Indagini interne aziendali: Guida operativa a protocolli e confidenzialità

Nel panorama aziendale del 2025, la tutela del patrimonio e della reputazione societaria passa inevitabilmente attraverso la capacità di gestire gli illeciti in modo tempestivo ed efficace. Tuttavia, condurre indagini interne aziendali non è un’attività priva di insidie: il datore di lavoro deve muoversi su un terreno normativo complesso, dove il legittimo potere di controllo si scontra con i diritti inviolabili alla privacy dei dipendenti. Questa guida offre un protocollo operativo strutturato per trasformare la complessità del GDPR e dello Statuto dei Lavoratori in una procedura inattaccabile, garantendo che le prove raccolte siano utilizzabili in sede giudiziaria e che la confidenzialità sia preservata in ogni fase del processo.

Il quadro normativo delle indagini interne aziendali: Statuto e GDPR

La legittimità di un’investigazione aziendale poggia su un delicato equilibrio tra due pilastri normativi: il Testo ufficiale dello Statuto dei Lavoratori (L. 300/1970) 3 e il Regolamento UE 2016/679 (GDPR). Per garantire la privacy dei lavoratori, ogni attività investigativa deve rispettare i principi di necessità, pertinenza e proporzionalità. Non è consentito un monitoraggio indiscriminato; al contrario, l’indagine deve essere motivata da un sospetto concreto di illecito che possa danneggiare il patrimonio aziendale o la continuità operativa. Il bilanciamento tra il diritto di difesa del datore di lavoro e la riservatezza del dipendente richiede che il trattamento dei dati personali sia limitato a quanto strettamente indispensabile per accertare l’infrazione.

Limiti al potere di controllo del datore di lavoro

Il potere di controllo del datore di lavoro incontra limiti invalicabili negli articoli 2, 3 e 4 dello Statuto dei Lavoratori. La giurisprudenza distingue nettamente tra i controlli sull’adempimento della prestazione lavorativa, che sono soggetti a rigide procedure di informazione e accordo sindacale, e i cosiddetti “controlli difensivi”. Questi ultimi sono ammessi quando mirano a prevenire o sanzionare condotte illecite (come il furto, la concorrenza sleale o l’abuso di permessi), purché non si trasformino in una sorveglianza occulta e costante della normale attività lavorativa del dipendente.

Gestione indagini interne: protocollo operativo step-by-step

Per condurre una gestione indagini interne che sia conforme alla legge, è essenziale seguire un iter procedurale rigoroso. Il punto di riferimento per la liceità di tali operazioni è il Provvedimento del Garante sui controlli difensivi e investigazioni 1, il quale stabilisce che l’attività investigativa è lecita se non riguarda l’adempimento della prestazione lavorativa e avviene, preferibilmente, fuori dall’orario di lavoro. Un elemento critico è la documentazione della catena di custodia delle prove: ogni dato raccolto, sia esso digitale o fisico, deve essere tracciato per evitarne la manipolazione o la contestazione in tribunale.

Fase 1: Valutazione della liceità e DPIA investigativa

Prima di avviare qualsiasi monitoraggio, il titolare del trattamento deve eseguire una Valutazione d’Impatto sulla Protezione dei Dati (DPIA). Questo passaggio, fondamentale per il principio di accountability del GDPR, serve a identificare e minimizzare i rischi per i diritti e le libertà degli interessati. La Guida del Garante alla privacy nel contesto lavorativo 5 sottolinea come la DPIA sia obbligatoria quando l’indagine prevede l’uso di tecnologie invasive o il monitoraggio sistematico dei dipendenti. Senza questa valutazione preventiva, l’intera indagine rischia di essere dichiarata illegittima.

Fase 2: Utilizzo di agenzie investigative esterne

Molte aziende scelgono di delegare le indagini a professionisti esterni per garantire imparzialità e competenza tecnica. L’Ordinanza della Cassazione n. 21766/2024 2 ha recentemente confermato la legittimità dei controlli affidati ad agenzie investigative, specialmente nei casi di sospetta falsa malattia. Tali controlli sono validi purché non riguardino l’attività lavorativa in sé, ma si limitino ad accertare fatti che dimostrino l’insussistenza dello stato di malattia o altre violazioni extra-lavorative che ledono il vincolo fiduciario.

Requisiti legali per l’incarico investigativo

Quando si conferisce un mandato investigativo aziendale, è imperativo verificare che l’agenzia sia in possesso di una regolare licenza prefettizia (ex art. 134 TULPS). Il perimetro dell’incarico deve essere definito in modo analitico: l’investigatore deve agire come responsabile esterno del trattamento dati e attenersi esclusivamente ai fatti oggetto del sospetto illecito. Un mandato troppo generico o che sconfina nel controllo della performance lavorativa può portare all’invalidazione delle prove raccolte.

Confidenzialità indagini e integrazione con il Whistleblowing

La gestione della confidenzialità indagini è diventata ancora più centrale con l’entrata in vigore del D.Lgs. 24/2023. Le aziende devono armonizzare i protocolli investigative con le Linee guida ANAC per la gestione del whistleblowing 4, che impongono l’obbligo di riservatezza assoluta sull’identità del segnalante, del segnalato e di eventuali testimoni. Le indagini derivanti da una segnalazione interna devono essere condotte da soggetti specificamente formati, garantendo che nessuna informazione trapeli all’esterno del team investigativo per prevenir ritorsioni o danni reputazionali ingiustificati.

Mantenere la riservatezza post-indagine

Una volta conclusa l’attività, la conservazione dei dati deve seguire protocolli di sicurezza rigorosi. L’accesso ai fascicoli investigativi deve essere limitato a un numero ristretto di persone (HR Manager, Legal Counsel). È importante notare che, secondo il Provvedimento del Garante n. 9086480/2019 1, l’esercizio del diritto di accesso ai dati da parte del dipendente (Art. 15 GDPR) può essere legittimamente ritardato o limitato se ciò può pregiudicare l’effettivo svolgimento delle investigazioni difensive o l’esercizio di un diritto in sede giudiziaria.

Errori comuni e rischi di invalidazione delle prove

Il rischio principale nelle investigazioni aziendali è l’invalidazione delle prove per violazione della privacy del dipendente. Un errore comune consiste nel raccogliere prove digitali (email, file log) senza aver preventivamente informato i lavoratori sulle modalità di utilizzo degli strumenti aziendali, come richiesto dall’Art. 4 dello Statuto dei Lavoratori. Se l’indagine viene percepita come un controllo occulto sulla produttività anziché una difesa del patrimonio, i giudici del lavoro tendono a dichiarare le prove inutilizzabili, esponendo l’azienda a ricorsi e sanzioni pecuniarie elevate da parte del Garante.

Checklist di conformità per HR e Legal Counsel

Per assicurare che ogni step sia stato rispettato e per seguire le migliori pratiche per indagini interne aziendali, si consiglia di verificare i seguenti punti:

• Esistenza di un sospetto concreto e documentato di illecito prima dell’inizio delle attività.
• Redazione e approvazione di una DPIA specifica per l’attività investigativa.
• Verifica della licenza prefettizia in caso di ricorso a investigatori privati esterni.
• Rispetto del divieto di monitoraggio della prestazione lavorativa stretta.
• Garanzia di riservatezza per tutte le parti coinvolte, in linea con la normativa whistleblowing.
• Definizione di tempi certi per la conservazione e la successiva cancellazione dei dati raccolti.

Il presente articolo ha scopo puramente informativo e non sostituisce il parere legale di un professionista abilitato.

Scarica il nostro modello di protocollo per le indagini interne o contatta un esperto di compliance per una consulenza preventiva.