Condivisione di informazioni con terzi: il passaggio legale che pochi rispettano nelle investigazioni

Nelle investigazioni, la differenza tra un’operazione legittima e un rischio sanzionatorio spesso si gioca su dettagli che sembrano burocratici. Il più ignorato è legato alla condivisione di informazioni con soggetti esterni: fornitori, consulenti, laboratori, cloud. Dopo anni passati tra ingressi di discoteche lombarde e audit su sistemi di controllo accessi, ho imparato che la catena dell’informazione è tanto robusta quanto il suo anello più debole.

Qual è il passaggio legale che quasi tutti saltano quando condividono dati in un’investigazione?

Il passaggio più trascurato è qualificare il terzo e formalizzarlo con un accordo adeguato: responsabile del trattamento (art. 28) o contitolare (art. 26). Senza questo atto, la condivisione è priva di base documentale e diventa un azzardo. È il punto che i controlli colgono per primi.

In pratica: ogni volta che spedite foto, report o metadata a un esterno, dovete stabilire chi decide “perché e come” dei dati. Se decide solo il titolare, il terzo è responsabile e serve una nomina scritta con istruzioni vincolanti. Se decidete insieme le finalità, serve un accordo di contitolarità con riparto trasparente degli obblighi.

Potrebbe interessarti anche

Normativa sulla privacy nelle intercettazioni ambientali: come evitare sanzioni nascosteQuali documenti può richiedere legalmente un investigatore privato? Evita di commettere infrazioniQuando rivolgersi a un investigatore privato? Scopri il momento cruciale che cambia tuttoInvestigatore privato per frodi assicurative: la strategia che svela la verità nascosta

Questo adempimento discende dal GDPR e non è opzionale. Ometterlo significa lasciare un buco nero nella vostra accountability, proprio nel punto in cui i dati escono dal perimetro di controllo.

Serve il consenso per passare informazioni a un fornitore o al cliente?

Di solito no: nelle investigazioni private la base giuridica è il legittimo interesse o la necessità contrattuale, non il consenso. Il consenso è revocabile e spesso inapplicabile in contesti di accertamento. Meglio evitare scorciatoie retoriche.

Il cliente riceve i risultati perché rientra nella finalità del mandato. Il fornitore riceve i dati perché esegue un servizio strumentale all’incarico. Ciò non toglie l’obbligo di informare gli interessati, indicando le categorie di destinatari e la logica della condivisione. Se l’investigazione rende impossibile informare prima, si documenta il differimento, come previsto dal Codice della privacy.

Ricordate anche il principio di minimizzazione: al terzo si inviano solo i dati indispensabili per la specifica attività, mai l’intero fascicolo “per comodità”.

Come distinguo tra responsabile del trattamento e contitolare nella pratica quotidiana?

È responsabile chi tratta dati per vostro conto seguendo istruzioni vincolanti, senza scopi propri. È contitolare chi definisce insieme a voi finalità e mezzi essenziali. La differenza sta nel “chi decide” e non in chi “esegue”.

Esempi tipici: un laboratorio che effettua analisi forensi su un hard disk secondo il vostro protocollo è responsabile. Una piattaforma investigativa che co-definisce criteri, basi dati e tempi di conservazione può essere contitolare. Il cliente non è automaticamente contitolare: spesso è titolare autonomo dei propri dati e destinatario dei vostri elaborati, ma non decide il come trattate durante l’indagine.

Se avete dubbi, fate il test delle domande secche: chi decide i mezzi principali? Chi stabilisce i tempi di cancellazione? Chi definisce basi legali e informativa? Se la risposta è “noi e il terzo, insieme”, siete nella sfera della contitolarità.

Cosa deve contenere l’accordo con il terzo per superare un’ispezione?

Un accordo art. 28 solido dice chi fa cosa, come protegge i dati e quando li cancella. Impone riservatezza, subfornitori autorizzati e audit. Prevede incident response e misure tecniche minime.

• Oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati.
• Istruzioni documentate del titolare e divieto di trattare per finalità proprie.
• Obbligo di riservatezza per il personale e formazione specifica.
• Misure tecniche e organizzative: cifratura, controllo accessi, segregazione ambienti, logging.
• Regole su sub-responsabili: previa autorizzazione e stesso livello di garanzie.
• Supporto a diritti degli interessati e a data breach management, con tempi di notifica.
• Assistenza a DPIA e ispezioni; audit e diritto di verifica periodico.
• Rientro o cancellazione dei dati al termine del servizio, con attestazione.

Per contitolarità (art. 26) servono invece: finalità condivise, riparto trasparente delle responsabilità, chi fa da punto di contatto per gli interessati, principi di sicurezza comuni e criteri di conservazione.

Quando scatta la DPIA nelle investigazioni e quali rischi devo valutare?

La DPIA è necessaria quando il rischio per i diritti degli interessati è elevato, per esempio con sorveglianza sistematica, uso su larga scala di dati particolari o profilazione. Nelle investigazioni capita con tecnologie pervasive o incroci massivi di fonti. Meglio valutare prima di partire.

Trigger tipici: geolocalizzazione continua, scraping estensivo, biometria, monitoraggio di aree pubbliche con correlazioni temporali prolungate. Nei casi borderline, fate una valutazione preliminare e documentate la scelta. Se il rischio resta alto, coinvolgete il DPO e definite misure: minimizzazione strutturale, pseudonimizzazione, separazione dei dataset, regole di accesso per ruoli, retention breve e distruzione controllata.

Una buona DPIA è pratica: mappa i flussi, descrive minacce concrete (furto device, abuso di privilegi, leakage in cloud), assegna contromisure e indica chi le verifica.

Posso usare servizi cloud statunitensi o trasferire dati fuori dallo SEE?

Sì, ma solo con una base di trasferimento valida e valutazioni sul rischio di accessi governativi. Strumenti attuali: clausole contrattuali standard e, se applicabile, il quadro UE-USA. Senza misure supplementari, il trasferimento può essere contestato.

Prassi consigliata: mappate dove risiedono i dati e quali subfornitori accedono. Se usate provider extra SEE, applicate SCC aggiornate, cifratura forte con chiavi sotto vostro controllo, minimizzazione e tokenizzazione. Valutate impatti sulla catena di custodia: a volte, per tenuta probatoria, meglio soluzioni europee con log firmati e conservazione a norma.

Inserite tutto nell’accordo col fornitore e nel registro dei trattamenti: è lì che i revisori cercano coerenza.

Quali log e prove devo conservare per dimostrare la liceità della condivisione?

Servono log di accesso, evidenze dell’accordo col terzo e prova della minimizzazione. Tracciate chi ha visto cosa e quando, e perché. Senza catena di custodia, la prova rischia di diventare carta straccia.

Mantenete: registro dei trattamenti aggiornato, matrice dei ruoli (titolare/responsabile/contitolare), copie firmate delle nomine, elenco sub-responsabili, audit trail su trasferimenti file, hash dei reperti digitali, policy di retention e attestazioni di cancellazione. In caso di incidente, documentate l’analisi, l’impatto e i rimedi adottati.

Questa disciplina non è solo compliance: è qualità operativa. Lo dico da chi ha gestito notti caotiche in cui la differenza l’ha fatta un log ben tenuto.

Domande rapide

Devo citare i destinatari nell’informativa? Sì: almeno per categorie, con finalità e basi legali chiare.

Posso inviare tutto il fascicolo al terzo “per sicurezza”? No: solo i dati necessari allo scopo specifico.

Il cliente può impormi di usare il suo cloud? Sì, se conforme: fate due diligence e formalizzate i ruoli.

Quanto dura la conservazione dopo la consegna del report? Il minimo necessario: definite tempi per categoria e documentateli.

Se il terzo rifiuta la nomina art. 28? Cambiate fornitore o passate a contitolarità motivata: mai restare nel “non detto”.