Informatica forense · Aziende

In che modo un’azienda dovrebbe conservare le prove digitali dopo aver ricevuto una segnalazione interna?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

Le indagini interne possono comportare conseguenze significative dal punto di vista economico, del personale e giuridico. Proprio per questo motivo è necessario chiarire innanzitutto quale fatto tecnico concreto debba essere dimostrato o confutato. Una mole di dati il più ampia possibile non costituisce un indicatore di qualità; ciò che conta è che l’indagine sia adeguata, circoscritta e comprensibile.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Perché LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Nessun giudizio affrettato – anche in caso di sospetti già consolidati internamente

Un’azienda può già ravvisare un chiaro sospetto per motivi organizzativi o giuridici. L’esito dell’indagine tecnica rimane tuttavia aperto. Documentiamo anche i risultati che contraddicono il sospetto e indichiamo espressamente quando un’azione presunta non può essere dimostrata sulla base dei dati ottenuti.

I risultati tecnici e la valutazione giuridica rimangono distinti

L’informatica forense può, ad esempio, accertare che un determinato account abbia esportato un file, che un dispositivo fosse connesso in un determinato momento o che un messaggio sia stato tecnicamente trasmesso. Da ciò non si deduce automaticamente quale persona fisica abbia agito, se l’azione fosse consentita o quali conseguenze ne derivino in materia di diritto del lavoro, civile o penale.

LanCologne come supporto tecnico indipendente per l’ufficio legale e la direzione aziendale

LanCologne non è incaricata di confermare tecnicamente un risultato desiderato. Ci viene affidato il compito di rispondere in modo oggettivo a una specifica questione probatoria sulla base delle tracce digitali disponibili. L’indagine deve rimanere comprensibile anche qualora venisse successivamente sottoposta a un esame critico da parte di una controparte, di un tribunale o di un altro esperto qualificato in informatica forense.

Per quanto riguarda i dati dei dipendenti, l’articolo 26 della BDSG costituisce un punto di riferimento giuridico fondamentale. L’articolo 26, comma 1, della BDSG consente il trattamento dei dati personali dei dipendenti per finalità legate al rapporto di lavoro alle condizioni ivi specificate. Ai fini dell’accertamento di reati, la disposizione richiede in particolare l’esistenza di indizi concreti da documentare, nonché il rispetto dei principi di necessità e proporzionalità; l’interesse meritevole di tutela del lavoratore non deve prevalere. L’articolo 26, comma 6, della BDSG non pregiudica i diritti di partecipazione delle organizzazioni di rappresentanza.

Si applicano inoltre i principi del GDPR, in particolare la legittimità, la limitazione delle finalità e la minimizzazione dei dati ai sensi dell’art. 5, nonché il requisito di una base giuridica valida ai sensi dell’art. 6. Nel caso di categorie particolari di dati personali, occorre inoltre osservare l’art. 9 del GDPR e, se del caso, il § 26, comma 3, della BDSG.

Per quanto riguarda i dispositivi tecnici destinati al monitoraggio del comportamento o delle prestazioni dei lavoratori, l’articolo 87, paragrafo 1, punto 6, della BetrVG prevede un diritto di codecisione del comitato aziendale, qualora non sussistano disposizioni di legge o contrattuali. Per i sistemi MDM, EDR, DLP, di registrazione (logging) e simili, occorre quindi esaminare di volta in volta la loro configurazione concreta.

Per quanto riguarda le segnalazioni ai sensi della legge sulla tutela degli informatori, è particolarmente rilevante l’articolo 8 della HinSchG. Il principio di riservatezza tutela non solo l’identità dell’informatore, ma anche le persone oggetto della segnalazione e le altre persone citate nella stessa. L’articolo 9 della HinSchG prevede eccezioni legali al principio di riservatezza. L’articolo 36 della HinSchG vieta le ritorsioni e stabilisce una regola sull’onere della prova alle condizioni ivi indicate.

In materia di segreti aziendali, un’indagine interna non deve considerare automaticamente una segnalazione come una violazione del segreto. L'articolo 5 della legge sui segreti aziendali (GeschGehG) prevede delle eccezioni ai divieti di cui all'articolo 4, tra l'altro a determinate condizioni per l'accertamento di atti illeciti o di comportamenti scorretti sul lavoro o di altro tipo, nonché per le necessarie comunicazioni alle rappresentanze dei lavoratori.

Qualora in seguito si giunga a un processo civile, il Codice di procedura civile (ZPO) prevede, tra l’altro, la prova mediante ispezione; l’articolo 371, comma 1, ZPO disciplina espressamente il caso in cui un documento elettronico sia oggetto della prova. Per la prova peritali si applicano gli articoli 402 e seguenti dello ZPO. In un procedimento penale, il tribunale determina l’ambito dell’istruttoria secondo il Codice di procedura penale (StPO); in particolare, l’art. 244 StPO disciplina il principio dell’istruttoria e le richieste di prova. Tali norme procedurali, tuttavia, non trasformano automaticamente una perizia informatica forense commissionata privatamente in una perizia giudiziaria.

LanCologne fornisce perizie tecniche e non consulenza legale. La concreta ammissibilità di un provvedimento investigativo, le conseguenze in materia di diritto del lavoro, la strategia processuale e la valutazione penale sono di competenza esclusiva dei consulenti legali, delle autorità e dei tribunali competenti.

Domande frequenti

🔗 Argomenti correlati