Furto del database clienti da parte del dipendente: come dimostrarlo

Il furto del database clienti da parte di un dipendente o di un ex dipendente può provocare conseguenze economiche molto più gravi della semplice perdita di alcuni contatti. Un elenco clienti, infatti, può contenere informazioni commerciali costruite nel corso degli anni: referenti decisionali, condizioni economiche, storico degli ordini, scadenze contrattuali, preferenze, marginalità, trattative in corso e strategie utilizzate per fidelizzare ciascun cliente.

Quando queste informazioni vengono copiate e utilizzate per formulare offerte mirate, anticipare le mosse dell’azienda o trasferire rapidamente la clientela verso un concorrente, il danno può riguardare fatturato, reputazione, quota di mercato e valore del patrimonio informativo aziendale.

Dimostrare la sottrazione, tuttavia, richiede più di un sospetto. Occorre ricostruire in modo documentato quali dati siano stati copiati, quando sia avvenuta l’esportazione, attraverso quale dispositivo o account, chi abbia utilizzato le informazioni e quale collegamento esista con la successiva perdita di clienti.

Quando la sottrazione dell’elenco clienti può essere illecita

Non ogni contatto tra un ex dipendente e un cliente della precedente azienda rappresenta automaticamente una violazione. Terminato il rapporto di lavoro, il professionista può normalmente utilizzare l’esperienza, le competenze e le relazioni maturate nel proprio percorso professionale.

La situazione cambia quando non vengono utilizzate soltanto conoscenze personali, ma file, esportazioni, documenti o informazioni riservate appartenenti all’azienda.

Il database clienti come patrimonio informativo aziendale

Un semplice elenco di nominativi facilmente reperibili online non gode necessariamente dello stesso livello di tutela di un database strutturato, aggiornato e arricchito con informazioni non pubbliche.

Il valore strategico aumenta quando il database contiene:

• nominativi e contatti diretti dei referenti;

• storico di acquisti, richieste e preventivi;

• condizioni economiche personalizzate;

• sconti, margini e politiche commerciali;

• date di rinnovo e scadenze contrattuali;

• bisogni specifici e preferenze del cliente;

• annotazioni del personale commerciale;

• trattative aperte e opportunità nel CRM;

• valutazioni sull’affidabilità e sulla redditività;

• strategie di vendita e documenti riservati.

Gli articoli 98 e 99 del Codice della proprietà industriale tutelano le informazioni aziendali che siano segrete, abbiano valore economico proprio perché riservate e siano sottoposte a misure ragionevolmente adeguate a mantenerle segrete. Per questo, la tutela dipende anche da come l’impresa ha protetto concretamente il proprio database.

Dipendente ed ex dipendente: che cosa cambia

Durante il rapporto di lavoro, l’articolo 2105 del Codice civile impone al lavoratore un obbligo di fedeltà, vietandogli di trattare affari in concorrenza con il datore di lavoro e di divulgare o utilizzare informazioni aziendali in modo pregiudizievole.

Dopo la cessazione del rapporto, l’ex dipendente può svolgere attività concorrente, salvo la presenza di un valido patto di non concorrenza. Non può però copiare documenti riservati, appropriarsi di archivi aziendali o utilizzare mezzi contrari alla correttezza professionale per sviare la clientela.

La giurisprudenza distingue quindi tra il normale utilizzo del bagaglio professionale personale e il trasferimento organizzato di informazioni riservate. Anche una copia massiva di dati, soprattutto quando permette al concorrente di risparmiare tempo, investimenti e attività di sviluppo commerciale, può assumere rilievo sotto il profilo della concorrenza sleale.

Come avviene il furto del database clienti

La sottrazione non avviene necessariamente attraverso un attacco informatico sofisticato. Spesso viene realizzata da una persona già autorizzata ad accedere ai dati per ragioni lavorative.

Per questo, i casi di infedeltà dei dipendenti sono difficili da individuare: l’accesso iniziale può essere legittimo, mentre diventano illecite la copia, la destinazione o l’utilizzazione successiva delle informazioni.

I principali canali di sottrazione

Il database può essere esportato attraverso:

• download in formato Excel o CSV dal CRM;

• invio di allegati a una casella email personale;

• caricamento su Google Drive, Dropbox o altri servizi cloud;

• copia su chiavette USB o dischi esterni;

• sincronizzazione con dispositivi personali;

• stampa di schede, preventivi o report;

• fotografie e screenshot delle schermate;

• inoltro di contatti tramite WhatsApp o applicazioni di messaggistica;

• uso di account condivisi o credenziali di colleghi;

• esportazione della rubrica da smartphone e gestionali;

• accesso remoto successivo alla cessazione del rapporto.

In alcuni casi il dipendente non copia soltanto l’elenco clienti, ma anche listini, contratti, offerte, business plan e documenti relativi a una possibile fuga di notizie strategiche aziendali.

I segnali che dovrebbero insospettire l’azienda

Un singolo evento raramente è sufficiente. È la combinazione di più anomalie a rendere credibile l’ipotesi di sottrazione.

Tra gli indicatori più frequenti rientrano:

• esportazioni massive poco prima delle dimissioni;

• accessi al CRM in orari insoliti;

• consultazione di clienti estranei alle mansioni assegnate;

• aumento improvviso dei download;

• collegamento di dispositivi USB non abituali;

• cancellazione di email, cartelle o cronologia;

• inoltri verso indirizzi personali;

• richieste insolite di report completi;

• clienti contattati subito dopo l’uscita del dipendente;

• offerte concorrenti costruite sulle condizioni riservate dell’azienda;

• perdita simultanea di più clienti appartenenti allo stesso portafoglio;

• nascita di una nuova società concorrente immediatamente dopo le dimissioni.

Come dimostrare il furto del database clienti

Per trasformare un sospetto in un fatto dimostrabile bisogna collegare tre elementi: disponibilità dei dati, condotta di sottrazione e successivo utilizzo.

La prova più solida nasce quindi dall’integrazione tra analisi tecnica, indagine aziendale e riscontri commerciali.

Conservare immediatamente le prove digitali

Il primo errore da evitare è utilizzare normalmente il computer sospetto, effettuare verifiche improvvisate o aprire e modificare direttamente i file.

Ogni operazione può alterare date, metadati, registri e tracce utili. Spegnere in modo scorretto un dispositivo, reinstallare programmi o consegnare il computer a personale non specializzato può compromettere la ricostruzione.

Le attività di digital forensics permettono invece di acquisire e analizzare dispositivi e dati con metodologie orientate alla conservazione dell’integrità delle evidenze. Le linee guida NIST sottolineano l’importanza della preservazione, della documentazione delle attività e della catena di custodia durante raccolta e analisi.

Possono essere analizzati:

• computer e notebook aziendali;

• smartphone e tablet;

• caselle di posta elettronica;

• server, NAS e cartelle condivise;

• log del CRM e degli applicativi cloud;

• registri di autenticazione;

• dispositivi USB;

• file cancellati e cartelle temporanee;

• cronologia di download e trasferimenti;

• account Microsoft 365 o Google Workspace;

• sistemi di backup;

• connessioni remote e indirizzi IP.

Ricostruire la cronologia della sottrazione

L’obiettivo non è soltanto trovare un file chiamato “clienti.xlsx”. Serve stabilire:

1. chi ha eseguito l’accesso;

2. quale account è stato utilizzato;

3. quali informazioni sono state consultate;

4. quando è avvenuta l’esportazione;

5. dove sono stati trasferiti i dati;

6. se vi siano state cancellazioni o tentativi di occultamento;

7. come le informazioni siano state successivamente utilizzate.

Una sequenza temporale può mostrare, per esempio, che pochi giorni prima delle dimissioni il dipendente ha esportato centinaia di record, collegato una memoria esterna e inoltrato documenti a un indirizzo personale. La successiva apertura di un’attività concorrente e il contatto sistematico degli stessi clienti possono completare il quadro indiziario.

Integrare le prove tecniche con l’indagine aziendale

La sola prova di un download potrebbe non dimostrare l’effettivo utilizzo commerciale del database. Per questo è necessario cercare riscontri esterni.

Un’agenzia investigativa autorizzata può contribuire alla verifica dei rapporti tra l’ex dipendente e un concorrente, alla raccolta di testimonianze, alla ricostruzione dello sviamento e all’individuazione di elementi utilizzabili in un eventuale procedimento.

È possibile controllare il dipendente sospettato?

La tutela del patrimonio aziendale non autorizza controlli indiscriminati. L’azienda deve rispettare la normativa sul lavoro e sulla protezione dei dati personali.

Prima di controllare il dipendente, è quindi necessario definire finalità, strumenti, proporzionalità e base giuridica dell’attività.

I limiti dei controlli aziendali

L’articolo 4 dello Statuto dei lavoratori disciplina gli strumenti dai quali possa derivare un controllo a distanza. Le informazioni raccolte possono essere utilizzate per finalità connesse al rapporto di lavoro quando il dipendente sia stato adeguatamente informato sulle modalità d’uso degli strumenti e sui controlli e siano rispettate le regole sulla protezione dei dati.

Il Garante ha inoltre chiarito che la lettura sistematica delle email o il monitoraggio generalizzato della navigazione non sono ammessi. I controlli devono essere trasparenti, proporzionati e coerenti con policy aziendali preventivamente comunicate.

Un’indagine mal gestita rischia quindi di generare contestazioni sulla legittimità del controllo o sull’utilizzabilità dei dati raccolti.

Quando la sottrazione diventa anche un data breach

Se il database contiene dati personali e viene copiato, divulgato o reso accessibile a soggetti non autorizzati, l’evento può costituire una violazione dei dati personali.

L’azienda deve valutare tempestivamente:

• natura e quantità dei dati coinvolti;

• categorie di interessati;

• possibili conseguenze per i clienti;

• probabilità di utilizzo illecito;

• misure adottate per contenere il rischio;

• necessità di notificare il Garante;

• eventuale comunicazione agli interessati.

Il Garante ricorda che, quando la violazione può comportare un rischio per i diritti e le libertà delle persone, la notifica deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza dell’evento. Tutte le violazioni devono comunque essere documentate.

Cosa deve fare subito l’azienda

La tempestività è fondamentale, ma ogni iniziativa deve evitare l’alterazione delle prove.

La procedura può essere organizzata in sette passaggi:

1. Limitare gli accessi, revocando credenziali, sessioni remote e permessi non più necessari.

2. Preservare dispositivi e account, evitando formattazioni, cancellazioni o verifiche improvvisate.

3. Acquisire i log, prima che vengano sovrascritti dai sistemi.

4. Coinvolgere consulenti legali e investigativi, definendo un piano coordinato.

5. Eseguire l’acquisizione forense, documentando integrità e catena di custodia.

6. Verificare i contatti con i clienti, raccogliendo comunicazioni, offerte e testimonianze.

7. Quantificare il danno, confrontando rinnovi, disdette, fatturato e marginalità.

È inoltre opportuno evitare accuse pubbliche, comunicazioni aggressive all’ex dipendente o contatti disordinati con i clienti. Una reazione precipitosa potrebbe avvisare i soggetti coinvolti, favorire la cancellazione delle tracce o provocare ulteriori danni reputazionali.

Quali tutele può attivare l’impresa

Le conseguenze giuridiche dipendono dalla modalità della sottrazione, dalla natura dei dati, dal ruolo dei soggetti coinvolti e dall’uso successivo delle informazioni.

Per questo, la qualificazione deve essere effettuata da un legale sulla base delle prove disponibili.

Azioni disciplinari e civili

Se il rapporto di lavoro è ancora in corso, la condotta può assumere rilievo disciplinare e, nei casi più gravi, incidere irrimediabilmente sul vincolo fiduciario.

Sul piano civile, l’azienda può valutare:

• richiesta di cessazione della condotta;

• provvedimenti cautelari urgenti;

• inibitoria all’utilizzo delle informazioni;

• restituzione o distruzione dei dati;

• sequestro o descrizione giudiziale;

• azione per concorrenza sleale;

• risarcimento del danno;

• tutela dei segreti commerciali.

La possibilità di ottenere tali misure dipende dalla capacità di dimostrare la riservatezza delle informazioni, la sottrazione, l’utilizzazione e il rischio di un danno attuale o imminente.

Possibili profili penali

Non ogni furto di dati può essere automaticamente definito appropriazione indebita. A seconda delle modalità concrete possono essere valutate diverse fattispecie, come accesso abusivo a un sistema informatico, rivelazione di segreti, danneggiamento di dati o altre condotte previste dalla normativa.

È quindi importante evitare qualificazioni generiche e concentrarsi inizialmente sulla ricostruzione tecnica dei fatti: credenziali utilizzate, autorizzazioni esistenti, file copiati, dispositivi impiegati e destinazione delle informazioni.

Come prevenire la sottrazione dell’elenco clienti

La protezione del database non serve soltanto a ridurre il rischio. Dimostrare di avere adottato misure concrete può essere importante anche per sostenere la natura riservata delle informazioni.

È inoltre utile classificare le informazioni, separare i database più sensibili e stabilire chi possa consultare prezzi, marginalità, rinnovi e trattative. Lasciare credenziali condivise o accessi illimitati rende più difficile attribuire le operazioni a un soggetto preciso.

Domande frequenti sul furto del database clienti

Un ex dipendente può contattare i clienti della precedente azienda?

Non esiste un divieto automatico. Il contatto può diventare illecito quando deriva dall’utilizzo di un database copiato, di informazioni riservate o di altri mezzi contrari alla correttezza professionale.

Un file Excel con i clienti è sempre un segreto commerciale?

No. La tutela dipende dal contenuto, dalla reperibilità delle informazioni, dal loro valore economico e dalle misure adottate dall’impresa per mantenerle riservate.

È sufficiente dimostrare che il dipendente ha scaricato il database?

È un elemento importante, ma potrebbe non bastare. È preferibile dimostrare anche la destinazione dei dati, il successivo utilizzo e il collegamento con la perdita o il contatto dei clienti.

Si può analizzare il computer aziendale restituito dal dipendente?

Sì, ma l’analisi deve rispettare le norme sui controlli, le policy aziendali e la protezione dei dati. Per non alterare le evidenze è opportuno procedere attraverso un’acquisizione forense.

Le testimonianze dei clienti sono utili?

Sì. Email, messaggi, offerte ricevute e dichiarazioni dei clienti possono dimostrare che l’ex dipendente conosceva condizioni economiche, scadenze o informazioni non pubbliche.

Quanto tempo bisogna aspettare prima di avviare un’indagine?

Non è consigliabile attendere. I log possono essere sovrascritti, gli account eliminati e i dispositivi modificati. L’intervento deve essere tempestivo, proporzionato e coordinato con professionisti competenti.

Conclusioni

Il furto del database clienti da parte di un ex dipendente non si dimostra con la sola coincidenza tra dimissioni e perdita di alcuni contratti. È necessario costruire una ricostruzione coerente che colleghi accesso ai dati, copia delle informazioni, trasferimento, utilizzo commerciale e danno subito.

La combinazione tra indagine aziendale, analisi dei rapporti commerciali e acquisizione forense può permettere di individuare le responsabilità e mettere a disposizione dell’impresa e dei suoi legali elementi documentati.

In presenza di esportazioni sospette, accessi anomali o contatti sistematici con la clientela, è fondamentale intervenire prima che le tracce vengano cancellate o sovrascritte. Phersei supporta aziende, imprenditori e studi legali nella raccolta e nella verifica delle prove relative a dipendenti infedeli, sottrazione di dati riservati e concorrenza sleale.