Ammanchi di cassa, sparizione di merce, fuga di informazioni riservate: si affrontano con un'indagine interna affiancata dall'informatica forense, una disciplina che acquisisce le prove digitali in modo conforme all'originale, ripetibile e con una catena di custodia documentata. È questa coppia — accertamento dei fatti e prova tecnica inalterabile — a trasformare un sospetto in un dossier utilizzabile in sede disciplinare, civile e penale. Questo articolo spiega cosa dice la legge sui controlli, come funziona l'acquisizione forense e quali reati possono configurarsi, nel rispetto dello Statuto dei lavoratori e della protezione dei dati.
La dimensione del rischio
Il furto interno e la sottrazione di dati non sono eventi marginali: viaggiano insieme alla crescita degli incidenti informatici, perché oggi gran parte del patrimonio aziendale — clienti, listini, progetti, know-how — vive su dispositivi e account.
Il dato è del Clusit, l'Associazione Italiana per la Sicurezza Informatica: una fonte privata associativa, non un ente istituzionale. Nello stesso rapporto, gli attacchi gravi censiti nel mondo nel 2025 salgono a 5.265 (+49% sul 2024). Sul fronte delle frodi interne, il quadro internazionale è altrettanto netto: secondo il Report to the Nations 2024 dell'ACFE — anch'essa fonte privata, e con dato internazionale, non specifico per l'Italia — un'organizzazione tipica perde una stima del 5% dei ricavi annui a causa di frodi occupazionali, con una perdita mediana per caso di 145.000 dollari e una durata mediana di circa 12 mesi prima che il fatto venga scoperto. Più a lungo resta nascosto, più la prova digitale rischia di disperdersi: di qui l'urgenza di acquisire correttamente, e subito.
Cosa dice la legge sui controlli
Prima ancora di acquisire una prova, l'azienda deve sapere fin dove può spingersi nel controllare gli strumenti di lavoro. Il perno è l'art. 4 dello Statuto dei lavoratori (L. 300/1970), riscritto dall'art. 23 del D.Lgs. 151/2015 (Jobs Act).
Le informazioni raccolte tramite gli strumenti di lavoro e di controllo sono utilizzabili a tutti i fini connessi al rapporto di lavoro, compresi quelli disciplinari, a condizione che al lavoratore sia stata data adeguata informativa sulle modalità d'uso e di effettuazione dei controlli e nel rispetto della normativa sulla protezione dei dati personali.
Un dettaglio operativo conta: gli strumenti che il lavoratore usa per rendere la prestazione e quelli di registrazione di accessi e presenze non richiedono l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro previsti dal comma 1. Resta però fermo l'obbligo di informativa e di rispetto del Codice privacy.
Accanto a questo perimetro c'è la categoria dei controlli difensivi, sistematizzata dalla Cassazione.
I controlli difensivi in senso stretto, diretti ad accertare specifiche condotte illecite ascrivibili a singoli dipendenti, si collocano fuori dal perimetro dell'art. 4 dello Statuto dei lavoratori a condizione che siano mirati e disposti ex post rispetto all'insorgere di un fondato sospetto.
La distinzione è pratica: un monitoraggio generalizzato e preventivo sulla generalità dei dipendenti ricade nell'art. 4; un controllo mirato su un singolo, attivato dopo che è sorto un fondato sospetto, può collocarsi al di fuori. Sbagliare questo confine non è un dettaglio formale: rischia di rendere inutilizzabile ciò che si è raccolto.
L'informatica forense: come si acquisisce una prova che regge
Qui entra in gioco la disciplina tecnica. L'obiettivo non è "guardare il PC", ma fissare il contenuto digitale in una copia che valga quanto l'originale. Il riferimento normativo è la L. 18 marzo 2008, n. 48, che ha ratificato la Convenzione di Budapest sul cybercrime.
L'acquisizione di dati informatici presso fornitori di servizi può avvenire mediante copia su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti a quelli originali e la loro immodificabilità.
La stessa L. 48/2008, intervenendo sugli artt. 244, 247, 254-bis, 352 e 354 c.p.p., impone in modo trasversale di adottare misure tecniche dirette a conservare i dati originali e impedirne l'alterazione. Sul piano dello standard tecnico, l'ISO/IEC 27037:2012 fornisce linee guida per identificazione, raccolta, acquisizione e conservazione delle prove digitali, applicabili in ambito civile, penale e stragiudiziale.
Il cuore tecnico è la catena di custodia: ogni passaggio del dato — dal dispositivo alla copia, dalla copia all'analisi — è tracciato, datato e verificabile. L'acquisizione è documentata con codici di verifica (hash) che provano che la copia non è stata alterata. Un'acquisizione fatta così è ripetibile: un terzo, partendo dallo stesso originale, ottiene lo stesso risultato. È questa proprietà — non la bravura del singolo tecnico — a far reggere la prova nel contraddittorio.
In concreto, le fasi di un'acquisizione conforme seguono una sequenza fissa.
- Identificazione: si individuano i dispositivi, gli account e le fonti rilevanti, prima di toccarli (ISO/IEC 27037:2012).
- Acquisizione conforme: si crea una copia forense con procedura che ne assicura conformità all'originale e immodificabilità (art. 254-bis c.p.p.; L. 48/2008).
- Conservazione e catena di custodia: il supporto è sigillato, tracciato e custodito, ogni passaggio è documentato (ISO/IEC 27037:2012).
- Analisi sulla copia: l'esame si svolge sempre sulla copia, mai sull'originale, per preservarne l'integrità.
- Relazione tecnica: i risultati sono esposti in modo che un terzo possa ripercorrerli e verificarli.
I reati che possono configurarsi
L'indagine interna serve a capire cosa è davvero accaduto. Sul piano sostanziale, ammanchi e sottrazione di dati possono integrare reati e illeciti diversi, che richiedono qualificazioni distinte.
- Furto (art. 624 c.p.): sottrazione di una cosa mobile altrui a chi la detiene.
- Appropriazione indebita (art. 646 c.p.): chi, avendo a qualsiasi titolo il possesso di denaro o di una cosa mobile altrui, se ne appropria per procurare a sé o ad altri un ingiusto profitto; è il preesistente possesso a distinguerlo dal furto.
- Accesso abusivo a sistema informatico (art. 615-ter c.p.): accedere senza titolo a un sistema protetto da misure di sicurezza, o permanervi contro la volontà di chi ha diritto di escludere; è reato di mera condotta che si perfeziona con la violazione del domicilio informatico. Le pene sono state rideterminate in aumento dalla L. 28 giugno 2024, n. 90 (cybersicurezza).
- Rivelazione di segreto professionale (art. 622 c.p.): chi rivela un segreto conosciuto in ragione del proprio stato, ufficio, professione o arte.
- Concorrenza sleale (art. 2598, n. 3, c.c.): l'acquisizione, l'utilizzo o la rivelazione di informazioni aziendali segrete, di valore economico in quanto segrete, in modo contrario alla correttezza professionale.
La qualificazione non è un esercizio teorico: cambia il foro, l'onere della prova e le tutele attivabili. Un ex dipendente che si porta via il portafoglio clienti per la nuova attività, ad esempio, può rilevare insieme sul piano dell'art. 2598 c.c. e su quello dell'art. 615-ter c.p., a seconda di come ha ottenuto i dati.
Cosa consegna un'indagine interna utilizzabile
Il prodotto finale non è un sospetto rafforzato: è un fascicolo che il legale può portare in giudizio o in sede disciplinare. Gli elementi che lo rendono solido sono ricorrenti.
- Copia forense conforme e immodificabile delle fonti digitali, acquisita secondo l'art. 254-bis c.p.p. e l'ISO/IEC 27037:2012.
- Catena di custodia documentata, con tracciamento di ogni passaggio dal dispositivo all'analisi.
- Relazione tecnica ripetibile, in cui i risultati sono verificabili da un terzo.
- Ricostruzione dei fatti coerente con il perimetro dell'art. 4 St. lav. e dei controlli difensivi (Cass. 18168/2023).
- Qualificazione degli illeciti ipotizzabili, utile al legale per impostare l'azione.
È l'insieme — fatto accertato più prova tecnica inalterabile — a fare la differenza tra una contestazione che regge e una che si sgretola alla prima eccezione.
Come si sviluppa l'incarico
L'attività parte sempre dalla tutela di un diritto dell'azienda, non dalla prova in sé, e tiene insieme il piano lavoristico-privacy e quello forense.
Analisi del caso
si individuano il diritto da tutelare, il fondato sospetto e le fonti digitali rilevanti.
Inquadramento dei controlli
si verifica il perimetro dell'art. 4 St. lav. e dei controlli difensivi (Cass. 18168/2023).
Acquisizione forense
copia conforme e immodificabile delle fonti, con catena di custodia (art. 254-bis c.p.p.; ISO/IEC 27037:2012).
Analisi sulla copia e relazione
esame ripetibile e verificabile, mai sull'originale.
Consegna del dossier
fascicolo utilizzabile in sede disciplinare, civile o penale, a supporto del legale.
Domande frequenti
L'azienda può controllare il computer di un dipendente sospettato?
Sì, ma a condizioni precise. Le informazioni raccolte tramite strumenti di lavoro e di controllo sono utilizzabili a fini anche disciplinari solo con adeguata informativa sulle modalità d'uso e dei controlli e nel rispetto del Codice privacy (art. 4, comma 3, L. 300/1970). Un controllo mirato su un singolo, attivato dopo un fondato sospetto, può collocarsi fuori dal perimetro dell'art. 4 (Cass. 18168/2023).
Perché serve una copia forense e non basta aprire i file?
Perché aprire i file li altera. L'art. 254-bis c.p.p. richiede una procedura che assicuri conformità all'originale e immodificabilità del dato; l'esame si svolge sempre sulla copia. Solo così la prova è ripetibile e regge il contraddittorio.
Cos'è la catena di custodia?
È la tracciatura documentata di ogni passaggio del dato, dal dispositivo alla copia all'analisi. Insieme alla copia conforme e immodificabile (art. 254-bis c.p.p.; ISO/IEC 27037:2012), garantisce che ciò che si porta in giudizio è esattamente ciò che è stato acquisito.
Portarsi via la lista clienti è un reato?
Può esserlo, su più piani. A seconda di come i dati sono stati ottenuti e usati, può rilevare come accesso abusivo a sistema informatico (art. 615-ter c.p., pene aumentate dalla L. 90/2024), rivelazione di segreto (art. 622 c.p.) e atto di concorrenza sleale (art. 2598, n. 3, c.c.).
Le prove raccolte valgono sia in sede penale sia civile?
Sì. Lo standard ISO/IEC 27037:2012 e i principi della L. 48/2008 valgono in ambito civile, penale e stragiudiziale: la copia conforme e la catena di custodia rendono la prova digitale utilizzabile in tutte queste sedi.
Per il quadro completo dei servizi alle imprese — accertamenti su dipendenti, tutela del patrimonio e del know-how — consulti il pillar Investigazioni aziendali. Per una valutazione gratuita e riservata del Suo caso, può richiedere un'offerta scritta.
A cura di Domenico Mele — Istituto Discovery, ex Commissario della Polizia di Stato, oltre 35 anni in Polizia Giudiziaria. Investigazioni Discovery ha sede a Monza e opera su Milano ed in ambito nazionale con autorizzazione prefettizia (lic. Prefettura di Milano n. 14681/12B15E).
