Il trattamento dei dati personali nelle indagini difensive: limiti e cautele operative

Chi svolge investigazioni difensive si trova, quasi senza avvertirlo, a trattare una quantità rilevante di dati personali: nomi, recapiti, immagini, conversazioni, documenti contabili, referti, informazioni relative alla salute o all'orientamento sessuale di persone estranee al processo. La raccolta avviene fuori dai canali istituzionali, spesso su impulso del cliente e in tempi compressi, e la disciplina della protezione dei dati personali non è percepita come parte del lavoro difensivo. Eppure è proprio in questa fase che si concentrano i rischi maggiori: un dato raccolto senza base giuridica adeguata, conservato oltre il necessario o condiviso in modo incontrollato può compromettere la tenuta della prova, esporre lo studio a reclami e sanzioni e, in prospettiva, indebolire la stessa linea difensiva. Il punto di equilibrio non è intuitivo, perché il diritto di difesa e la disciplina privacy sembrano muoversi su piani diversi; in realtà si incontrano e vanno governati con metodo.

La prima questione da chiarire è che l'attività di investigazione difensiva non è un territorio franco rispetto al Regolamento (UE) 2016/679 e al Codice in materia di protezione dei dati personali. L'avvocato che raccoglie informazioni per conto del cliente compie un trattamento di dati personali e, nella quasi totalità dei casi, ne è titolare, salvo che operi come mero esecutore di istruzioni del cliente stesso. Da questa qualificazione discendono obblighi precisi: individuare una base giuridica, rispettare i principi di liceità, correttezza e trasparenza, limitare la raccolta a quanto necessario, fissare tempi di conservazione, adottare misure di sicurezza adeguate e gestire con attenzione le richieste di accesso o le istanze degli interessati. Non si tratta di adempimenti formali da assolvere a posteriori, ma di scelte che condizionano la qualità e la difendibilità del materiale raccolto.

La base giuridica dell'investigazione difensiva

La base giuridica più solida per il trattamento è quella dell'esercizio di un diritto, ai sensi dell'articolo 6, paragrafo 1, lettera f), del Regolamento, letto insieme all'articolo 24 della Costituzione e alle norme che disciplinano l'attività difensiva. Il diritto di difesa è un diritto costituzionalmente garantito e il suo esercizio concreto, compresa la ricerca di elementi utili, costituisce un interesse legittimo prevalente rispetto a quello dell'interessato, che va comunque valutato caso per caso. La prevalenza non è automatica: se la raccolta è sproporzionata, se coinvolge soggetti del tutto estranei alla vicenda o se le modalità sono invasive, il bilanciamento può ribaltarsi e l'interesse dell'interessato alla riservatezza può risultare soccombente solo apparentemente.

Un esempio ricorrente aiuta a fissare il criterio. Se il cliente riferisce che un testimone ha cambiato versione e l'avvocato incarica un investigatore di verificare la sua affidabilità, la raccolta di informazioni sul contesto in cui il testimone opera è ragionevolmente connessa alla difesa. Se invece, nel corso della stessa verifica, si raccolgono sistematicamente dati sulla vita privata dei familiari del testimone, la raccolta eccede lo scopo e la base giuridica non copre più l'attività. La differenza non sta nella quantità di dati in sé, ma nella relazione tra il singolo dato e la linea difensiva: è questo il criterio che va documentato, anche solo con una breve annotazione interna che spieghi perché quel dato è stato acquisito.

Quando la raccolta riguarda categorie particolari di dati, come quelli relativi alla salute, alla vita sessuale o alle convinzioni religiose, il livello di attenzione deve salire. In questi casi la base giuridica ordinaria non è sufficiente e occorre verificare che ricorra una delle condizioni dell'articolo 9, paragrafo 2, del Regolamento, in particolare quella dell'accertamento, esercizio o difesa di un diritto in sede giudiziaria. Anche in presenza di tale condizione, resta il dovere di raccogliere solo ciò che è indispensabile: se una perizia medica è utile alla difesa, va acquisita; se il dato sanitario è marginale rispetto alla tesi da sostenere, la sua raccolta è difficilmente giustificabile.

Minimizzazione e pertinenza nella raccolta

Il principio di minimizzazione, enunciato dall'articolo 5, paragrafo 1, lettera c), del Regolamento, impone che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Nelle investigazioni difensive questo principio ha una traduzione molto concreta: prima di acquisire un documento o di registrare un'informazione occorre chiedersi se quel dato serve davvero a sostenere o a confutare una tesi. La domanda va posta in anticipo, non dopo, perché la raccolta indiscriminata produce due effetti negativi: appesantisce la gestione e, soprattutto, espone il difensore al rischio di trovarsi in mano materiale che non può utilizzare e che è comunque tenuto a custodire con diligenza.

Un caso tipico è quello delle conversazioni registrate o delle annotazioni ricevute da terzi. L'avvocato che riceve un consistente scambio di messaggi tra il cliente e una controparte non è tenuto a conservare tutto: può selezionare i passaggi rilevanti, documentare la selezione e conservare il resto solo se ha una ragione precisa per farlo, ad esempio perché il cliente potrebbe contestare la completezza. La selezione, però, deve essere trasparente: se in un secondo momento si sostiene che un passaggio è stato omesso perché irrilevante, occorre poterlo dimostrare. La minimizzazione, quindi, non è una scorciatoia per distruggere materiale scomodo, ma una disciplina della pertinenza che va documentata.

Un altro profilo riguarda i dati di soggetti terzi che emergono incidentalmente. Se nel corso di un sopralluogo si raccolgono immagini in cui compaiono persone estranee, o se una testimonianza coinvolge fatti di persone non parti del giudizio, la raccolta deve restare nei limiti di quanto è funzionale alla verifica. Non è necessario oscurare ogni volto in ogni circostanza, ma è opportuno che lo studio abbia un criterio stabile: se il dato del terzo non serve, non va conservato; se serve, va trattato con cautele proporzionate alla sua natura.

Conservazione e tempi di custodia

Il principio di limitazione della conservazione, previsto dall'articolo 5, paragrafo 1, lettera e), del Regolamento, richiede che i dati siano mantenuti per un tempo non superiore a quello necessario. Per l'avvocato la difficoltà sta nel fatto che il termine è mobile: la necessità di conservare il materiale dura finché il procedimento è pendente e, in molti casi, finché non sono decorsi i termini per le impugnazioni o non si è consolidata la posizione del cliente. Fissare un termine rigido e uniforme è impraticabile, ma non fissare nulla è altrettanto scorretto. La soluzione ragionevole è una policy interna che distingua le categorie di materiale e preveda, per ciascuna, un periodo di conservazione collegato alla definizione del procedimento, con una verifica periodica della persistenza dell'esigenza.

Il fascicolo investigativo va trattato come un insieme di documenti con destini diversi. Le note che non hanno trovato riscontro, le copie di documenti già presenti agli atti e le informazioni raccolte e poi rivelatesi irrilevanti possono essere eliminate una volta chiusa la fase in cui erano potenzialmente utili, con una annotazione che dia conto della scelta. I documenti che invece sostengono una tesi difensiva vanno conservati per tutto il tempo in cui la tesi può essere riproposta, anche in un grado successivo o in un diverso procedimento connesso. La distinzione tra materiale utile e materiale residuale non è sempre netta al momento della raccolta, ma lo diventa con il passare del tempo, ed è proprio in quel momento che la policy deve funzionare.

Un aspetto spesso trascurato è la conservazione presso soggetti terzi. Se l'investigatore incaricato conserva copia dei dati, o se il materiale è caricato su una piattaforma cloud, il titolare deve verificare che il fornitore offra garanzie adeguate e che i tempi di conservazione siano allineati a quelli dello studio. La designazione del fornitore come responsabile del trattamento, ai sensi dell'articolo 28 del Regolamento, è lo strumento ordinario, ma non basta: occorre controllare che le impostazioni di conservazione siano coerenti e che alla cessazione del rapporto i dati siano restituiti o cancellati.

Il segreto professionale e la condivisione con il cliente

Il materiale investigativo è coperto dal segreto professionale e questa qualificazione incide sul modo in cui i dati possono circolare. La condivisione con il cliente è fisiologica, perché è il cliente il destinatario dell'attività difensiva, ma non è illimitata: l'avvocato deve trasmettere ciò che è utile alla difesa, con modalità sicure e con l'avvertenza che il cliente, una volta ricevuto il materiale, ne diventa a sua volta titolare o comunque responsabile di un trattamento autonomo. È opportuno che lo studio indichi al cliente, in modo chiaro, quali documenti sono destinati alla consultazione e quali non vanno diffusi, e che eviti di trasmettere l'intero fascicolo quando è sufficiente una selezione.

"Il trattamento dei dati personali deve essere improntato ai principi di minimizzazione e di limitazione della conservazione: i dati sono conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati" (sintesi dei principi enunciati dall'articolo 5, paragrafo 1, lettere c) ed e), del Regolamento (UE) 2016/679).

La circolazione interna allo studio merita una regola esplicita. Non tutti i collaboratori devono accedere a tutto: il praticante che redige un atto non ha necessariamente bisogno di consultare le annotazioni investigative più delicate, e il personale di segreteria non deve poter accedere a cartelle contenenti dati particolari senza una ragione operativa. L'articolo 32 del Regolamento impone misure tecniche e organizzative adeguate al rischio, e la limitazione degli accessi è una delle più semplici ed efficaci. In uno studio piccolo la misura può tradursi in cartelle protette e in una regola scritta su chi può aprirle; in uno studio più grande richiede profili di autorizzazione differenziati e una traccia degli accessi.

Quanto alle richieste di accesso degli interessati, la questione va gestita con prudenza. L'articolo 15 del Regolamento riconosce il diritto di ottenere conferma dell'esistenza di un trattamento e di accedere ai dati, ma l'articolo 23 consente limitazioni quando ciò sia necessario per salvaguardare interessi rilevanti, tra cui l'esercizio di un diritto in sede giudiziaria. La valutazione va fatta caso per caso, tenendo conto del rischio che l'accesso riveli la strategia difensiva o comprometta l'acquisizione di ulteriori elementi. La risposta, anche quando è un diniego, deve essere motivata e conservata, perché è essa stessa prova della correttezza del trattamento.

Misure di sicurezza dello studio

La sicurezza del materiale investigativo è un obbligo giuridico prima che una buona pratica. Le misure minime ragionevoli comprendono la cifratura dei dispositivi portatili e delle comunicazioni, l'autenticazione a più fattori per l'accesso ai sistemi, la separazione tra i fascicoli, la registrazione degli accessi alle cartelle più sensibili e una procedura di backup che non lasci copie incontrollate. A queste si aggiungono regole organizzative: divieto di conservare materiale investigativo su dispositivi personali, obbligo di segnalare immediatamente la perdita di un dispositivo, istruzioni chiare su come trasmettere documenti al cliente senza esporli a intercettazioni o a invii errati.

Un errore frequente è l'invio massivo di allegati pesanti via posta elettronica ordinaria, magari con l'intero fascicolo in copia. È preferibile ricorrere a collegamenti protetti, a piattaforme di condivisione con accesso tracciato o alla consegna di supporti cifrati, e limitare la trasmissione ai soli documenti necessari. Un altro errore è la mancata gestione della casella di posta: se il cliente scrive dalla propria casella e il difensore risponde citando dati sensibili, il contenuto resta nella disponibilità del cliente e dei suoi fornitori di servizi, con un livello di protezione che lo studio non controlla. La consapevolezza di questo passaggio dovrebbe orientare le scelte di comunicazione, soprattutto quando i dati sono particolari.

Infine, la sicurezza non è solo tecnica. La formazione dei collaboratori, la definizione di chi risponde alle richieste degli interessati e la conservazione della documentazione delle scelte compiute sono misure organizzative che, in caso di contestazione, fanno la differenza. Uno studio che sa ricostruire perché un dato è stato raccolto, dove è stato conservato e per quanto tempo lo ha fatto è in una posizione molto più solida di uno studio che, pur avendo operato correttamente, non è in grado di dimostrarlo.

Cosa fare in pratica

La prima indicazione è di trattare l'investigazione difensiva come un trattamento strutturato e non come un'attività occasionale. Prima di avviare la raccolta conviene individuare la finalità difensiva specifica, la base giuridica che la sostiene e le categorie di dati strettamente necessarie, annotando queste scelte in una scheda sintetica del fascicolo investigativo. La scheda non è un adempimento burocratico: è lo strumento che consente, mesi dopo, di spiegare perché un certo documento è stato acquisito e perché altri non lo sono stati, e che rende possibile applicare la minimizzazione con criterio invece che per intuizione.

La seconda indicazione riguarda la custodia e la circolazione. È opportuno adottare una policy interna che distingua il materiale utile da quello residuale, fissi per ciascuna categoria un termine di conservazione collegato alla definizione del procedimento e preveda una verifica periodica. Sul piano della sicurezza, la limitazione degli accessi, la cifratura dei dispositivi e delle comunicazioni e la tracciabilità degli invii al cliente sono misure proporzionate anche a studi di piccole dimensioni. Quando si condivide materiale con il cliente, è bene selezionare i documenti, indicare le modalità di trasmissione e avvertire che la diffusione ulteriore è una scelta autonoma del cliente, della quale lo studio non risponde.

La terza indicazione è di prepararsi in anticipo alle richieste degli interessati e alle contestazioni. Avere un referente interno per le istanze di accesso, una procedura scritta per valutare le limitazioni previste dall'articolo 23 del Regolamento e un archivio ordinato delle decisioni assunte consente di rispondere in tempi rapidi e con motivazioni coerenti. In definitiva, la qualità del trattamento dei dati nelle indagini difensive non si misura nella fase tranquilla, ma quando il materiale viene contestato: ed è allora che una gestione ordinata, documentata e proporzionata si rivela parte integrante della difesa.