Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può aver predisposto informative, autorizzazioni al trattamento e procedure GDPR senza aver adeguatamente istruito i dipendenti che utilizzano ogni giorno i dati personali di clienti, colleghi e fornitori. Questa carenza può emergere durante un audit privacy, dopo un errore del personale o in occasione di una verifica del Garante per la protezione dei dati personali. Il problema non riguarda soltanto l’organizzazione dei corsi: l’impresa deve poter dimostrare che il personale ha ricevuto istruzioni adeguate ai trattamenti svolti e che le misure organizzative previste vengono effettivamente applicate. Occorre quindi comprendere quando la formazione privacy dei dipendenti è necessaria, come organizzarla, quali documenti conservare e come intervenire quando l’attività formativa risulta insufficiente o non documentata.

Quando serve la formazione privacy dei dipendenti e quali obblighi ha l’azienda

La formazione privacy dei dipendenti deve essere valutata in relazione alle attività concretamente svolte dal personale e ai rischi connessi al trattamento dei dati personali. Il Regolamento (UE) 2016/679 non stabilisce un corso identico per tutte le imprese, una durata minima generalizzata o una periodicità obbligatoria valida indistintamente per ogni lavoratore. Prevede invece obblighi di responsabilizzazione, sicurezza e controllo che richiedono al titolare del trattamento di adottare misure tecniche e organizzative adeguate. L’assenza di un obbligo generalizzato di frequentare un determinato corso non significa che l’azienda possa trascurare la preparazione delle persone autorizzate a trattare dati personali.

L’articolo 29 GDPR stabilisce che chiunque agisca sotto l’autorità del titolare o del responsabile del trattamento e abbia accesso a dati personali non possa trattarli se non è istruito in tal senso, salvo che lo richieda il diritto dell’Unione o degli Stati membri. L’articolo 32, paragrafo 4, impone inoltre al titolare e al responsabile di adottare misure affinché le persone autorizzate all’accesso trattino i dati soltanto su istruzione, fatte salve le eccezioni previste dalla legge. Queste disposizioni, lette insieme agli articoli 5, paragrafo 2, e 24 GDPR, rendono necessario organizzare e poter dimostrare un sistema di istruzioni e misure organizzative adeguato ai trattamenti effettuati.

La formazione costituisce uno degli strumenti attraverso i quali rendere effettive tali istruzioni. Un addetto alla reception che acquisisce documenti d’identità, un impiegato amministrativo che gestisce coordinate bancarie e un responsabile HR che tratta informazioni sanitarie dei lavoratori affrontano rischi differenti. Un corso generico, uguale per tutti e privo di indicazioni sulle procedure aziendali, potrebbe non essere sufficiente a prepararli alle rispettive mansioni. Il contenuto formativo deve essere proporzionato alla natura dei dati, alle operazioni consentite, agli strumenti utilizzati e alle conseguenze prevedibili di un trattamento scorretto.

Per i nuovi assunti, l’istruzione deve precedere lo svolgimento autonomo delle operazioni sui dati personali. Non basta consegnare un’informativa sulla privacy del lavoratore: quel documento spiega come l’azienda tratta i suoi dati, mentre le istruzioni operative riguardano il modo in cui il lavoratore deve trattare quelli altrui. Analogamente, la sottoscrizione di un atto di autorizzazione non dimostra necessariamente che il dipendente abbia compreso le procedure da applicare. La distinzione è particolarmente rilevante nelle imprese che gestiscono numerosi accessi informatici o dati appartenenti a categorie particolari.

La formazione deve essere rivalutata quando cambiano le mansioni, vengono introdotti nuovi software, si modificano le procedure interne oppure emergono incidenti che rivelano comportamenti non corretti. Per esempio, l’introduzione di strumenti di intelligenza artificiale utilizzati dal personale per elaborare documenti aziendali può richiedere istruzioni specifiche sui dati che possono essere inseriti nei sistemi e sulle condizioni di utilizzo. Lo stesso vale per il lavoro da remoto, la condivisione di file tramite cloud e l’accesso ai gestionali da dispositivi aziendali o personali.

Un’attenzione particolare è necessaria per il personale che tratta dati sanitari, informazioni relative a procedimenti giudiziari, dati dei minori o grandi quantità di informazioni riferite a clienti e dipendenti. In queste situazioni la formazione dovrebbe affrontare gli errori operativi più probabili, le limitazioni degli accessi, gli obblighi di riservatezza e le procedure da seguire in caso di anomalie. Le indicazioni devono essere comprensibili e verificabili, evitando che la formazione si riduca alla semplice consegna di documenti standardizzati.

Il DPO, quando nominato, svolge anche funzioni di sorveglianza sulla formazione e sulla sensibilizzazione del personale coinvolto nei trattamenti, secondo l’articolo 39 GDPR. Ciò non trasferisce al responsabile della protezione dei dati gli obblighi organizzativi propri del titolare. Il DPO può individuare criticità, formulare raccomandazioni e verificare l’adeguatezza del programma formativo, mentre l’impresa deve assicurare risorse, partecipazione e applicazione delle istruzioni. Per approfondire la distribuzione delle responsabilità, si rinvia al nostro articolo sul piano annuale del DPO, verifiche, formazione e report alla direzione.

Come organizzare e documentare la formazione GDPR per dimostrare l’adempimento

Il problema più frequente nelle verifiche interne non è necessariamente l’assenza di corsi, ma la difficoltà di ricostruire chi abbia ricevuto determinate istruzioni, quando siano state impartite e a quali attività aziendali si riferissero. Un attestato generico può dimostrare la partecipazione a un evento formativo, ma non documenta da solo l’adeguatezza dei contenuti rispetto alle mansioni effettivamente svolte. Per dimostrare la formazione GDPR dei dipendenti occorre conservare evidenze coerenti, aggiornate e riconducibili alle persone interessate.

Il primo passaggio consiste nell’individuare i destinatari della formazione partendo dalle funzioni aziendali e dalle operazioni di trattamento. La direzione, insieme ai responsabili delle diverse aree e con il supporto del DPO o del consulente privacy, può verificare quali dipendenti accedano ai dati personali, quali strumenti utilizzino e quali procedure debbano conoscere. Questo lavoro permette di definire un piano formativo che distingua i contenuti comuni, come riservatezza e sicurezza delle credenziali, dalle istruzioni specifiche per HR, amministrazione, commerciale, IT e altri reparti.

Il programma dovrebbe indicare gli obiettivi, gli argomenti trattati, i destinatari, le modalità di erogazione e i criteri di aggiornamento. È opportuno che i contenuti comprendano le situazioni operative nelle quali possono verificarsi violazioni: invio di documenti al destinatario sbagliato, utilizzo improprio delle credenziali, consultazione di dati non necessari, condivisione non autorizzata di informazioni e mancata segnalazione di incidenti. Per il personale che gestisce dati particolarmente delicati possono essere necessarie istruzioni ulteriori, adattate ai processi effettivi dell’impresa.

La documentazione può comprendere il piano formativo approvato, il programma delle lezioni, il materiale utilizzato, l’identificazione del docente, il registro delle presenze, gli attestati eventualmente rilasciati e gli esiti delle verifiche di apprendimento. Per la formazione online possono essere utili i registri di accesso alla piattaforma e le evidenze del completamento dei moduli. Non esiste però un modello unico di registro o attestato imposto in via generale dal GDPR: la scelta degli strumenti documentali deve essere proporzionata all’organizzazione e idonea a dimostrare le attività realmente svolte.

Particolare attenzione va riservata alla verifica dell’apprendimento. La semplice presenza a una lezione non assicura che il lavoratore sappia applicare le procedure. Questionari, esercitazioni su situazioni concrete e controlli periodici possono aiutare a individuare errori ricorrenti e necessità di aggiornamento. Anche i rilievi emersi durante un audit, le richieste di chiarimento provenienti dai reparti o gli incidenti segnalati al referente privacy possono fornire indicazioni sull’efficacia delle istruzioni impartite.

La documentazione formativa deve essere gestita secondo criteri di accessibilità, integrità e conservazione proporzionata. Gli attestati e i registri contengono a loro volta dati personali dei lavoratori: l’impresa deve individuare chi possa consultarli, per quali finalità siano conservati e per quanto tempo risultino necessari. Non è corretto presumere che il GDPR imponga una durata di conservazione identica per ogni documento formativo. La scelta deve considerare le finalità di prova, le esigenze organizzative e gli eventuali obblighi applicabili al caso concreto.

Quando un’azienda non dispone di registri, attestati o altri elementi che dimostrino la formazione svolta, occorre distinguere tra attività effettivamente realizzate ma documentate in modo incompleto e formazione mai effettuata. Nel primo caso possono essere recuperate evidenze preesistenti attendibili, senza creare documenti retrodatati o attestazioni di attività non verificabili. Nel secondo è necessario valutare le carenze, impartire tempestivamente le istruzioni mancanti e predisporre un programma formativo adeguato. La regolarizzazione successiva non cancella automaticamente eventuali violazioni precedenti.

La verifica della formazione dovrebbe rientrare nei controlli periodici del sistema privacy aziendale, insieme all’analisi delle autorizzazioni, delle procedure e delle misure di sicurezza. Il nostro approfondimento sull’audit privacy aziendale esamina come organizzare tali verifiche. Il collegamento tra documentazione e attività effettivamente svolte assume particolare rilievo quando l’impresa deve rispondere a richieste del Garante, a contestazioni di clienti o a incidenti riconducibili al comportamento del personale.

Mancata formazione privacy dei dipendenti: responsabilità, controlli del Garante e interventi correttivi

La mancanza di un programma formativo adeguato può assumere rilievo quando l’azienda deve dimostrare di aver adottato misure organizzative proporzionate ai rischi dei trattamenti. Il problema diventa particolarmente delicato quando un dipendente commette un errore che provoca la divulgazione di dati personali, un accesso non autorizzato o un’altra violazione della sicurezza. In queste circostanze occorre verificare se il lavoratore avesse ricevuto istruzioni comprensibili, se conoscesse le procedure aziendali e se l’impresa avesse predisposto controlli ragionevolmente idonei a prevenire il comportamento che ha determinato l’incidente.

La mancata formazione GDPR non comporta automaticamente una sanzione autonoma per il semplice fatto che l’azienda non abbia organizzato un determinato corso. Può però concorrere a dimostrare l’inadeguatezza delle misure organizzative richieste dagli articoli 24 e 32 del Regolamento (UE) 2016/679, oppure l’inosservanza delle disposizioni relative alle istruzioni impartite alle persone che operano sotto l’autorità del titolare o del responsabile del trattamento. La valutazione dipende dalle caratteristiche dei trattamenti, dai rischi concretamente prevedibili, dalle misure adottate e dalle circostanze della violazione. Le conseguenze sanzionatorie devono essere ricondotte alle specifiche disposizioni violate, senza presumere che ogni carenza formativa determini necessariamente una responsabilità amministrativa.

Durante un’ispezione del Garante per la protezione dei dati personali, la documentazione relativa alla formazione può essere esaminata nell’ambito della verifica delle misure di sicurezza e dell’organizzazione aziendale. L’Autorità può richiedere informazioni sulle istruzioni impartite al personale, sulle procedure applicabili ai trattamenti e sulle attività svolte per prevenire comportamenti non conformi. In tale contesto, la disponibilità di registri, programmi formativi, materiali didattici e attestazioni attendibili consente all’impresa di ricostruire le misure effettivamente adottate. La documentazione, però, deve trovare riscontro nell’organizzazione concreta: attestati formalmente regolari non compensano procedure sconosciute ai dipendenti o sistematicamente disattese.

Un esempio ricorrente riguarda l’invio di informazioni riservate a destinatari non autorizzati. Se un dipendente trasmette per errore un documento contenente dati personali, l’azienda deve valutare l’evento secondo le procedure previste per le violazioni dei dati personali, verificando anche l’eventuale necessità di notifica al Garante ai sensi dell’articolo 33 GDPR e, nei casi previsti, di comunicazione agli interessati. L’accertamento delle cause deve comprendere le modalità di lavoro, le autorizzazioni informatiche, le istruzioni ricevute e gli eventuali controlli disponibili. La formazione può risultare insufficiente, ma l’incidente potrebbe dipendere anche da una procedura mal progettata o dall’assenza di misure tecniche adeguate. Per le attività immediate da svolgere in una situazione di questo tipo abbiamo predisposto un approfondimento sull’email inviata al destinatario sbagliato.

Quando emergono carenze nella formazione, l’intervento correttivo deve partire da una ricognizione documentale e operativa. Occorre verificare quali lavoratori siano stati istruiti, quali mansioni svolgano, quali procedure conoscano e quali evidenze siano disponibili. L’azienda può quindi individuare le priorità formative, aggiornare le istruzioni, programmare sessioni mirate e introdurre verifiche sull’effettiva comprensione delle regole. Se la criticità riguarda soltanto una parte del personale, non è necessariamente utile ripetere indiscriminatamente lo stesso corso a tutti i dipendenti; può essere più appropriato intervenire sui reparti o sulle attività maggiormente esposti.

La regolarizzazione deve essere documentata con riferimento alle date effettive degli interventi. Non è ammissibile predisporre attestati retrodatati per simulare una formazione mai effettuata. Quando esistono attività precedenti realmente svolte, è possibile ricostruirle attraverso evidenze attendibili, distinguendo chiaramente ciò che risulta documentato da ciò che non può essere verificato. Un piano correttivo credibile deve dimostrare quali carenze sono state individuate, quali istruzioni sono state impartite e come l’azienda intende controllarne l’applicazione.

La responsabilità organizzativa rimane in capo al titolare del trattamento, anche quando la formazione viene affidata a un consulente esterno o coordinata dal DPO. Quest’ultimo, nell’ambito delle funzioni attribuitegli dall’articolo 39 GDPR, può contribuire alla verifica del programma e formulare raccomandazioni, ma non sostituisce la direzione nelle decisioni sulle risorse e sulle misure da attuare. Il rapporto tra comportamento del lavoratore e responsabilità dell’impresa richiede una valutazione specifica, soprattutto quando l’incidente ha già determinato una contestazione. Sul punto è utile il nostro approfondimento dedicato all’errore privacy commesso da un dipendente e alle relative responsabilità.

Un esempio pratico: azienda con formazione GDPR non aggiornata e attestati incompleti

Consideriamo il caso ipotetico di una società di servizi con diversi reparti amministrativi e commerciali, nella quale la formazione privacy era stata organizzata alcuni anni prima attraverso un unico corso rivolto a tutti i dipendenti. Nel frattempo l’azienda aveva introdotto un nuovo gestionale, ampliato l’utilizzo dei servizi cloud e assunto personale che accedeva quotidianamente ai dati di clienti e fornitori. Durante una verifica interna emergevano registri delle presenze incompleti, materiali formativi non aggiornati e l’assenza di evidenze relative alle istruzioni impartite ai nuovi assunti.

In una situazione simile, il nostro intervento professionale dovrebbe partire dall’esame della documentazione disponibile e dal confronto con i responsabili delle funzioni aziendali, per ricostruire le attività effettivamente svolte e individuare i trattamenti che richiedono istruzioni specifiche. La difficoltà principale consiste nel distinguere la formazione realmente effettuata ma non adeguatamente documentata da quella mai erogata, evitando attestazioni prive di riscontro. Sulla base delle criticità accertate, l’azienda può predisporre un programma di aggiornamento per mansioni, integrare le procedure operative e organizzare un sistema di registrazione delle attività formative e di verifica dell’apprendimento. Il risultato da perseguire è una documentazione corrispondente alla preparazione effettiva del personale, suscettibile di aggiornamento quando cambiano i trattamenti o l’organizzazione aziendale.

Domande frequenti sulla formazione privacy dei dipendenti

La formazione privacy dei dipendenti è obbligatoria anche per le piccole imprese?

Gli obblighi di impartire istruzioni adeguate alle persone autorizzate al trattamento e di adottare misure organizzative proporzionate ai rischi si applicano anche alle piccole imprese. Il GDPR non impone indistintamente uno specifico corso con durata e periodicità prestabilite. L’azienda deve valutare quali attività formative siano necessarie in relazione ai dati trattati, alle mansioni e ai rischi. Anche una PMI con pochi dipendenti può aver bisogno di formazione specifica quando gestisce informazioni riservate o particolari categorie di dati personali.

Ogni quanto bisogna aggiornare la formazione GDPR dei dipendenti?

Non esiste una scadenza annuale o biennale generalmente imposta dal GDPR per tutti i corsi privacy. La periodicità deve essere definita considerando i rischi dei trattamenti, l’evoluzione delle procedure e le competenze del personale. Un aggiornamento può diventare necessario quando cambiano le mansioni, vengono introdotti nuovi strumenti informatici oppure emergono errori che dimostrano una conoscenza insufficiente delle regole. È opportuno che l’azienda documenti i criteri adottati per programmare gli aggiornamenti.

Un attestato di partecipazione è sufficiente per dimostrare la formazione privacy?

L’attestato costituisce un elemento documentale utile, ma non dimostra necessariamente che la formazione fosse adeguata alle attività del dipendente. Durante una verifica possono assumere rilievo anche il programma svolto, i materiali utilizzati, le presenze, le eventuali prove di apprendimento e le istruzioni operative effettivamente impartite. La documentazione deve permettere di ricostruire il percorso formativo e la sua coerenza con i trattamenti affidati al personale.

Cosa deve fare un’azienda che non ha mai documentato la formazione GDPR?

Occorre verificare se siano state effettivamente svolte attività formative e quali evidenze attendibili siano ancora disponibili. Se la formazione risulta assente o insufficiente, è necessario individuare i dipendenti interessati, impartire le istruzioni mancanti e organizzare un programma proporzionato ai rischi. Non devono essere predisposti attestati retrodatati o dichiarazioni relative ad attività mai effettuate. Quando sono già emerse violazioni o contestazioni, è opportuno valutare anche le conseguenze delle carenze precedenti.

Chi deve organizzare la formazione privacy: datore di lavoro, DPO o consulente esterno?

La responsabilità di assicurare misure organizzative adeguate compete al titolare del trattamento. Il DPO, quando nominato, svolge funzioni di sorveglianza anche sulle attività di sensibilizzazione e formazione del personale, mentre un consulente esterno può essere incaricato di progettare ed erogare i corsi. La scelta dipende dalla struttura aziendale e dalle competenze disponibili. L’affidamento dell’attività a un professionista non trasferisce automaticamente le responsabilità del titolare.

Formazione privacy dei dipendenti: richiedere una valutazione della conformità aziendale

Se la vostra azienda non ha mai organizzato una formazione GDPR strutturata, dispone di attestati incompleti oppure deve aggiornare le istruzioni impartite ai dipendenti, è opportuno verificare la situazione prima che le carenze emergano durante un’ispezione o a seguito di una violazione dei dati personali. La valutazione deve riguardare le mansioni effettive, i rischi dei trattamenti, la documentazione disponibile e l’adeguatezza delle procedure interne.

Lo Studio Legale Calvello assiste le imprese nella verifica degli adempimenti privacy, nell’individuazione delle carenze organizzative e nella definizione degli interventi necessari per documentare correttamente la formazione del personale. Per sottoporre la situazione della vostra azienda al nostro esame, potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.