L’ex dipendente che si porta via i file: le prime 48 ore dell’azienda

Un dipendente si dimette. Qualche settimana dopo si scopre che prima di andarsene ha copiato l’elenco dei clienti, i listini, forse qualche progetto. Magari è già operativo da un concorrente, magari si è messo in proprio. La reazione tipica dell’azienda, nelle prime ore, è un misto di rabbia e fretta: bloccare tutto, cancellare, telefonare, minacciare.

È esattamente la sequenza che distrugge le prove. Nelle vicende di sottrazione di dati aziendali la partita si vince o si perde nelle prime quarantotto ore, e non con quello che si fa all’ex dipendente: con quello che si fa ai propri sistemi.

Perché la fretta è il problema

Nel momento in cui emerge il sospetto, l’unica cosa che l’azienda possiede davvero sono le tracce lasciate dai propri sistemi: i registri degli accessi, i log del gestionale, le copie dei supporti, i metadati dei file. Sono dati che si deteriorano in fretta, perché i sistemi li sovrascrivono, perché le postazioni vengono riassegnate, perché qualcuno «fa pulizia».

Tre gesti istintivi, in particolare, fanno danno:

• Riassegnare il computer. La postazione dell’ex dipendente viene formattata e data a un collega. Con essa se ne va la ricostruzione di che cosa sia stato copiato, quando e su quale dispositivo.
• Accedere alla sua casella come se nulla fosse. Entrare nella posta aziendale per «vedere che cosa c’è» espone l’impresa a una contestazione speculare, e può rendere inutilizzabile proprio il materiale su cui si voleva costruire la pretesa. È il tema dei controlli difensivi, che hanno condizioni precise e non si improvvisano dopo.
• Scrivere subito all’ex dipendente. Una contestazione fatta a caldo, prima di sapere che cosa sia realmente uscito, rivela la propria posizione e dà tempo di sistemare le cose dall’altra parte.

Che cosa fare, in ordine

Primo: congelare, non cercare. La postazione va messa da parte così com’è, spenta, senza esplorazioni fai-da-te. Lo stesso per telefoni e supporti aziendali restituiti. Se l’analisi serve, la farà un tecnico con metodi che ne preservino il valore: un’indagine condotta male vale meno di nessuna indagine.

Secondo: fermare la cancellazione automatica. Log, backup e posta hanno tempi di conservazione predefiniti, e spesso brevi. Vanno sospesi subito, per iscritto, verso chi amministra i sistemi: è un passaggio banale che quasi nessuno ricorda, e che in seguito fa la differenza.

Terzo: capire che cosa è uscito davvero. Non «i dati dei clienti», ma quali file, in quale momento, con quale modalità: invio a una casella personale, copia su un supporto esterno, caricamento su uno spazio cloud, stampa. La qualificazione giuridica della vicenda dipende da qui, e cambia in modo sostanziale a seconda di ciò che si trova.

Quarto: verificare che cosa quell’informazione era, prima di uscire. È il punto che le imprese sottovalutano di più. Un elenco di clienti conservato in una cartella aperta a chiunque, senza alcuna misura di protezione, è un’informazione che l’azienda stessa non ha trattato come riservata. La tutela più forte presuppone che quelle informazioni fossero individuate, segregate e sottoposte a misure adeguate: se non lo erano, resta comunque spazio per far valere i propri diritti, ma su un terreno più stretto.

Quinto: leggere il contratto. Esiste un obbligo di riservatezza scritto? Un patto di non concorrenza valido, con corrispettivo e limiti? Una clausola sulla restituzione dei dispositivi e dei dati? Spesso la risposta è deludente, e orienta tutta la strategia.

I piani su cui si può agire

Una stessa condotta può rilevare contemporaneamente su più fronti, e conviene sapere quali, perché le tempistiche sono diverse.

C’è il piano penale: l’accesso a sistemi aziendali dopo la cessazione del rapporto, o in violazione delle regole d’uso, e la rivelazione di informazioni destinate a restare riservate sono condotte che possono integrare reato. È la via che garantisce i poteri di accertamento più incisivi, ma non è né rapida né sempre la più utile.

C’è il piano civile, che nella pratica è quello che risolve: la tutela contro gli atti di concorrenza sleale, la richiesta di inibitoria, il risarcimento. Qui il tempo pesa: più passa, più diventa difficile dimostrare il nesso fra ciò che è uscito e i contratti persi.

E c’è il piano del rapporto di lavoro, quando la persona è ancora in servizio o ha un preavviso in corso: le regole del procedimento disciplinare restano quelle, termini compresi.

Una precisazione che faccio sempre, perché evita delusioni: il fatto che un cliente segua la persona non è di per sé illecito. Il rapporto fiduciario appartiene anche a chi lo ha costruito. Illecito è portarsi via gli strumenti dell’azienda — elenchi, listini, condizioni, progetti — e usarli per accorciare la strada.

E se l’ex dipendente sei tu

Il discorso ha un rovescio, che vale la pena dire con la stessa chiarezza, perché capita di assistere anche chi se ne va e si trova una diffida sul tavolo.

Chi lascia un’azienda porta inevitabilmente con sé qualcosa: ciò che ha imparato, il modo di lavorare, la conoscenza di un settore, i rapporti personali costruiti negli anni. Tutto questo è suo e non è sottraibile: nessun obbligo di riservatezza può impedire a una persona di continuare a fare il proprio mestiere.

Il confine sta negli strumenti. Copiare file, elenchi, listini, offerte, progetti, documentazione tecnica significa portare via beni dell’impresa, e la circostanza che quei documenti li avesse redatti proprio il dipendente non cambia la loro appartenenza. Nemmeno l’abitudine diffusa di inviarsi documenti alla casella personale «per comodità» è una giustificazione: è anzi la traccia più facile da ricostruire, perché resta su entrambi i lati.

Il consiglio pratico, per chi sta per cambiare lavoro, è elementare e fa risparmiare parecchi guai: non si porta via nulla, si restituisce tutto con un verbale datato, e se serve conservare qualcosa a propria tutela — buste paga, comunicazioni, valutazioni — si conservano quelli, che riguardano la propria posizione e non l’attività dell’impresa.

La parte che costa meno: prevenire

Quasi tutte le vicende di questo tipo hanno la stessa radice, e non è la slealtà di una persona: è l’assenza di una procedura di uscita.

• Revoca immediata delle credenziali alla cessazione, compresi gli accessi a spazi cloud, gestionali e strumenti di terze parti attivati nel tempo.
• Inventario dei dispositivi e verbale di restituzione, con data.
• Classificazione delle informazioni: almeno distinguere ciò che è riservato da ciò che non lo è, e proteggere il primo in modo coerente.
• Profili di accesso proporzionati: molte sottrazioni sono possibili solo perché chiunque poteva scaricare tutto.
• Clausole contrattuali chiare su riservatezza, restituzione e, dove serve davvero, non concorrenza, con i requisiti che la rendono valida.
• Colloquio di uscita in cui si ricordano per iscritto gli obblighi che sopravvivono alla cessazione. Non è un gesto ostile: è un atto che, se le cose andranno male, dimostra che l’azienda aveva fatto la sua parte.

Una considerazione finale

In queste vicende l’impresa arriva quasi sempre in ritardo, e con le mani legate da ciò che ha fatto nei primi giorni. Non perché manchino gli strumenti giuridici, ma perché le prove sono state compromesse e le informazioni non erano protette abbastanza da poter essere difese.

La domanda da farsi oggi non è che cosa fare se succede, ma che cosa potremmo dimostrare se succedesse domani. La risposta, nella maggior parte delle aziende, dipende da tre cose scritte: chi può accedere a che cosa, quanto si conservano i log, che cosa firma chi se ne va.

Il presente contributo ha finalità esclusivamente informativa, dà conto del quadro alla data di pubblicazione e non costituisce parere legale sul caso concreto. Le situazioni descritte sono ricostruite in termini generali e non si riferiscono a vicende seguite dallo Studio.

Fonti: codice civile, in materia di concorrenza sleale; codice penale, in materia di accesso abusivo a sistema informatico e di tutela delle informazioni riservate; disciplina sulla protezione dei dati personali per i profili relativi ai controlli sugli strumenti aziendali. I riferimenti puntuali vanno verificati sul testo vigente in relazione al caso concreto.