Per il lavoratore che si appropri illegittimamente dei dati aziendali sono configurabili quattro diversi profili di rischio: il rischio disciplinare, quello civilistico, quello penalistico e quello per violazione della privacy.
Disciplinare: il lavoratore che “ruba” i dati aziendali commette, in primo luogo, un illecito disciplinare, disattendendo gli obblighi connessi al rapporto di lavoro dipendente. Nel rapporto di lavoro l’accesso alle informazioni aziendali è consentito solo per lo svolgimento delle mansioni lavorative e nei limiti delle stesse. Il lavoratore che acquisisce e utilizza i dati aziendali per scopi diversi dallo svolgimento delle mansioni lavorative commette, quindi, un illecito disciplinare, tale da determinare, nei casi più gravi, la sanzione della risoluzione del rapporto di lavoro.
Civilistico: dall’inadempimento agli obblighi connessi al contratto di lavoro può conseguire la richiesta di risarcimento dei danni subiti dal datore di lavoro per effetto della condotta del lavoratore, in termini sia di danno emergente, sia di lucro cessante. Ove, poi, con l’appropriazione e l’utilizzo dei dati il lavoratore abbia posto in essere manovre concorrenziali fraudolente, potrà essere contestato allo stesso il compimento di atti di concorrenza sleale, con le inerenti conseguenze risarcitorie.
Penale: il lavoratore che si appropri e utilizzi illegittimamente dati aziendali può porre essere condotte di rilievo penale. Tra i reati in astratto configurabili in capo al lavoratore vi sono, tra l’altro, i reati di: i) spionaggio industriale; ii) accesso abusivo ad un sistema informatico o telematico; iii) trattamento illecito di dati; iv) comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala; v) di acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala.
Privacy: il lavoratore che “tratti” illecitamente i dati aziendali è soggetto alle sanzioni amministrative del Garante per la violazione degli obblighi previsti dalla disciplina sulla protezione dei dati personali.
Il profilo “privacy”, tuttavia, può rappresentare per il datore di lavoro un’arma a doppio taglio.
Se, infatti, un dipendente asporta dati aziendali che rappresentano anche dati personali (ad esempio la lista anagrafica dei clienti) il fatto che tali dati siano stati trafugati può implicare una cattiva organizzazione aziendale, con conseguente responsabilità anche del datore di lavoro
L’estrazione illecita di dati personali integra, infatti, la fattispecie della “violazione dei dati” (c.d. data breach) di cui agli artt. 33 e 34 Reg. UE 2016/679. Questo obbliga il datore di lavoro ad autodenunciare l’accaduto al Garante della privacy (notificazione del data breach) e a darne notizia (comunicazione) agli interessati.
L’omissione di questi due obblighi comporta l’esposizione a una sanzione pecuniaria irrogata dal Garante della privacy (art. 33, 34 e 83 Regolamento Ue 2016/679). Se, poi, gli interessati sono i clienti dell’azienda il datore potrà incorrere in ulteriori danni all’immagine.
Sotto tale profilo assume, pertanto, importanza fondamentale la predisposizione di un sistema di gestione dei dati che oltre a limitare i rischi di utilizzo improprio degli stessi, contempli specifiche procedure da porre in essere in casi di data breach al fine di arginare immediatamente eventuali violazioni della riservatezza.
