Articolo a cura di: Redazione - Studio Legale Calvello

Quando un dipendente chiede di conoscere o ottenere copia dei dati personali trattati dall’azienda, il datore di lavoro deve gestire la richiesta secondo le regole del GDPR. Il diritto di accesso previsto dall’articolo 15 del Regolamento (UE) 2016/679 può riguardare informazioni conservate dall’ufficio HR, comunicazioni elettroniche, valutazioni professionali, dati raccolti attraverso strumenti aziendali e altri trattamenti riferibili al lavoratore. La risposta deve essere fornita, di regola, entro un mese dal ricevimento della richiesta, anche quando questa arriva durante una controversia lavorativa o dopo una contestazione disciplinare.

Il problema diventa particolarmente delicato quando i dati richiesti coinvolgono altri dipendenti, comunicazioni riservate o documentazione utilizzata per difendere l’impresa. Una risposta incompleta, un rifiuto ingiustificato o la divulgazione di informazioni di terzi possono esporre l’azienda a reclami e contestazioni. Occorre quindi individuare correttamente i dati accessibili, rispettare i termini e valutare le eventuali limitazioni previste dalla legge, coinvolgendo il DPO o un professionista esperto in privacy dei dipendenti e obblighi del datore di lavoro quando la richiesta presenta criticità.

Come deve comportarsi l’azienda quando riceve una richiesta di accesso ai dati personali

Una richiesta di accesso può arrivare direttamente al datore di lavoro, all’ufficio del personale, al responsabile HR oppure al DPO. Non è necessario che il dipendente utilizzi un modulo prestabilito o richiami espressamente l’articolo 15 del GDPR. Anche un messaggio nel quale il lavoratore chiede di conoscere le informazioni che l’impresa conserva sul suo conto può costituire esercizio del diritto di accesso, purché il contenuto consenta di riconoscere tale volontà.

Il primo obbligo dell’azienda è riconoscere e registrare tempestivamente la richiesta. Un errore frequente consiste nel considerarla una normale domanda amministrativa, lasciandola senza seguito perché inviata a un ufficio diverso da quello competente. La struttura organizzativa interna non può giustificare il mancato rispetto dei termini previsti dal GDPR. È quindi opportuno che il personale incaricato di ricevere le comunicazioni sappia individuare le richieste relative ai diritti degli interessati e trasmetterle senza ritardo a chi deve gestirle.

Il titolare del trattamento, normalmente individuabile nel datore di lavoro, conserva la responsabilità di fornire riscontro. Il DPO, quando nominato, svolge funzioni di consulenza e sorveglianza e costituisce un punto di contatto per gli interessati, ma la sua presenza non trasferisce automaticamente su di lui gli obblighi del titolare. Nelle organizzazioni più articolate, la gestione richiede spesso il coordinamento tra risorse umane, ufficio IT, direzione e consulenti privacy, soprattutto quando le informazioni sono distribuite tra sistemi informatici, archivi cartacei e fornitori esterni. La corretta attribuzione delle responsabilità deve essere coerente con l’organizzazione della privacy e del GDPR nell’ufficio HR.

Ai sensi dell’articolo 12, paragrafo 3, del GDPR, l’azienda deve fornire informazioni sull’azione intrapresa senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Se necessario, considerando la complessità e il numero delle richieste, il termine può essere prorogato di ulteriori due mesi. L’interessato deve però essere informato della proroga e dei relativi motivi entro il primo mese. La proroga non è automatica e deve essere giustificabile in relazione alle circostanze concrete.

Prima di comunicare informazioni riservate, l’impresa deve anche accertarsi che la richiesta provenga effettivamente dall’interessato o da un soggetto legittimato a rappresentarlo. L’articolo 12, paragrafo 6, consente di chiedere informazioni aggiuntive necessarie per confermare l’identità quando esistono ragionevoli dubbi. Non è invece corretto imporre sistematicamente l’invio di documenti identificativi quando l’identità risulta già sufficientemente verificata.

La richiesta non perde validità perché presentata da un dipendente licenziato, da un lavoratore coinvolto in un procedimento disciplinare o tramite un avvocato munito dei necessari poteri rappresentativi. Il diritto di accesso riguarda i dati personali dell’interessato e non dipende, di regola, dalle ragioni per cui questi intende conoscerli. L’azienda deve quindi evitare di subordinare il riscontro alla spiegazione delle finalità perseguite dal lavoratore. Quando la richiesta proviene da un soggetto che ha cessato il rapporto di lavoro, possono assumere rilievo anche le specifiche questioni relative all’accesso ai dati personali da parte degli ex dipendenti.

Quali dati deve consegnare il datore di lavoro e quali limiti prevede il GDPR

L’articolo 15 del GDPR attribuisce al lavoratore il diritto di ottenere conferma dell’esistenza di trattamenti che lo riguardano e, in caso affermativo, di accedere ai propri dati personali. Il riscontro deve comprendere anche le informazioni previste dalla norma, tra cui le finalità del trattamento, le categorie di dati, i destinatari ai quali sono stati o saranno comunicati, il periodo di conservazione previsto o i criteri utilizzati per determinarlo e, quando applicabile, l’origine delle informazioni.

Il diritto di accesso ai dati personali non coincide con un diritto indiscriminato a ottenere ogni documento aziendale. Il dipendente ha diritto a una copia dei dati personali oggetto di trattamento, non necessariamente alla riproduzione integrale di qualsiasi documento nel quale compare il suo nome. In determinate circostanze, però, può essere necessario fornire estratti documentali o copie di documenti completi quando ciò risulti indispensabile per rendere i dati comprensibili e consentire l’effettivo esercizio del diritto.

La distinzione assume particolare rilievo per le email aziendali, le valutazioni professionali e le comunicazioni interne. Un dipendente potrebbe chiedere le informazioni contenute nel proprio fascicolo personale, i giudizi espressi dai superiori, i dati utilizzati per una contestazione disciplinare oppure le comunicazioni nelle quali viene identificato. L’azienda deve verificare quali informazioni costituiscano effettivamente dati personali del richiedente, senza escluderle soltanto perché contenute in corrispondenza interna o documenti destinati alla direzione. Le modalità con cui tali informazioni sono state raccolte devono essere valutate anche rispetto alle regole sul controllo delle email aziendali dei dipendenti.

Lo stesso criterio si applica ai dati raccolti attraverso strumenti tecnologici. Registrazioni delle presenze, log informatici, dati di geolocalizzazione, immagini di videosorveglianza e informazioni elaborate da software HR possono rientrare nell’accesso quando si riferiscono a una persona identificata o identificabile. Occorre verificare quali dati siano ancora trattati dall’impresa, dove siano conservati e se possano essere estratti in una forma intelligibile. Il diritto di accesso non comporta, di per sé, l’obbligo di ricreare dati che non esistono più o di produrre nuove elaborazioni non richieste dalla disciplina applicabile.

Una delle difficoltà maggiori riguarda la presenza di informazioni relative ad altri lavoratori, dirigenti, clienti o fornitori. L’articolo 15, paragrafo 4, stabilisce che il diritto di ottenere una copia non deve ledere i diritti e le libertà altrui. Questo non autorizza l’azienda a respingere integralmente qualsiasi richiesta che coinvolga dati di terzi: occorre valutare se sia possibile soddisfarla mediante oscuramento delle informazioni non pertinenti, estrazione selettiva o altre modalità che consentano di contemperare gli interessi coinvolti.

Particolare attenzione richiedono le informazioni connesse a indagini interne e segnalazioni whistleblowing. Quando il dipendente interessato è coinvolto in una segnalazione, l’accesso ai dati deve essere esaminato anche alla luce delle specifiche disposizioni sulla riservatezza e delle limitazioni previste dal Codice Privacy, tra cui l’articolo 2-undecies, nei casi e alle condizioni stabiliti dalla legge. La tutela dell’identità del segnalante e degli altri soggetti coinvolti non può essere sacrificata attraverso una comunicazione indiscriminata della documentazione. Le eventuali limitazioni devono però trovare un preciso fondamento normativo e non possono essere applicate automaticamente a ogni indagine aziendale. Per le imprese che ricevono segnalazioni interne, il problema deve essere affrontato nel quadro delle procedure di gestione delle segnalazioni whistleblowing.

Se i dati sono trattati da fornitori esterni, come gestori di piattaforme HR o servizi cloud, il titolare deve coordinarsi con i responsabili del trattamento. L’articolo 28 del GDPR prevede che questi assistano il titolare, tenendo conto della natura del trattamento e delle informazioni a loro disposizione, nel dare seguito alle richieste degli interessati. La presenza di un fornitore non esonera quindi l’azienda dal proprio obbligo di risposta.

La prima copia dei dati personali deve essere fornita gratuitamente, salvo le eccezioni previste dal GDPR. Per ulteriori copie richieste dall’interessato può essere applicato un contributo ragionevole basato sui costi amministrativi. Quando la richiesta è manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo, l’articolo 12, paragrafo 5, consente, alle condizioni previste, di chiedere un contributo spese o rifiutare di soddisfarla. L’onere di dimostrare il carattere manifestamente infondato o eccessivo grava sul titolare del trattamento. Una richiesta ampia, impegnativa o presentata durante una controversia non può essere considerata abusiva per questo solo motivo.

Termini, responsabilità e rischi per l’azienda che non risponde correttamente

Una volta individuati i dati personali oggetto della richiesta, l’azienda deve predisporre un riscontro completo, comprensibile e verificabile. Non è sufficiente comunicare genericamente al dipendente che i suoi dati vengono trattati nel rispetto del GDPR, né rinviarlo all’informativa privacy già consegnata all’assunzione. Il diritto di accesso richiede una risposta riferita ai trattamenti effettivamente effettuati e ai dati personali del lavoratore, con le informazioni previste dall’articolo 15 del Regolamento.

La gestione deve essere organizzata in modo da rispettare il termine ordinario di un mese, tenendo conto del tempo necessario per individuare le informazioni nei diversi archivi. Quando la richiesta interessa più reparti, il responsabile HR dovrebbe coordinarsi tempestivamente con l’IT e con gli altri uffici che conservano dati del dipendente. Se sono coinvolti fornitori esterni, occorre attivare le procedure di assistenza previste dai contratti sul trattamento dei dati. Un ritardo dovuto a difficoltà organizzative interne non giustifica automaticamente una proroga.

La risposta deve essere fornita per iscritto o con altri mezzi, anche elettronici quando appropriato. Se la richiesta è presentata mediante strumenti elettronici, le informazioni sono fornite, ove possibile, con gli stessi mezzi, salvo diversa indicazione dell’interessato. L’impresa deve adottare modalità di trasmissione adeguate alla natura delle informazioni: un fascicolo contenente valutazioni professionali, dati sanitari o documentazione disciplinare richiede cautele differenti rispetto a una comunicazione amministrativa ordinaria. Prima dell’invio è necessario controllare che i documenti siano destinati alla persona corretta e che eventuali dati di terzi siano stati trattati secondo le limitazioni applicabili.

Quando l’azienda ritiene di non poter soddisfare integralmente la richiesta, deve distinguere i dati effettivamente accessibili da quelli per i quali esiste una ragione giuridicamente sostenibile di limitazione. Un rifiuto generico motivato dalla riservatezza aziendale o dall’esistenza di una controversia lavorativa non è sufficiente. Le eventuali esclusioni devono essere valutate rispetto alle disposizioni applicabili, documentando le ragioni della decisione. Se il titolare non dà seguito alla richiesta, l’articolo 12, paragrafo 4, del GDPR impone di comunicare all’interessato, entro un mese, i motivi dell’inazione e la possibilità di proporre reclamo a un’autorità di controllo e ricorso giurisdizionale.

È opportuno conservare traccia della richiesta ricevuta, delle verifiche effettuate, degli uffici coinvolti, delle eventuali limitazioni applicate e del riscontro trasmesso. Questa documentazione permette di ricostruire le attività svolte qualora il lavoratore contesti la completezza della risposta. Rientra nel principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR, secondo cui il titolare deve essere in grado di comprovare il rispetto dei principi applicabili al trattamento.

La mancata risposta, il superamento ingiustificato dei termini o un diniego privo di adeguato fondamento possono determinare un reclamo privacy del dipendente al Garante. L’Autorità può richiedere informazioni, verificare la gestione della richiesta e adottare i provvedimenti previsti dal GDPR. Le violazioni dei diritti degli interessati rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 5, che contempla, per le imprese, sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta di massimali normativi, non di sanzioni automatiche: l’eventuale importo dipende dai criteri previsti dal Regolamento e dalle circostanze della violazione.

Il lavoratore può anche chiedere il risarcimento di un danno materiale o immateriale ai sensi dell’articolo 82 del GDPR, quando ne ricorrono i presupposti. La semplice violazione di una disposizione non comporta automaticamente il riconoscimento di un risarcimento: occorre valutare l’esistenza del danno e il nesso causale con la violazione. Per l’impresa, il rischio aumenta quando una richiesta di accesso viene gestita superficialmente mentre è già in corso una contestazione disciplinare, un licenziamento impugnato o una controversia sulle modalità di controllo dell’attività lavorativa.

In presenza di una diffida, di una contestazione formale o di una richiesta particolarmente complessa, può essere opportuno sottoporre il riscontro a una verifica legale prima dell’invio. Noi dello Studio Legale Calvello esaminiamo il contenuto della richiesta, i dati effettivamente trattati e le eventuali ragioni di limitazione, considerando anche le conseguenze che la comunicazione può produrre nei rapporti con il lavoratore. L’intervento deve comunque essere tempestivo, perché l’esame legale non sospende automaticamente i termini previsti dal GDPR.

Un caso pratico: il dipendente chiede email e valutazioni interne durante una contestazione disciplinare

Consideriamo il caso di una società nella quale un dipendente, dopo aver ricevuto una contestazione disciplinare, presenta una richiesta di accesso a tutti i dati personali che lo riguardano. Chiede in particolare le email scambiate tra i responsabili, le valutazioni sul proprio rendimento e le informazioni utilizzate dall’azienda per contestargli determinati comportamenti. L’ufficio HR dispone del fascicolo personale, mentre parte delle comunicazioni è conservata nei sistemi di posta elettronica e negli archivi della direzione.

In una situazione del genere, il primo intervento consiste nell’esaminare l’effettiva portata della richiesta e individuare i sistemi nei quali possono trovarsi i dati. Occorre distinguere le informazioni personali del lavoratore dai contenuti che riguardano esclusivamente altri soggetti, verificando se eventuali comunicazioni debbano essere fornite integralmente, mediante estratti oppure con opportuni oscuramenti. La presenza di una contestazione disciplinare richiede particolare attenzione, ma non costituisce di per sé una ragione per negare l’accesso.

La gestione può essere organizzata attraverso il coordinamento tra HR, IT e consulenza legale, con una verifica dei documenti prima della trasmissione e la predisposizione di una risposta che illustri le informazioni dovute e le eventuali limitazioni applicate. L’aspetto più delicato è consentire al dipendente di esercitare effettivamente il proprio diritto senza comunicare indiscriminatamente dati di terzi o informazioni tutelate da specifiche disposizioni. Una procedura documentata permette anche all’azienda di ricostruire le valutazioni compiute qualora il lavoratore presenti successivamente un reclamo.

Domande frequenti sulla richiesta di accesso ai dati personali dei dipendenti

Il dipendente può chiedere accesso ai propri dati anche durante una causa contro l’azienda?

Sì. L’esistenza di una controversia giudiziaria, di una contestazione disciplinare o di un licenziamento impugnato non elimina il diritto di accesso previsto dall’articolo 15 del GDPR. L’azienda deve esaminare la richiesta e fornire i dati accessibili, applicando soltanto le limitazioni previste dalla normativa. Il fatto che il lavoratore possa utilizzare le informazioni per tutelare i propri interessi in giudizio non costituisce, da solo, un motivo legittimo per rifiutare l’accesso.

L’azienda deve consegnare anche le email nelle quali i dirigenti parlano del dipendente?

Le email possono contenere dati personali del lavoratore anche quando non è tra i destinatari della comunicazione. L’impresa deve quindi esaminarne il contenuto e verificare quali informazioni rientrino nel diritto di accesso. Non esiste però un obbligo generalizzato di consegnare integralmente ogni messaggio. La scelta tra copia completa, estratto o altra modalità di comunicazione dipende dalla necessità di rendere comprensibili i dati e dalla tutela dei diritti e delle libertà di altri soggetti.

Il datore di lavoro può rifiutare una richiesta perché contiene troppi documenti?

La quantità dei dati da esaminare non giustifica automaticamente il rifiuto. Se il titolare tratta una notevole quantità di informazioni relative all’interessato, può ricorrere, nei casi appropriati, agli strumenti previsti dal GDPR per precisare l’ambito della richiesta e gestirne la complessità. Il rifiuto o l’eventuale richiesta di un contributo spese richiedono invece la dimostrazione delle condizioni previste dall’articolo 12, paragrafo 5, per le richieste manifestamente infondate o eccessive.

Cosa succede se l’azienda si accorge di non aver risposto entro un mese?

Il superamento del termine ordinario non elimina l’obbligo di dare riscontro. L’azienda dovrebbe intervenire senza ulteriore ritardo, ricostruire le ragioni dell’omissione e predisporre una risposta conforme alla richiesta. Una proroga comunicata soltanto dopo la scadenza del primo mese non rende retroattivamente tempestiva la gestione. Se il dipendente ha già presentato un reclamo o una diffida, è opportuno valutare anche le modalità con cui documentare le attività effettuate e affrontare la contestazione.

Il DPO è responsabile se l’azienda non risponde correttamente al dipendente?

La responsabilità di assicurare il rispetto degli obblighi GDPR rimane in capo al titolare del trattamento. Il DPO svolge le funzioni previste dagli articoli 38 e 39 del Regolamento, tra cui consulenza, sorveglianza e cooperazione con l’autorità di controllo. Può assistere l’azienda nella valutazione della richiesta e delle eventuali limitazioni, ma la sua nomina non esonera il datore di lavoro dalle proprie responsabilità.

Richiesta di accesso ai dati di un dipendente: assistenza legale per l’azienda

Quando un dipendente chiede accesso ai propri dati personali, soprattutto in presenza di contestazioni disciplinari, controversie lavorative, comunicazioni riservate o informazioni relative ad altri soggetti, una risposta incompleta o giuridicamente non corretta può esporre l’azienda a reclami, accertamenti del Garante e richieste risarcitorie.

Noi dello Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nell’esame delle richieste di accesso, nella verifica dei dati da comunicare, nella valutazione delle eventuali limitazioni e nella predisposizione del riscontro. Interveniamo anche quando il lavoratore ha già inviato una diffida o avviato una contestazione.

Se la tua azienda ha ricevuto una richiesta di accesso ai dati personali di un dipendente e deve stabilire come rispondere, richiedi una valutazione legale attraverso il modulo dedicato alla privacy e al GDPR aziendale. Esamineremo la situazione rappresentata per individuare gli obblighi applicabili, le criticità e le modalità di intervento più appropriate.