In recent days, an incident has returned to the forefront of public attention which, beyond the news story itself, highlights a much broader issue: the tendency to play amateur detective in cases of alleged internal misconduct.
The specific case concerns a municipal employee accused of being a “badge cheater”, caught leaving her workplace during office hours to have lunch with some colleagues, only to return later and clock in as if she had been present the whole day. A clear conduct, easy to document, and which indeed led to her dismissal.
Fin qui nulla di sorprendente. Il vero colpo di scena arriva dopo: il Garante Privacy ha sanzionato il Comune con 15.000 euro per trattamento illecito di dati personali. In altre parole, nonostante il comportamento della dipendente fosse reale e dimostrabile, il metodo utilizzato per raccogliere le prove è risultato irregolare.
Per capire cosa non ha funzionato, occorre soffermarsi su un dettaglio che, a prima vista, può sembrare marginale: le prove utilizzate dall’ente. Nel caso specifico, il Comune si è basato su due elementi principali. Il primo sono state le immagini registrate dalle videocamere interne. Il secondo, ancora più problematico, un video girato da un collega con il suo smartphone e inoltrato via WhatsApp direttamente al sindaco. Questi due elementi, presi così, sono il classico esempio di come l’urgenza di “dimostrare un illecito” rischi di far scivolare un’organizzazione in un terreno pericoloso dal punto di vista normativo.
Surveillance cameras, in fact, cannot be freely used to monitor employees or for disciplinary purposes, unless clear notices, defined procedures, solid legal grounds, and transparent management of the recorded data are in place. Cameras are not an investigative tool available to the organization, but a system governed by strict regulations, whose limits cannot be bypassed—not even in the presence of improper conduct by personnel. If even one of these conditions is missing, the use of footage becomes unlawful, and the entire disciplinary process risks collapsing.
Ancora più grave è l’uso del video realizzato dal collega. L’intenzione sarà stata probabilmente quella di “fare la cosa giusta”, ma dal punto di vista giuridico quel filmato è una bomba a orologeria: è un dato personale raccolto da un soggetto privo di qualsiasi autorizzazione, al di fuori di qualunque procedura, tramite un mezzo (lo smartphone personale) che non garantisce né integrità né tracciabilità del contenuto. Il semplice fatto che sia stato inviato via WhatsApp peggiora ulteriormente il quadro, perché un materiale del genere non può essere considerato né legittimo né affidabile in un procedimento disciplinare. È esattamente il tipo di elemento che, in sede di ricorso, un giudice o il Garante Privacy potrebbe ritenere illecito, con tutte le conseguenze del caso.
This incident, which affected a Municipality but could apply to any company or public entity, clearly shows how dangerous it is to improvise internal investigations without specific expertise. The issue is not simply “finding out whether an employee is doing something wrong,” but doing so in compliance with the law, privacy regulations, proportionality, and established procedures.
In an increasingly regulated environment, the “do-it-yourself” approach is not only ineffective, it can quickly turn into a legal, financial, and reputational boomerang.
Negli ultimi anni non sono mancati casi simili. Il Garante ha più volte sanzionato organizzazioni che hanno usato immagini di sorveglianza in modo scorretto, o che hanno raccolto prove tramite modalità improvvisate: telecamere installate senza informativa, registrazioni fatte dai colleghi, screenshot rubati da chat interne, sistemi di controllo presenze attivati senza autorizzazioni. In tutti questi episodi, l’errore più grande non è stato ignorare l’illecito, ma non essersi rivolti a un professionista.
A real investigative agency is authorized to gather lawful evidence that can be used in court.
In this sense, it can do what an employer or colleague is not permitted to do.
An investigative agency knows how to collect admissible evidence, understands the procedures required by law, operates in compliance with the GDPR and the Workers’ Statute, and produces a dossier that cannot be challenged in disciplinary or judicial proceedings. The difference is substantial: one thing is uncovering wrongdoing, another is proving it in a valid, secure, and compliant manner.
Il valore dell’agenzia investigativa non sta solo nel “trovare la verità”, ma nel garantire che quella verità possa essere utilizzata senza rischiare sanzioni, ricorsi, annullamenti o danni all’immagine dell’ente. È una tutela tanto legale quanto operativa, e spesso rappresenta la linea di confine tra un licenziamento legittimo e una causa che dura anni.
The case of the fined Municipality highlights a truth that should be clear to every public administrator and every company: it is not enough to be right, you must be able to prove it in the correct way. And to do so requires method, experience, and the professionalism of those who perform this work daily, in full compliance with the rules.
If there is one takeaway, it is this: investigating on your own may seem like the fastest shortcut, but it is often the one that leads farthest from the goal. In a world where every piece of data, image, or information is regulated, relying on professionals is not an option: it is now a necessity.
English 
Italian