Articolo a cura di: Redazione - Studio Legale Calvello

Un dipendente che consulta dati personali dei clienti, un addetto amministrativo che accede alle informazioni retributive dei colleghi o un tecnico informatico che dispone di privilegi sui sistemi aziendali devono operare entro limiti definiti e secondo istruzioni adeguate. Quando questi limiti non sono chiari, le autorizzazioni non sono aggiornate o i permessi informatici consentono accessi superiori alle effettive necessità lavorative, l’impresa può trovarsi esposta a violazioni della riservatezza, contestazioni e responsabilità. La gestione degli autorizzati al trattamento dei dati personali richiede quindi di individuare chi può trattare determinate informazioni, stabilire le istruzioni applicabili e verificare che vengano rispettate. Una valutazione professionale diventa particolarmente opportuna quando emergono carenze documentali, accessi ingiustificati o disallineamenti tra mansioni e autorizzazioni.

Quali dipendenti devono essere autorizzati al trattamento dei dati personali e quali rischi corre l’azienda

Il problema delle autorizzazioni al trattamento dei dati personali riguarda praticamente ogni organizzazione nella quale lavoratori e collaboratori accedono, per ragioni professionali, a informazioni riferibili a persone fisiche. Non interessa soltanto chi gestisce dati sanitari o particolarmente riservati. Anche l’ufficio commerciale che consulta il database clienti, l’amministrazione che utilizza informazioni bancarie, il personale addetto alla gestione dei fornitori e i responsabili delle risorse umane effettuano operazioni soggette alla disciplina del GDPR.

L’articolo 29 del Regolamento (UE) 2016/679 stabilisce che chiunque agisca sotto l’autorità del titolare o del responsabile del trattamento e abbia accesso a dati personali non può trattarli se non è istruito in tal senso, salvo che lo richieda il diritto dell’Unione o degli Stati membri. L’articolo 32, paragrafo 4, impone inoltre al titolare e al responsabile di adottare misure affinché le persone fisiche che operano sotto la loro autorità e hanno accesso ai dati li trattino soltanto su istruzione, salvo specifiche disposizioni normative.

Nel diritto italiano assume rilievo anche l’articolo 2-quaterdecies del D.Lgs. 196/2003, che consente al titolare o al responsabile di attribuire specifici compiti e funzioni connessi al trattamento a persone fisiche espressamente designate, operanti sotto la propria autorità, individuando le modalità più opportune per autorizzarle. La disciplina richiede quindi una gestione effettiva delle autorizzazioni, senza imporre indistintamente un unico modello di lettera individuale per qualsiasi organizzazione.

La questione assume particolare importanza quando l’azienda utilizza ancora le vecchie lettere di nomina degli incaricati privacy, predisposte prima dell’applicazione del GDPR, oppure distribuisce a tutti i dipendenti un documento identico, senza distinguere mansioni, categorie di dati e operazioni consentite. Una nomina privacy generica non è necessariamente irregolare per il solo fatto di utilizzare un modello comune, ma può risultare inadeguata quando non permette di ricostruire quali trattamenti siano effettivamente autorizzati e quali istruzioni debbano essere osservate.

Consideriamo un’impresa nella quale tutti i dipendenti dispongano delle credenziali per accedere al gestionale contenente dati anagrafici, informazioni contrattuali e documentazione relativa al personale. Se l’accesso non è giustificato dalle rispettive funzioni, il problema non viene risolto dalla semplice sottoscrizione di una lettera di autorizzazione. Occorre verificare anche i privilegi assegnati nel sistema informatico, le modalità di autenticazione, la separazione delle funzioni e l’effettiva necessità di consultare quelle informazioni.

Il principio di minimizzazione dei dati previsto dall’articolo 5 del GDPR e le misure di protezione dei dati fin dalla progettazione e per impostazione predefinita disciplinate dall’articolo 25 richiedono che l’organizzazione tenga conto delle concrete esigenze del trattamento. In questa prospettiva, autorizzazioni e permessi di accesso devono essere coerenti con le attività lavorative, evitando che una persona possa consultare o modificare informazioni estranee ai propri compiti.

La mancanza di autorizzazioni adeguate può assumere rilievo anche durante un controllo del Garante per la protezione dei dati personali. Non esiste una sanzione automatica per ogni lettera mancante o non firmata: occorre accertare quali obblighi siano stati violati, quali misure organizzative fossero necessarie e come l’impresa abbia concretamente governato gli accessi. L’assenza di istruzioni, la possibilità di trattare dati senza adeguati limiti o la mancata verifica dei privilegi possono però concorrere a dimostrare l’insufficienza delle misure adottate.

Per questo motivo, nell’ambito della gestione delle nomine privacy aziendali, distinguiamo la semplice presenza di documenti dalla loro effettiva capacità di disciplinare il trattamento. La prima verifica consiste nell’individuare le persone che operano sotto l’autorità del titolare o del responsabile, le informazioni alle quali possono accedere e le attività che devono essere autorizzate.

Come predisporre le autorizzazioni GDPR e impartire istruzioni operative ai dipendenti

La predisposizione delle lettere di autorizzazione al trattamento dei dati personali deve partire dall’organizzazione effettiva dell’impresa. Prima di redigere o aggiornare i documenti, occorre conoscere le mansioni svolte, i sistemi utilizzati, le categorie di interessati coinvolte e le operazioni necessarie. Una società con un ufficio HR strutturato, una rete commerciale e personale tecnico con accesso remoto ai sistemi presenta esigenze diverse rispetto a una piccola impresa nella quale alcune funzioni sono concentrate nelle stesse persone.

Le autorizzazioni devono consentire di identificare il soggetto autorizzato, direttamente o attraverso criteri organizzativi sufficientemente determinati, e di ricostruire l’ambito delle attività consentite. È opportuno precisare le categorie di dati accessibili, le finalità lavorative, gli eventuali limiti alla comunicazione delle informazioni e le istruzioni da rispettare. Quando l’impresa tratta dati relativi alla salute, informazioni giudiziarie o altre categorie di dati particolarmente delicate, la definizione dei permessi richiede una valutazione ancora più attenta delle effettive necessità operative.

Non sempre è indispensabile predisporre un documento completamente diverso per ogni dipendente. È possibile organizzare le autorizzazioni attraverso lettere individuali, disposizioni riferite a specifiche funzioni, procedure aziendali e sistemi di gestione dei privilegi, purché l’insieme delle misure adottate permetta di individuare chiaramente le persone autorizzate e le istruzioni applicabili. La firma del dipendente può costituire un elemento utile per documentare la ricezione delle disposizioni, ma il GDPR non prevede una regola generale secondo cui ogni autorizzazione debba necessariamente essere sottoscritta in forma cartacea per risultare valida.

Un aspetto spesso trascurato riguarda la distinzione tra autorizzazione e istruzione. La prima definisce l’ambito entro il quale una persona può effettuare determinate operazioni; la seconda disciplina le modalità concrete con cui deve svolgerle. Autorizzare un addetto commerciale ad accedere ai dati dei clienti non significa consentirgli di esportare liberamente l’intero database, trasferire informazioni su dispositivi personali o comunicarle a soggetti esterni. Le istruzioni devono chiarire quali operazioni siano ammesse, quali richiedano ulteriori verifiche e come comportarsi quando si presenta una situazione anomala.

Le disposizioni operative possono riguardare l’utilizzo delle credenziali individuali, la gestione dei documenti cartacei, l’invio di comunicazioni contenenti dati personali, l’accesso da remoto e la conservazione delle informazioni. Devono essere proporzionate ai rischi dei trattamenti effettivamente svolti e coordinate con le misure di sicurezza adottate dall’impresa. Una procedura che vieta la condivisione delle password, ad esempio, perde gran parte della propria utilità se il gestionale viene normalmente utilizzato attraverso account comuni, senza adeguate misure di identificazione e controllo.

La corretta individuazione degli autorizzati richiede anche di distinguere i lavoratori e collaboratori che operano sotto l’autorità dell’azienda dai fornitori che trattano dati per conto del titolare in qualità di responsabili del trattamento. In quest’ultimo caso, il rapporto deve essere valutato secondo l’articolo 28 del GDPR e disciplinato, quando ne ricorrono i presupposti, attraverso un apposito contratto o altro atto giuridico. I dipendenti del responsabile esterno operano normalmente sotto l’autorità di quest’ultimo, che deve impartire loro le istruzioni pertinenti. Per approfondire tale distinzione, rinviamo all’analisi dedicata a titolare, responsabile e autorizzato al trattamento.

Particolare attenzione merita il ruolo del DPO, quando nominato. Il responsabile della protezione dei dati svolge funzioni di informazione, consulenza e sorveglianza sull’osservanza della normativa, secondo l’articolo 39 del GDPR. Non diventa automaticamente il soggetto incaricato di autorizzare ogni dipendente, né sostituisce il titolare nelle decisioni organizzative. Può però assistere l’impresa nella valutazione delle procedure, segnalare carenze e verificare, nell’ambito dei propri compiti, la coerenza delle autorizzazioni con le attività effettivamente svolte.

La consegna delle istruzioni deve essere accompagnata da modalità adeguate per renderle comprensibili e concretamente applicabili. Quando le mansioni comportano trattamenti complessi o accesso a informazioni riservate, può essere necessario affiancare alle disposizioni scritte una formazione specifica, documentando le attività svolte. Le modalità con cui organizzare e comprovare tale attività sono approfondite nell’articolo sulla formazione privacy dei dipendenti.

La documentazione deve infine poter essere aggiornata quando cambiano mansioni, responsabilità o strumenti di lavoro. Il passaggio di un dipendente dall’ufficio commerciale all’amministrazione, l’introduzione di un nuovo gestionale o l’attribuzione di funzioni di coordinamento possono modificare sensibilmente le informazioni alle quali è necessario accedere. L’autorizzazione iniziale non dovrebbe quindi essere considerata un adempimento destinato a rimanere invariato per tutta la durata del rapporto, ma parte di un sistema organizzativo nel quale le istruzioni e i privilegi seguono l’evoluzione delle attività aziendali.

Controlli sugli autorizzati al trattamento: responsabilità, accessi non consentiti e misure correttive

La corretta gestione degli autorizzati al trattamento non si esaurisce nella predisposizione delle lettere e nella consegna delle istruzioni. L’azienda deve verificare che le autorizzazioni corrispondano ai compiti effettivamente svolti e che i sistemi informatici impediscano, per quanto ragionevolmente possibile, accessi non giustificati. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR richiede al titolare di poter dimostrare il rispetto dei principi applicabili al trattamento. Ne deriva l’esigenza di organizzare controlli periodici sulle autorizzazioni e sui privilegi di accesso ai dati personali, proporzionati alla natura delle informazioni, alle dimensioni dell’impresa e ai rischi concretamente presenti.

Una delle criticità più frequenti riguarda la mancata corrispondenza tra le autorizzazioni documentali e i permessi assegnati nei software aziendali. Un dipendente può risultare autorizzato a consultare esclusivamente i dati dei clienti assegnati al proprio reparto, ma disporre tecnicamente dell’accesso all’intero archivio commerciale. Analogamente, un responsabile amministrativo può conservare privilegi acquisiti durante un precedente incarico, anche quando le nuove mansioni non ne giustificano più l’utilizzo. In queste situazioni occorre intervenire sui profili applicativi, sulle credenziali e sulle procedure di assegnazione degli accessi, senza limitarsi ad aggiornare formalmente la documentazione.

La verifica dovrebbe comprendere anche le modalità con cui vengono autorizzati i nuovi assunti, modificati i permessi in occasione dei cambiamenti di mansione e revocati gli accessi quando termina il rapporto di lavoro. La mancata disattivazione delle credenziali di un ex dipendente può consentire la consultazione di informazioni riservate anche dopo la cessazione dell’incarico. Il problema richiede una valutazione distinta delle autorizzazioni, delle misure tecniche e delle eventuali conseguenze di accessi già avvenuti. Per gli aspetti specifici relativi alla cessazione del rapporto rinviamo all’approfondimento sulla privacy e accesso ai dati da parte degli ex dipendenti.

Particolare attenzione deve essere riservata ai trattamenti che coinvolgono informazioni sanitarie, dati retributivi, documentazione disciplinare o altri dati la cui consultazione ingiustificata può incidere sensibilmente sui diritti degli interessati. In questi casi, la verifica dei privilegi può richiedere controlli più frequenti, sistemi di autenticazione adeguati, separazione delle funzioni e registrazione degli accessi, ove appropriata. La scelta delle misure deve rispettare l’articolo 32 del GDPR e tenere conto dei rischi, senza presumere che ogni organizzazione debba adottare identici strumenti tecnologici.

Anche il monitoraggio degli accessi effettuati dai dipendenti richiede attenzione giuridica. L’esigenza di proteggere i dati personali non attribuisce al datore di lavoro un potere illimitato di controllo sull’attività dei lavoratori. Le verifiche devono essere organizzate considerando la normativa sulla protezione dei dati, i principi di proporzionalità e minimizzazione e, quando applicabile, l’articolo 4 della Legge 300/1970. La possibilità di utilizzare registrazioni informatiche o altri strumenti di controllo deve essere valutata in relazione alle caratteristiche del sistema, alle finalità perseguite e agli adempimenti richiesti dalla disciplina lavoristica.

Quando emerge un accesso non autorizzato, l’impresa deve innanzitutto ricostruire i fatti. Occorre verificare quali informazioni siano state consultate, da chi, attraverso quali credenziali e per quali ragioni. È necessario distinguere l’errore operativo dalla violazione delle istruzioni ricevute, dall’utilizzo improprio di privilegi legittimamente assegnati e dall’accesso effettuato da una persona priva di autorizzazione. La ricostruzione deve essere documentata con modalità compatibili con la normativa applicabile, evitando iniziative investigative sproporzionate o acquisizioni indiscriminate di informazioni personali.

Se l’episodio comporta una violazione di sicurezza che determina, accidentalmente o in modo illecito, la distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali, occorre valutare anche la disciplina del data breach. Non ogni inosservanza di una procedura costituisce automaticamente una violazione dei dati personali, ma un accesso ingiustificato può integrare tale fattispecie. Il titolare deve quindi accertare le circostanze, documentare l’evento ai sensi dell’articolo 33, paragrafo 5, del GDPR e valutare gli eventuali obblighi di notifica al Garante e di comunicazione agli interessati secondo gli articoli 33 e 34. Le modalità di intervento sono approfondite nell’articolo dedicato al data breach in azienda e agli adempimenti delle prime 72 ore.

Le conseguenze di un trattamento effettuato in violazione delle istruzioni dipendono dalle circostanze concrete. Sul piano interno possono emergere responsabilità disciplinari del lavoratore, da valutare secondo la normativa applicabile e le regole aziendali. Sul piano della protezione dei dati, il titolare può essere chiamato a rispondere delle carenze organizzative e delle misure di sicurezza insufficienti, mentre l’eventuale responsabilità risarcitoria richiede l’accertamento dei relativi presupposti. Il GDPR prevede sanzioni amministrative per le violazioni delle disposizioni applicabili, ma la mancata firma di una lettera di autorizzazione non determina automaticamente una sanzione. Occorre verificare se siano stati rispettati gli obblighi sostanziali e se l’impresa possa dimostrare l’effettiva adozione delle misure necessarie.

In presenza di carenze, la regolarizzazione deve interessare sia la documentazione sia l’organizzazione operativa. Un audit GDPR sugli autorizzati al trattamento può comprendere l’esame delle lettere esistenti, il confronto con le mansioni, la verifica dei permessi informatici, l’aggiornamento delle istruzioni e l’individuazione delle responsabilità interne per l’assegnazione e la revoca degli accessi. È opportuno documentare le verifiche effettuate e le misure correttive adottate, stabilendo modalità di riesame coerenti con il rischio e con i cambiamenti organizzativi. Questa attività può essere integrata nei controlli descritti nell’approfondimento sull’audit privacy aziendale, mantenendo specifica attenzione alla gestione del personale autorizzato.

Un esempio pratico: autorizzazioni privacy non aggiornate e accessi eccessivi al gestionale aziendale

Consideriamo, a titolo esemplificativo, una società di servizi con diversi reparti che utilizza un gestionale condiviso per amministrazione, rapporti commerciali e gestione del personale. Le lettere di autorizzazione erano state predisposte al momento dell’assunzione, ma nel tempo alcuni dipendenti avevano cambiato mansione senza che fossero aggiornati i relativi permessi informatici. Durante una verifica interna emerge che diversi utenti possono consultare informazioni non necessarie alle attività loro assegnate, comprese alcune informazioni relative ai lavoratori.

Una situazione del genere richiede di confrontare le autorizzazioni esistenti con l’organigramma, le mansioni effettive e i profili di accesso configurati nel gestionale. L’aspetto più delicato consiste nel distinguere i privilegi realmente necessari da quelli mantenuti per ragioni di comodità operativa, evitando che la revisione impedisca lo svolgimento delle normali attività aziendali. La riorganizzazione può prevedere autorizzazioni differenziate per funzione, istruzioni aggiornate, credenziali individuali e una procedura che colleghi ogni modifica dei permessi a un cambiamento documentato delle responsabilità lavorative.

Il caso è ipotetico e illustra una criticità organizzativa ricorrente. La presenza di autorizzazioni incomplete o di accessi eccessivi non permette, da sola, di affermare che siano già avvenute consultazioni illecite o violazioni dei dati personali. L’eventuale accertamento di tali circostanze richiede verifiche ulteriori, mentre la correzione delle carenze deve essere commisurata ai rischi effettivamente riscontrati.

Domande frequenti sulla nomina e sui controlli degli autorizzati al trattamento

È obbligatorio far firmare una lettera di autorizzazione privacy a ogni dipendente?

Il GDPR non impone indistintamente una lettera cartacea firmata per ogni lavoratore. Gli articoli 29 e 32 richiedono che le persone che operano sotto l’autorità del titolare o del responsabile trattino i dati secondo le istruzioni ricevute. L’articolo 2-quaterdecies del Codice Privacy disciplina l’attribuzione di specifici compiti e funzioni. La firma costituisce uno strumento utile per documentare la consegna e la conoscenza delle istruzioni, ma possono essere adottate anche modalità organizzative e documentali differenti, purché adeguate e verificabili.

Chi deve predisporre e aggiornare le autorizzazioni al trattamento?

La responsabilità organizzativa compete al titolare o al responsabile del trattamento, secondo il rispettivo ambito di competenza. La predisposizione materiale può essere affidata a funzioni interne o professionisti esterni. Il DPO, quando presente, può fornire consulenza e svolgere attività di sorveglianza, ma non assume automaticamente la responsabilità delle decisioni operative. È opportuno individuare chi gestisce le autorizzazioni e chi comunica le variazioni di mansione che richiedono una revisione dei permessi.

È necessario aggiornare le autorizzazioni privacy ogni anno?

Non esiste un obbligo generale di rinnovo annuale delle lettere di autorizzazione. Le autorizzazioni devono rimanere coerenti con i trattamenti effettivamente svolti e con le mansioni assegnate. Cambiamenti organizzativi, introduzione di nuovi software, trasferimenti di personale o modifiche dei privilegi possono richiedere un aggiornamento. La periodicità dei controlli deve essere stabilita considerando i rischi, la complessità aziendale e le caratteristiche dei trattamenti.

Cosa deve fare l’azienda se scopre che un dipendente ha consultato dati senza autorizzazione?

Occorre ricostruire l’accesso, verificare le informazioni coinvolte, preservare le evidenze pertinenti e valutare le misure necessarie per impedire ulteriori consultazioni ingiustificate. Se l’episodio costituisce una violazione dei dati personali, devono essere esaminati anche gli obblighi previsti dagli articoli 33 e 34 del GDPR. L’eventuale responsabilità disciplinare del dipendente e quella dell’azienda richiedono valutazioni distinte, fondate sulle circostanze accertate e sulle disposizioni applicabili.

Come può un’azienda dimostrare di aver impartito istruzioni adeguate ai dipendenti?

La dimostrazione può fondarsi su autorizzazioni documentate, procedure interne, evidenze della consegna delle istruzioni, registrazioni delle attività formative e verifiche dei privilegi informatici. Non è sufficiente conservare documenti generici se i comportamenti consentiti e gli accessi effettivi non corrispondono alle disposizioni impartite. La documentazione deve permettere di ricostruire quali istruzioni erano applicabili, a quali persone e con quali modalità ne veniva verificata l’osservanza.

Autorizzazioni GDPR incomplete o non aggiornate: richiedere una valutazione legale

Quando le lettere di autorizzazione sono assenti, generiche o non corrispondono alle mansioni effettive, l’impresa deve verificare se le istruzioni impartite e i controlli sugli accessi siano adeguati ai trattamenti svolti. La presenza di documentazione formalmente corretta non esclude carenze organizzative, così come un’irregolarità documentale non comporta automaticamente una violazione sanzionabile. Occorre esaminare il sistema adottato, individuare le eventuali criticità e definire interventi proporzionati.

Lo Studio Legale Calvello assiste le imprese nella verifica delle autorizzazioni al trattamento, nella predisposizione delle istruzioni operative e nella valutazione delle responsabilità connesse alla gestione dei dati personali da parte del personale aziendale. L’assistenza può riguardare anche la revisione delle procedure interne, i controlli sui privilegi di accesso e la gestione delle irregolarità già riscontrate.

Se la vostra azienda deve predisporre o aggiornare le autorizzazioni privacy, verificare gli accessi dei dipendenti o affrontare una possibile violazione delle istruzioni GDPR, richiedete una valutazione legale attraverso il modulo dedicato alla privacy aziendale. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento.