Deroghe al diritto di difesa nella tutela della privacy: quando raccogliere prove sull'altro è lecito

 

Chiunque abbia il sospetto che un dipendente stia sottraendo informazioni riservate all'azienda, o che il proprio coniuge non stia dicendo la verità, si trova prima o poi davanti alla stessa domanda: posso controllare, verificare, raccogliere elementi, senza violare la normativa sulla protezione dei dati personali? La risposta, per quanto possa sorprendere chi pensa alla privacy come a un diritto assoluto, è sì, a condizioni precise. L'ordinamento italiano ed europeo hanno costruito, nel tempo, una vera e propria deroga strutturale al regime ordinario di protezione dei dati personali, fondata su un principio semplice: il diritto di difendersi in giudizio, riconosciuto come inviolabile dall'articolo 24 della Costituzione, non può essere reso concretamente inesercitabile dalla disciplina sulla riservatezza. Due esempi, apparentemente distanti tra loro, mostrano bene come funziona questa deroga nella pratica quotidiana degli studi legali e commercialistici: le indagini difensive del datore di lavoro nei confronti dei propri dipendenti e le investigazioni private commissionate dal coniuge o dal partner per tutelare i propri diritti in una separazione, in un divorzio o in altro procedimento.

Il fondamento normativo: perché la difesa in giudizio prevale sulla riservatezza

Il punto di partenza è il Regolamento (UE) 2016/679, il GDPR. L'articolo 6, paragrafo 1, lettera f), individua nel legittimo interesse del titolare del trattamento una delle basi giuridiche che rendono lecito il trattamento di dati personali comuni, quando questo interesse non sia superato dai diritti e dalle libertà fondamentali dell'interessato: raccogliere prove per tutelare una propria posizione giuridica rientra a pieno titolo in questa previsione. Quando però i dati coinvolti appartengono alle categorie particolari disciplinate dall'articolo 9 del Regolamento (origine razziale o etnica, convinzioni religiose, dati relativi alla salute o alla vita sessuale, e così via), il legislatore europeo ha dovuto prevedere un'eccezione espressa al divieto generale di trattamento: l'articolo 9, paragrafo 2, lettera f), stabilisce che il trattamento è lecito quando "è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali". È qui che si annida, testualmente, la deroga di cui parliamo: la tutela di un diritto in sede giudiziaria giustifica un trattamento che, in circostanze ordinarie, sarebbe vietato.

Questa impostazione non nasce con il GDPR. Il previgente Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), prima della riforma operata dal decreto legislativo 10 agosto 2018, n. 101, conteneva all'articolo 24, comma 1, lettera f) una disposizione dallo stesso spirito: il trattamento senza consenso era ammesso quando necessario per far valere o difendere un diritto in sede giudiziaria, a condizione che i dati fossero trattati esclusivamente per tale finalità e per il periodo strettamente necessario al suo perseguimento. La riforma del 2018 ha trasferito la sostanza di questa previsione nel sistema del Regolamento europeo, ma ha lasciato al Garante per la protezione dei dati personali un compito ulteriore, che si rivela decisivo nella pratica: quello di tradurre il principio generale in regole deontologiche vincolanti per chi svolge, professionalmente, attività di raccolta di prove per finalità difensive.

Il Garante ha assolto questo compito con il provvedimento del 19 dicembre 2018 (doc. web n. 9069653), recante le "Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria", pubblicate ai sensi dell'articolo 20, comma 4, del d.lgs. 101/2018 e in vigore dal 19 gennaio 2019. Il meccanismo con cui queste regole acquistano forza vincolante è disciplinato dall'articolo 2-quater del Codice Privacy, che attribuisce loro un ruolo di condizione di liceità: il rispetto delle regole deontologiche "costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali". In altre parole, chi si muove all'interno del perimetro tracciato da queste regole (proporzionalità, minimizzazione, conservazione limitata al tempo strettamente necessario, incarico scritto che indichi il diritto da far valere) opera legittimamente; chi lo travalica, anche animato dalle migliori intenzioni difensive, rischia di trasformare la prova raccolta in un trattamento illecito, con conseguenze che vanno dalla sanzione amministrativa all'inutilizzabilità processuale del materiale ottenuto.

Il datore di lavoro e i controlli difensivi sul dipendente

Il primo terreno in cui questa deroga si misura ogni giorno con la realtà delle imprese è il rapporto di lavoro. La disciplina di riferimento è l'articolo 4 dello Statuto dei Lavoratori (legge 20 maggio 1970, n. 300), riscritto dal decreto legislativo 14 settembre 2015, n. 151 nell'ambito del Jobs Act. La norma consente al datore di lavoro di installare strumenti di controllo a distanza per esigenze organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale, ma subordina questa possibilità a un accordo sindacale o, in mancanza, a un'autorizzazione amministrativa, oltre che a un'adeguata informativa al lavoratore. È una procedura pensata per i controlli che riguardano, indistintamente, tutta la platea dei dipendenti nello svolgimento della prestazione.

Accanto a questo regime, la giurisprudenza di legittimità ha costruito, nel tempo, la figura autonoma dei cosiddetti controlli difensivi in senso stretto: quei controlli mirati che il datore di lavoro attiva non per sorvegliare l'attività lavorativa in generale, ma per accertare condotte illecite di uno specifico dipendente, quando esista già un fondato sospetto in tal senso. La Corte di Cassazione, con la sentenza n. 25732 del 22 settembre 2021, ha chiarito che questa tipologia di controllo, quando davvero mirata e fondata su indizi concreti, si colloca al di fuori del perimetro applicativo dell'articolo 4, proprio perché non riguarda la generalità dei lavoratori nello svolgimento ordinario delle mansioni, ma la verifica ex post di un sospetto di illecito già maturato. La sentenza n. 34092 del 2021 ha confermato questa distinzione, che è poi diventata un punto fermo della giurisprudenza successiva.

Il vero nodo, però, è il momento in cui il sospetto deve sorgere rispetto alla raccolta dei dati. Con la sentenza n. 18168 del 26 giugno 2023, la sezione lavoro della Cassazione ha stabilito che i controlli difensivi in senso stretto sono legittimi solo in presenza di un fondato sospetto circa la commissione di un illecito, e non di un mero sospetto generico: il controllo della posta elettronica aziendale disposto sulla base di un sospetto non qualificato è stato giudicato inutilizzabile. Il principio è stato ulteriormente precisato dall'ordinanza n. 7514 del 29 marzo 2026, che ha ribadito come non sia consentito qualificare ex post come difensivo un controllo che, al momento in cui è stato effettuato, non era sorretto da alcun sospetto fondato: se il datore di lavoro non riesce a dimostrare che il sospetto è cronologicamente anteriore alla raccolta dei dati, il materiale probatorio così ottenuto resta inutilizzabile, perché non è possibile rendere lecito a posteriori un comportamento che tale non era nel momento in cui è stato posto in essere. Più di recente ancora, la sentenza n. 32283 dell'11 dicembre 2025 ha affrontato il caso, oggi frequentissimo, delle chat aziendali: la Corte ha riconosciuto che le conversazioni scambiate su strumenti di messaggistica forniti dall'azienda possono essere utilizzate a fini disciplinari, a condizione che il lavoratore sia stato adeguatamente informato dell'esistenza e delle modalità del controllo e che restino comunque legittimi, accanto a questo regime generale, i controlli difensivi mirati ed ex post fondati su indizi concreti.

Applicando lo schema norma-fatto-conclusione: la norma è l'articolo 4 dello Statuto dei Lavoratori, letto in combinato disposto con l'articolo 9, paragrafo 2, lettera f) del GDPR; il fatto tipico è la scoperta, da parte del datore di lavoro, di indizi concreti di una condotta illecita di un singolo dipendente (una sottrazione di dati, un conflitto di interessi, una violazione di riservatezza); la conclusione, alla luce della giurisprudenza appena richiamata, è che il controllo mirato, attivato dopo l'insorgere del sospetto e proporzionato alla necessità di accertare quello specifico fatto, è legittimo e la prova così raccolta è normalmente utilizzabile anche in un eventuale giudizio di impugnazione del licenziamento; lo stesso controllo, se anticipato rispetto al sospetto o esteso oltre quanto strettamente necessario, perde la propria natura difensiva e ricade nel regime ordinario dell'articolo 4, con il rischio, se le condizioni procedurali non sono rispettate, di rendere le prove inutilizzabili.

Il partner e le indagini investigative in ambito familiare

Il secondo esempio riguarda un contesto completamente diverso, ma retto dalla stessa logica di fondo: la crisi della coppia. Chi sospetta un'infedeltà coniugale, o ha bisogno di documentare una situazione patrimoniale rilevante ai fini di una separazione, di un divorzio o della determinazione di un assegno, si rivolge a un'agenzia di investigazioni private. Si tratta di un'attività riservata, dal punto di vista soggettivo, a chi è titolare della licenza prefettizia prevista dagli articoli 134 e 135 del Testo Unico delle Leggi di Pubblica Sicurezza: solo l'investigatore autorizzato può legittimamente svolgere, a titolo professionale, pedinamenti, appostamenti e raccolta di immagini destinati a un uso probatorio.

Anche in questo caso trova applicazione la stessa deroga privacy vista in precedenza, con un livello di attenzione più elevato: le indagini a fini matrimoniali toccano quasi sempre dati particolarmente sensibili, quali la vita sessuale o le relazioni affettive, che rientrano nelle categorie particolari dell'articolo 9 del GDPR. Le regole deontologiche del Garante del dicembre 2018 sono state scritte proprio pensando a questo tipo di attività: impongono all'investigatore di operare sulla base di un incarico scritto che individui con precisione il diritto che il cliente intende far valere, di raccogliere soltanto i dati pertinenti a quell'incarico, di conservarli per il tempo strettamente necessario e di evitare, salvo casi eccezionali, la diffusione di informazioni relative a soggetti terzi non coinvolti nella vicenda.

Sul piano probatorio, la giurisprudenza ha ormai consolidato l'ammissibilità di questo materiale nei procedimenti di separazione e divorzio. La Corte di Cassazione, con la sentenza n. 4038 del 14 febbraio 2024, si è pronunciata proprio su un caso di addebito della separazione fondato sull'infedeltà della moglie, documentata attraverso relazioni investigative corredate da materiale fotografico. La Corte ha ribadito che la relazione dell'investigatore, insieme alle fotografie che la accompagnano, costituisce una prova atipica, liberamente valutabile dal giudice ai sensi dell'articolo 116 del codice di procedura civile, e che l'utilizzabilità decisoria delle riproduzioni fotografiche trova fondamento nell'articolo 2712 del codice civile; non è necessario, per attribuire efficacia probatoria a questi documenti, che l'investigatore privato sia escusso come testimone in contraddittorio, perché l'eventuale disconoscimento della conformità delle immagini all'originale può essere superato dal giudice attraverso altri elementi istruttori.

Applicando ancora lo schema norma-fatto-conclusione: la norma è, di nuovo, l'articolo 9, paragrafo 2, lettera f) del GDPR, integrato dalle regole deontologiche del 2018 e dagli articoli 134-135 TULPS quanto alla qualificazione soggettiva di chi raccoglie i dati; il fatto tipico è l'incarico conferito a un'agenzia investigativa autorizzata per documentare una condotta rilevante ai fini di un procedimento di separazione, divorzio o affidamento; la conclusione è che la relazione investigativa e il materiale fotografico che la correda sono normalmente utilizzabili come prova, a condizione che l'incarico sia stato conferito da chi ha un interesse concreto e attuale a far valere un diritto in quel procedimento, che l'attività sia stata svolta da un soggetto abilitato, e che la raccolta dei dati sia rimasta proporzionata alla finalità difensiva dichiarata, senza sconfinare in una sorveglianza generalizzata o nella raccolta di informazioni estranee all'oggetto dell'incarico.

I confini della deroga: perché non è un lasciapassare

È importante che questa deroga non venga letta come un'autorizzazione generale a indagare sulla vita altrui. Il principio di proporzionalità resta il vero perno del sistema: la deroga copre esclusivamente ciò che è necessario per accertare, esercitare o difendere un diritto specifico e già individuabile, non un controllo esplorativo condotto nella speranza di scoprire qualcosa di utile. Un datore di lavoro che installa un sistema di sorveglianza occulta prima ancora che sorga un sospetto concreto, così come un coniuge che incarica un'agenzia investigativa di seguire l'altro senza un motivo specifico e documentabile, escono dal perimetro della deroga e rientrano nel regime ordinario, molto più restrittivo, della protezione dei dati personali. In questi casi il rischio non è soltanto la sanzione amministrativa del Garante o l'inutilizzabilità della prova in giudizio: la raccolta di immagini o comunicazioni al di fuori dei presupposti appena descritti può integrare reati quali l'interferenza illecita nella vita privata dell'articolo 615-bis del codice penale o la violazione di domicilio, con conseguenze anche sul piano risarcitorio nei confronti di chi ha subito il controllo.

Vale la stessa cautela per gli strumenti tecnologici oggi disponibili a chiunque: applicazioni di localizzazione, software di lettura della corrispondenza elettronica, dispositivi di registrazione nascosti. La disponibilità tecnica di uno strumento non equivale mai alla sua liceità d'uso: la valutazione di proporzionalità, necessità e minimizzazione va condotta caso per caso, prima di agire, non dopo, quando il materiale è già stato raccolto e occorre soltanto sperare che un giudice lo ritenga ammissibile.

Conclusione

La disciplina della privacy, lungi dall'essere un ostacolo insormontabile alla tutela dei propri diritti, prevede al proprio interno lo spazio necessario perché chi ha un interesse legittimo e concreto possa raccogliere le prove di cui ha bisogno, sia in ambito lavorativo sia in ambito familiare. Si tratta però di uno spazio delimitato con precisione dal legislatore europeo, dal Garante per la protezione dei dati personali e dalla giurisprudenza di legittimità, e proprio per questo richiede, prima di ogni intervento, una valutazione tecnica accurata: individuare correttamente il diritto da tutelare, il momento in cui matura il sospetto, i soggetti abilitati a intervenire e i limiti quantitativi e qualitativi della raccolta dei dati è spesso ciò che decide, in concreto, se una prova sarà utilizzabile in giudizio oppure si trasformerà in un boomerang, esponendo chi l'ha raccolta a responsabilità ulteriori. Per questo, prima di attivare un controllo difensivo aziendale o di conferire un incarico investigativo, è sempre opportuno un confronto preventivo con un professionista in grado di verificare che il percorso scelto sia coerente con il diritto che si intende, in ultima analisi, difendere.

---

Il presente contributo ha finalità puramente informativa e divulgativa e non costituisce parere legale su un caso concreto. Per una valutazione della propria specifica situazione si consiglia di rivolgersi a un professionista.

Dott. Guglielmo Frattale
Giurista di impresa e Compliance Manager
Studio Frattale & Partners

Hai una situazione simile da valutare o vuoi approfondire il tuo caso specifico? Richiedi una consulenza strategica allo Studio Frattale & Partners