1. Proposte di riforma sul sistema sanzionatorio societario in Germania
Il 27 maggio 2026 il Ministero bavarese della Giustizia ha annunciato i risultati di un tavolo tecnico dedicato a Compliance e Internal Investigations (si veda il relativo comunicato stampa) promosso nell’ambito del più ampio dibattito sulla riforma del diritto sanzionatorio degli enti, diventato a sua volta ancor più vivace in occasione dell’implementazione nell’ordinamento tedesco della direttiva (UE) n. 1203/2024 sulla tutela penale dell’ambiente (si rinvia al precedente post sul tema).
L’incontro di studio ha condotto alle seguenti proposte di modifica:
- intervento sul § 130 OWiG con definizione delle misure di compliance per assicurare effettività nell’attività di vigilanza e nell’organizzazione;
- intervento sul § 30 OWiG con introduzione di criteri definiti che assegnino alle misure di complianceun effetto attenuante sulla sanzione;
- promozione della collaborazione con le autorità inquirenti.
Le prime due proposte sono state accolte dal Consiglio Federale tedesco (Bundesrat), non anche la terza (si veda il comunicato del 12 giugno sul sito del Ministero di giustizia bavarese).
Il fine delle proposte è duplice: assicurare chiarezza dei criteri di valutazione del sistema di compliance e garantire margini di prevedibilità sull’impatto dell’illecito a livello sanzionatorio, in una prospettiva economicistica che permetta all’impresa di valutare anticipatamente e in modo strategico i vantaggi derivanti dall’adozione di “buone prassi”, a fronte dei costi cospicui che queste comportano. In questo quadro viene rivolta particolare attenzione a due potenziali strumenti di incentivo alla compliance aziendale: la collaborazione con le autorità inquirenti e le indagini interne svolte dall’ente medesimo per l’accertamento degli illeciti.
All’interno del più ampio contesto di riforma della responsabilità da reato degli enti in Germania, infatti, le proposte mettono in luce una questione centrale per il settore: quali strumenti prediligere al fine d’incentivare l’impresa ad implementare sistemi efficienti di indagini interne e strategie di collaborazione effettiva con le autorità investigative pubbliche per rendere prevedibili costi e rischi legati alla responsabilità da reato. Trattandosi infatti di attività e di strumenti onerosi – sia economicamente che per le ricadute sul management in termini di responsabilità – la loro implementazione non può dipendere soltanto dalla sensibilità dei vertici aziendali, bensì richiede criteri giuridici chiari e prevedibili.
Le opinioni emerse dall’incontro tecnico sottolineano che investire sullo sforzo investigativo consentirebbe di rispondere anzitutto ad esigenze della pratica, assicurando prevedibilità e certezza applicative, e in secondo luogo di favorire una cultura aziendale fondata sulla fiducia reciproca e sulla trasparenza, nell’interesse degli enti.
Le indagini interne assumono quindi particolare rilievo nella prospettiva costi-benefici della compliance d’impresa, diventando oggetto di approfondimenti e dibattiti tra gli esperti del settore (si rinvia ad un esempio di focus dedicato al tema). Di seguito alcuni profili di maggior interesse.
2. Fondamento delle indagini interne
Nel diritto tedesco la previsione di un sistema investigativo interno risponde agli obblighi di legalità, organizzazione e vigilanza degli organi societari ed è regolato da specifiche disposizioni di settore (tra le fonti più frequentemente richiamate: la legge sulla protezione dei whistleblowers, la legge sugli obblighi di due diligence nelle catene di fornitura e, a livello più generale, le leggi sulle società per azioni e sulle società a responsabilità limitata). Il sistema assume quindi una fisionomia frastagliata poiché ciascun settore ha le proprie peculiarità applicative. Ciò nonostante sussistono punti fermi e principi generali che informano la materia, garantendone comunque una certa uniformità.
L’avvio e l’estensione delle indagini sono oggetto di una preliminare valutazione, in base alla natura delle informazioni disponibili, alla gravità dei fatti ipotizzati e agli obblighi applicabili al caso concreto, e, seppur in un’ampia varietà di contesti, rispondono ad una generale aspettativa di effettività e di trasparenza nella comunicazione dei dati e delle informazioni relativi a sospetti illeciti aziendali.
3. Presupposti per l’avvio di un’indagine
Le indagini interne sono avviate quando ricorrano indizi specifici e oggettivi di condotte illecite rilevanti. Benché nelle diverse discipline specialistiche il criterio di valutazione di questi indizi venga diversamente descritto (le espressioni mutuate dalla disciplina di settore appaiono in effetti piuttosto variegate: “non manifesta infondatezza”, “comprovata conoscenza”, “ragionevoli motivi di sospetto” o “fatti a supporto di sospetto”), gli elementi che giustificano l’inizio della fase investigativa devono generalmente rivestire i caratteri di sufficiente concretezza e di credibilità.
Le fonti degli elementi indiziari sono diverse: può trattarsi delle segnalazioni di soggetti informati, attraverso canali di comunicazione interni; dell’iniziativa delle autorità di vigilanza e degli organi investigativi stessi a seguito della ricezione d’informazioni o durante l’esecuzione di provvedimenti ispettivi; infine, anche delle dichiarazioni auto-incriminanti dei dipendenti coinvolti in condotte illecite.
Svolto un preliminare vaglio sulla credibilità delle informazioni pervenute, seguono la registrazione immediata della segnalazione e la conservazione dei dati e delle prove rilevanti, anche al fine di segnalazioni esterne. Gli sviluppi successivi possibili sono tre: l’archiviazione del caso, l’avvio di un monitoraggio più mirato oppure l’inizio di una vera e propria indagine formale con obiettivi e metodi definiti. I criteri decisionali per la determinazione dell’iter più adeguato al fatto sottoposto a verifica si basano su una valutazione di gravità, di probabilità e della potenziale dannosità del fatto.
Se al termine della verifica preliminare si ottiene conferma della sussistenza di un sospetto sufficientemente fondato, il referente designato dal management viene informato affinché adotti le misure più adeguate. Le questioni di particolare rilevanza (ad esempio condotte illecite capaci di produrre conseguenze economiche significative, carenze sistemiche nei meccanismi di controllo o fatti che vedono il coinvolgimento dei vertici aziendali) richiedono peraltro una tempestiva comunicazione al consiglio di sorveglianza.
L’attività investigativa termina con un rapporto conclusivo nel quale vengono documentati fatti, criteri normativi e valutativi applicati al caso, le conclusioni in ordine alle potenziali responsabilità e l’indicazione delle misure correttive adottate (fra cui provvedimenti disciplinari, revisione dei sistemi di controllo interno, potenziamento delle attività formative, avvio di procedimenti finalizzati alla restituzione delle somme indebitamente corrisposte o al risarcimento dei danni).
I rapporti sulle indagini, sui loro esiti e sulle misure adottate giungono al comitato di controllo interno al consiglio di sorveglianza, responsabile del monitoraggio sulla compliance e dei controlli di gestione.
4. La proporzionalità: i limiti ai poteri investigativi
Il tema delle indagini interne si pone al centro di una delicata dialettica tra tutela della riservatezza dei dati dei dipendenti coinvolti nelle attività investigative ed esigenze di accertamento per la prevenzione e repressione degli illeciti aziendali. Più in particolare, in Germania tale dialettica deve tenere conto di alcune peculiarità, tra le quali, il rigore dei vincoli in materia di protezione dati, con limiti all’esercizio di alcune attività investigative e al trasferimento transfrontaliero di informazioni. Per contro, il sistema tedesco offre una tutela più limitata del segreto professionale legale, rispetto ai sistemi di common law, con la conseguenza che i documenti investigativi sono più esposti al rischio di sequestro.
In linea generale, le attività di screening e di ricerca devono perseguire finalità specifiche ed essere proporzionate, dovendosi fondare su una valida base giuridica nel rispetto della normativa sulla protezione dei dati personali e di eventuali ulteriori vincoli (relativi, ad esempio, all’uso privato dei sistemi aziendali consentito ai dipendenti, alla segretezza delle telecomunicazioni o alle regole di accesso ai dispositivi).
Le imprese dovrebbero procedere in modo trasparente garantendo informative chiare ai dipendenti interessati dalle indagini interne, con indicazione dell’oggetto delle indagini, delle motivazioni per cui debba essere eventualmente richiesta una misura, dei mezzi adottati per la tutela della riservatezza e ai fini di limitare il trattamento dei dati personali.
In particolare, quando si tratti di accertamenti di fatti penalmente rilevanti, i dati personali dei lavoratori possono essere trattati solo se sussistono elementi di fatto documentabili che fondino il sospetto che l’interessato abbia commesso un reato nell’ambito del rapporto di lavoro, se il trattamento è necessario per l’accertamento e non vi è prevalenza di contro-interessi meritevoli di tutela. La natura e l’entità del trattamento non devono poi essere sproporzionate rispetto alle circostanze che lo richiedono (così statuisce il § 26, par. 1, Satz 2 BDSG – Bundesdatenschutzgesetz).
L’analisi dei dati relativi ai dipendenti e le ispezioni sul luogo di lavoro devono essere circoscritte ad esigenze investigative chiaramente definite e rispettare i principi di necessità (extrema ratio), minimizzazione dei dati e specificazione delle finalità per le quali l’uso di tali dati può essere autorizzato. In particolare, l’accesso ai dati raccolti nei dispositivi dei dipendenti (o dei soggetti potenzialmente coinvolti negli illeciti) è consentito solo in via sussidiaria, quando le altre fonti (ad es. archivi aziendali, unità condivise, sistemi di gestione documentale, piattaforme collaborative e registri di audit) non permettano di soddisfare adeguatamente le domande investigative. Restrizioni dello stesso tenore sussistono anche per le ispezioni fisiche, secondo gli accordi aziendali.
Non sono consentite forme di monitoraggio indefinito, continuativo o occulto (quest’ultimo ammesso solo in via eccezionale) in assenza di specifiche finalità investigative o di elementi fattuali concreti. Secondo la prassi tedesca, infatti, le misure di sorveglianza devono essere limitate quanto ad ambito di applicazione, finalizzate al controllo di situazioni concrete di sospetto e circoscritte nel tempo.
Violazioni della normativa sulla protezione dei dati o della riservatezza potrebbero comportare l’esclusione delle prove e la loro inutilizzabilità: aspetto che le imprese dovrebbero anticipatamente considerare come un concreto rischio legato al trattamento dati durante le attività di accertamento.
Le attività di screening investigativo dovrebbero quindi seguire un piano scritto con indicazione di: finalità, ambito, base giuridica, ruoli e tempistiche delle indagini, così da registrare le principali valutazioni circa la loro necessità e la loro adeguatezza in termini di proporzione. Quanto poi alla custodia dei dati, l’ente dovrebbe fornire informative chiare sulle policies aziendali relativamente agli accessi e ai tempi di conservazione.
5. Il punto di equilibrio tra diritto di accesso ai dati personali e riservatezza delle indagini
Quando un caso sottoposto ad indagine comporta il trattamento dei dati personali di soggetti coinvolti nei fatti oggetto di accertamento si pone il problema di definire i limiti entro i quali tali soggetti possano esercitare un diritto di accesso alla documentazione investigativa al fine di tutelare i propri dati.
Il quesito riguarda il grado di estensione del diritto di accesso ai dati personali del singolo dipendente (art. 15 GDPR) e, più precisamente, se questo possa implicare anche la piena disclosure della documentazione investigativa aziendale.
Con una recente pronuncia il Tribunale federale del lavoro tedesco (Bundesarbeitsgericht – BAG, 16 April 2026, 8 AZR 169/25) ha individuato un punto di equilibrio tra segretezza delle indagini e riservatezza dei dati personali, stabilendo che il diritto di accesso riguarda in linea generale i dati personali contenuti nel rapporto di compliance, ma non comporta il diritto di ottenerne copia integrale: l’accesso del singolo riguarda, cioè, i dati personali contenuti nella documentazione, ma non la documentazione in sé.
A livello pratico la pronuncia prevede interessanti ricadute: al fine di mantenere la riservatezza su altri aspetti delle indagini, conviene che nella redazione dei rapporti di compliance risulti ben chiara la distinzione tra fatti accertati, dati personali e valutazioni giuridiche. Una simile struttura facilita infatti la gestione delle successive richieste di accesso presentate dai dipendenti.
6. Conclusioni
La prospettata riforma delle disposizioni relative alla responsabilità d’impresa è in grado di incidere sulle modalità di svolgimento delle indagini interne e sull’implementazione di assetti di compliance aziendale più strutturati. In tale contesto, la definizione legislativa di criteri per la commisurazione della sanzione pecuniaria può contribuire a orientare le scelte organizzative delle imprese verso il rafforzamento dei presidi preventivi e l’impiego di risorse adeguate nello svolgimento di indagini interne rigorose e professionalmente qualificate.
Si delinea, pertanto, un modello nel quale l’effettività dei sistemi di compliance e la capacità dell’ente di individuare e ricostruire tempestivamente le condotte illecite assumono un rilievo crescente anche nella prospettiva della determinazione della risposta sanzionatoria.