Segreti commerciali sottratti dall’ex dipendente: requisiti di tutela, misure di protezione e competenza territoriale

Nell’azione per la sottrazione di informazioni aziendali riservate commessa attraverso l’acquisizione di dati informatici, il luogo di commissione dell’illecito rilevante ai sensi dell’art. 120, sesto comma, c.p.i. è quello in cui si trovano i server dai quali i dati sono stati trafugati, essendo irrilevante il luogo in cui si trovi chi li ha materialmente acquisiti.

Ai fini della tutela ai sensi degli artt. 98 e 99 c.p.i. le informazioni devono essere segrete, avere valore economico in quanto segrete ed essere sottoposte a misure ragionevolmente adeguate a mantenerle tali. Il valore economico va apprezzato in relazione al vantaggio concorrenziale che la disponibilità delle informazioni attribuisce rispetto a un concorrente che ne sia privo, come avviene per le schede tecniche dei semilavorati e per le schede dei costi di produzione, che consentono di determinare il prezzo plausibilmente offerto ai clienti. Una prassi divulgativa del settore esclude la segretezza solo se riguarda le specifiche informazioni azionate ed è di entità tale da renderle generalmente note agli esperti e agli operatori.

L’adeguatezza delle misure di protezione va valutata in concreto, in relazione alla tipologia e alle dimensioni dell’impresa e delle informazioni, e non può limitarsi al riscontro di certificazioni come la ISO 27001; sono adeguate le misure di un’impresa produttiva il cui core business non è l’informatica che custodisca i dati in server protetti e ne limiti l’accesso, mediante credenziali, alle informazioni attinenti al ruolo di ciascun dipendente. Non vale a giustificare l’esportazione massiva dei file la finalità dichiarata di procurarsi una difesa in caso di contestazioni del datore di lavoro, quando i documenti risultino utilizzati per l’attività svolta presso il concorrente.