Furto di file aziendali da parte del manager: i profili penali

Il caso tipo

Un manager, prima di dimettersi, scarica su un supporto personale documenti riservati dell'azienda: liste clienti, progetti, dati commerciali. In alcuni casi li porta con sé verso un nuovo datore di lavoro o li mette a disposizione di concorrenti.

La domanda ricorrente è se questa condotta rilevi penalmente e sotto quali profili. La giurisprudenza di legittimità ha affrontato più volte il tema, ma occorre distinguere con precisione tra le fattispecie astrattamente ipotizzabili, senza appiattirle in un automatico concorso di reati.

Perché non è "furto"

Il furto (art. 624 c.p.) presuppone la sottrazione di una cosa mobile a chi la detiene. Il manager, però, il più delle volte ha già un possesso legittimo dei dati: vi accede per ragioni d'ufficio, nell'ambito delle proprie mansioni. Qui non c'è sottrazione, ma eventuale sviamento di un bene di cui si dispone.

Per questo la fattispecie potenzialmente rilevante è l'appropriazione indebita (art. 646 c.p.): appropriarsi di una cosa altrui di cui si ha già il possesso a titolo lecito. La differenza è netta e sostanziale: nel furto manca il possesso preesistente, nell'appropriazione indebita esso c'è ed è il presupposto della condotta.

Va però segnalato un punto non pacifico. L'art. 646 c.p. richiede una "cosa mobile altrui". Se i dati sono meri file immateriali, la loro riconducibilità alla nozione di cosa mobile è discussa in dottrina e giurisprudenza. Diverso è il caso in cui il dipendente si appropri anche del supporto fisico (un hard disk, una chiavetta aziendale): lì l'oggetto materiale rende più lineare la contestazione. La distinzione tra dato immateriale e supporto tangibile è quindi decisiva e va sempre verificata sul fatto concreto.

La rivelazione di segreti

L'art. 623 c.p., rubricato "Rivelazione di segreti scientifici o industriali", punisce chi rivela o impiega, a proprio o altrui profitto, notizie destinate a rimanere segrete, di cui sia venuto a conoscenza per ragione del proprio stato, ufficio, professione o arte.

La norma è stata aggiornata dal D.Lgs. 63/2018, che ha recepito la disciplina europea sui segreti commerciali e ha inciso sul quadro sanzionatorio, coordinandosi con la tutela civilistica prevista dal Codice della proprietà industriale. Il manager che diffonde informazioni riservate apprese in ragione del proprio incarico può quindi rispondere anche di questa fattispecie, distinta e ulteriore rispetto all'appropriazione.

L'accesso abusivo al sistema informatico

L'art. 615-ter c.p. punisce chi accede abusivamente a un sistema informatico protetto o vi si mantiene contro la volontà di chi ha diritto di escluderlo.

Sul punto le Sezioni Unite (Savarese, 2011; Casani/Ferrero, 2017) hanno chiarito un principio che va riportato con esattezza: rileva la violazione delle condizioni e dei limiti oggettivi posti dal titolare del sistema, non il semplice scopo soggettivo perseguito dall'agente. In altri termini, non basta che il dipendente acceda "con finalità sviate": occorre che il suo accesso, o il mantenimento nel sistema, avvenga in contrasto con le regole di accesso stabilite dal titolare.

La possibilità che le tre fattispecie concorrano dipende quindi dalla ricostruzione fattuale. Non esiste un automatismo: ciascun elemento va verificato autonomamente. Quando un articolo attribuisce alla Cassazione un concorso "tripartito" come principio consolidato, è opportuno guardare agli estremi della singola pronuncia richiamata, perché gli orientamenti non sono univoci.

Cosa cambia per i destinatari

Per il manager, la posta in gioco supera il licenziamento: le fattispecie richiamate hanno rilievo penale e possono cumularsi. Per l'azienda, la tutela dipende in larga misura da come sono state predisposte le difese: policy di accesso, credenziali, tracciamento. Per i concorrenti che ricevono i dati, si aprono profili di responsabilità autonoma, sia penale sia sul piano della concorrenza sleale.

Cosa fare in concreto

• Manager: non copiare né trasferire dati aziendali in vista di dimissioni; verificare per iscritto ciò che è lecito conservare e restituire ogni supporto.
• Azienda: adottare policy chiare sui limiti di accesso ai sistemi, con credenziali individuali e log delle attività, così da rendere oggettivamente definiti i confini dell'autorizzazione.
• Azienda: al primo sospetto, cristallizzare le prove digitali con modalità forensi prima di qualsiasi intervento sui dispositivi.
• Azienda: valutare tempestivamente denuncia-querela, ricordando i termini per i reati procedibili a querela.
• Concorrenti destinatari: rifiutare l'acquisizione di informazioni di provenienza dubbia e documentare la propria estraneità.