con le esigenze di difesa (Cassazione 3358/2009; così pure, ai sensi del Dlgs 196/ 2003, articoli 4 e 11, nonché Cassazione 3033/2011)».

Bilanciamento diritti di difesa e privacy
Secondo la Suprema corte occorre sempre bilanciare i diritti di difesa e di tutela della riservatezza e, quando ci sono in ballo i trattamenti dei dati personali, il diritto di difesa in giudizio prevale su quello di inviolabilità della corrispondenza, anche in assenza di consenso della parte interessata. Il limite è che deve risultare che il trattamento sia necessario per la tutela dell’esercizio di un diritto da far valere giudizio, e che i dati siano trattati esclusivamente per tale finalità e per il periodo strettamente necessario al loro perseguimento. Per di più: «Il diritto di difesa non è limitato alla pura e semplice sede processuale, estendendosi a tutte quelle attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata mediante citazione o ricorso» (Cassazione 27424/ 2014).