Articolo a cura di: Redazione - Studio Legale Calvello
La cessazione di un rapporto di lavoro non comporta l’obbligo di cancellare immediatamente tutti i dati personali del dipendente. L’azienda deve conservare determinati documenti per rispettare obblighi fiscali, contributivi e lavoristici, mentre altre informazioni devono essere eliminate quando viene meno la finalità che ne giustificava il trattamento. Non esiste un termine unico di conservazione valido per tutti i dati degli ex dipendenti. Occorre distinguere la natura dei documenti, le ragioni della conservazione e gli eventuali rischi di contenzioso.
Per il datore di lavoro, il problema si presenta soprattutto quando deve gestire fascicoli del personale, buste paga, documentazione sanitaria, archivi informatici e informazioni rimaste nei sistemi aziendali dopo dimissioni o licenziamenti. Una conservazione indiscriminata può violare il GDPR; una cancellazione prematura può invece compromettere l’adempimento di obblighi di legge o la possibilità di difendersi in giudizio. Come Studio Legale Calvello, affrontiamo queste situazioni valutando quali dati devono essere mantenuti, per quanto tempo e con quali misure di protezione, tenendo conto dell’organizzazione e delle responsabilità della singola impresa.
Per quanto tempo l’azienda può conservare i dati di un dipendente cessato?
Il riferimento principale è l’articolo 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679, che disciplina il principio di limitazione della conservazione. I dati personali devono essere mantenuti in una forma che consenta l’identificazione degli interessati per un periodo non superiore a quello necessario rispetto alle finalità del trattamento. Questo significa che la cessazione del rapporto di lavoro impone all’azienda di riesaminare le ragioni per cui continua a conservare i dati, senza comportare automaticamente la distruzione dell’intero fascicolo personale.
Durante il rapporto lavorativo, il datore di lavoro tratta informazioni necessarie per amministrare il personale, corrispondere le retribuzioni, gestire presenze e assenze, adempiere agli obblighi previdenziali e organizzare l’attività. Dopo la cessazione, alcune di queste finalità vengono meno, mentre altre continuano a giustificare la conservazione. I documenti retributivi e contributivi possono rimanere necessari per gli obblighi normativi applicabili; i dati relativi a valutazioni interne, autorizzazioni operative o accessi ai sistemi informatici richiedono invece una verifica distinta.
È frequente che le aziende considerino dieci anni come termine generale per conservare tutta la documentazione degli ex dipendenti. Si tratta di una semplificazione giuridicamente scorretta. Il termine decennale può essere pertinente per determinate categorie documentali, ma non autorizza a conservare indistintamente qualsiasi dato personale per dieci anni. Allo stesso modo, non tutti i documenti devono essere cancellati dopo cinque anni. I termini derivano dalle disposizioni applicabili alla singola categoria, dalle finalità ancora legittime e, quando pertinente, dai periodi di prescrizione dei diritti.
Un esempio riguarda il Libro Unico del Lavoro, per il quale l’articolo 39 del D.L. 112/2008, convertito dalla legge 133/2008, prevede una conservazione di cinque anni dalla data dell’ultima registrazione, salvo specifiche disposizioni. Per la documentazione contabile e fiscale possono operare termini differenti, mentre le informazioni necessarie a gestire controversie lavoristiche richiedono di considerare le concrete pretese esercitabili, la loro prescrizione e l’eventuale esistenza di procedimenti in corso.
Particolare attenzione meritano i dati sanitari, le informazioni relative alle assenze per malattia, gli accertamenti disciplinari e gli altri dati particolarmente delicati. La loro conservazione non può essere giustificata genericamente dall’esigenza di mantenere uno storico aziendale. Per le cartelle sanitarie e di rischio previste dalla normativa sulla salute e sicurezza sul lavoro operano inoltre obblighi specifici, anche in relazione alle funzioni del medico competente e alla custodia della documentazione.
La questione riguarda anche gli archivi digitali. Un documento che non viene più utilizzato può continuare a essere presente nel gestionale HR, nel software paghe, nei server o nei sistemi di backup. La semplice archiviazione non rende automaticamente lecita una conservazione priva di una finalità attuale. L’impresa deve poter individuare le informazioni ancora necessarie e stabilire criteri di cancellazione, anonimizzazione o conservazione limitata coerenti con il GDPR.
Quali documenti degli ex dipendenti devono essere conservati e quando decorrono i termini?
Per stabilire quanto tempo conservare i dati degli ex dipendenti occorre partire dalla classificazione della documentazione. Il fascicolo personale contiene normalmente atti di natura diversa: contratto di assunzione, variazioni contrattuali, cedolini, comunicazioni obbligatorie, documentazione contributiva, attestati di formazione, eventuali contestazioni disciplinari e atti relativi alla cessazione. Non tutti questi documenti rispondono agli stessi obblighi e non è corretto attribuire all’intero fascicolo un’unica data di cancellazione.
La documentazione relativa alle retribuzioni, al trattamento di fine rapporto e agli adempimenti fiscali e previdenziali deve essere esaminata considerando le disposizioni che ne impongono la tenuta e le esigenze di prova. Il termine di conservazione può dipendere dalla natura del documento e dall’evento dal quale la legge ne fa decorrere il computo. La data di cessazione del rapporto non coincide necessariamente con l’inizio di tutti i periodi di conservazione.
Per esempio, i documenti relativi al pagamento del TFR possono essere necessari anche dopo l’ultimo giorno di lavoro, specialmente se sorgono contestazioni sulle somme corrisposte. La presenza di una vertenza, di un accertamento contributivo o di una richiesta dell’autorità può giustificare la conservazione di documenti pertinenti per il tempo necessario alla gestione della vicenda, purché la scelta sia proporzionata e adeguatamente motivata. Non è invece sufficiente invocare la possibilità astratta di una futura causa per mantenere senza scadenza tutti i dati raccolti durante il rapporto.
Per la documentazione disciplinare occorre distinguere la conservazione necessaria a dimostrare fatti rilevanti in un eventuale contenzioso dall’utilizzo di precedenti disciplinari ai fini di nuove contestazioni. L’articolo 7 dello Statuto dei lavoratori stabilisce che, decorsi due anni dalla loro applicazione, non può tenersi conto delle sanzioni disciplinari ad alcun effetto. Questa disposizione non coincide con un obbligo generalizzato di distruzione materiale di ogni documento dopo due anni: l’eventuale ulteriore conservazione richiede una finalità lecita autonoma e una valutazione specifica.
Un trattamento distinto riguarda i dati sanitari. Il datore di lavoro non può conservare indiscriminatamente diagnosi e documentazione medica dettagliata, e deve rispettare i limiti derivanti dalla normativa lavoristica e dalla disciplina sulla protezione dei dati. Per la sorveglianza sanitaria, il D.Lgs. 81/2008 prevede regole specifiche sulla gestione e sulla conservazione delle cartelle sanitarie e di rischio, che non devono essere confuse con la documentazione amministrativa normalmente accessibile all’ufficio del personale.
La verifica deve estendersi ai sistemi informatici utilizzati durante il rapporto. Account personali, credenziali, autorizzazioni e accessi operativi devono essere gestiti tempestivamente alla cessazione, mentre i dati contenuti nelle applicazioni aziendali possono richiedere tempi diversi di conservazione. I log di accesso, i dati delle presenze e le informazioni generate dagli strumenti di lavoro non possono essere mantenuti automaticamente per il medesimo periodo previsto per i documenti retributivi. Devono essere considerate le finalità originarie, le informative rese ai lavoratori e, ove applicabili, le garanzie dell’articolo 4 dello Statuto dei lavoratori.
Per le caselle di posta elettronica degli ex dipendenti occorre una particolare cautela. L’esigenza di continuità operativa non giustifica di per sé il mantenimento indefinito dell’account nominativo o l’accesso generalizzato alla corrispondenza. La gestione delle comunicazioni aziendali deve essere organizzata con misure preventive, nel rispetto della riservatezza e dei principi di proporzionalità e minimizzazione. Le questioni relative al controllo della posta elettronica richiedono una valutazione distinta rispetto alla semplice conservazione dei documenti amministrativi.
Dal punto di vista organizzativo, l’impresa dovrebbe adottare un piano di conservazione che distingua categorie di dati, finalità, basi giuridiche, termini applicabili e criteri di cancellazione. Tale piano deve trovare riscontro nelle informative privacy, nel registro delle attività di trattamento quando previsto e nelle istruzioni impartite a chi gestisce gli archivi. Per approfondire i criteri generali, abbiamo dedicato un contributo alla conservazione dei dati personali e ai relativi termini.
La presenza di un consulente del lavoro, di un fornitore di software paghe o di un servizio cloud non trasferisce automaticamente a questi soggetti la responsabilità delle decisioni sui tempi di conservazione. Il datore di lavoro, in qualità di titolare del trattamento per le attività di propria competenza, deve verificare i ruoli privacy dei fornitori, le condizioni contrattuali e le istruzioni applicabili, anche ai sensi dell’articolo 28 GDPR quando il fornitore opera come responsabile del trattamento. La cancellazione o restituzione dei dati al termine del servizio deve essere coordinata con gli eventuali obblighi di conservazione ancora applicabili.
Obblighi GDPR, responsabilità aziendali e rischi nella conservazione dei dati degli ex dipendenti
La corretta conservazione dei dati degli ex dipendenti richiede che l’azienda sia in grado di dimostrare perché mantiene determinate informazioni anche dopo la cessazione del rapporto di lavoro. L’articolo 5, paragrafo 2, del GDPR introduce il principio di responsabilizzazione del titolare del trattamento, o accountability: non basta rispettare i termini di conservazione, occorre poter documentare le ragioni delle scelte effettuate e le misure adottate per proteggere i dati. Questo obbligo assume particolare rilievo quando l’impresa gestisce archivi storici del personale, conserva documentazione relativa a numerosi rapporti cessati oppure utilizza più sistemi informatici nei quali le informazioni rimangono disponibili per anni.
Una delle irregolarità più frequenti riguarda l’assenza di criteri differenziati di conservazione. L’ufficio HR continua a mantenere i fascicoli personali, il consulente del lavoro conserva i documenti retributivi, il reparto IT mantiene account e backup, mentre altri uffici dispongono di copie dei medesimi dati. In queste situazioni, anche quando una parte della documentazione deve essere conservata per obbligo di legge, l’azienda può trovarsi a trattare informazioni eccedenti, duplicate o accessibili a persone che non hanno più necessità di consultarle.
Per questo motivo, la gestione dei dati dei dipendenti cessati deve essere regolata da una procedura aziendale che coinvolga risorse umane, amministrazione e responsabili informatici. La procedura dovrebbe individuare quali informazioni rimangono necessarie, quali devono essere cancellate, chi è autorizzato ad accedere agli archivi e come vengono gestite le scadenze. Deve inoltre disciplinare i casi nei quali la cancellazione ordinaria viene temporaneamente sospesa perché alcuni documenti sono necessari per una controversia, un accertamento o un obbligo normativo specifico.
Il problema diventa particolarmente delicato quando l’azienda conserva dati personali in sistemi di backup. L’articolo 17 del GDPR riconosce il diritto alla cancellazione nei casi previsti dalla norma, ma la gestione tecnica delle copie di sicurezza richiede di considerare anche le esigenze di integrità e ripristino dei sistemi. Occorre quindi definire cicli di conservazione proporzionati, limitazioni degli accessi e procedure che impediscano il riutilizzo ordinario di informazioni che non devono più essere trattate. L’eventuale impossibilità di eliminare immediatamente un singolo dato da una copia di sicurezza non giustifica la conservazione indefinita dei backup.
Un’altra questione riguarda le richieste provenienti dagli ex dipendenti. Il lavoratore cessato può esercitare i diritti previsti dal GDPR, compresi quelli di accesso e cancellazione, ma l’azienda non è tenuta a eliminare automaticamente ogni documento quando riceve una richiesta in tal senso. L’articolo 17, paragrafo 3, contempla infatti eccezioni, tra cui la necessità di adempiere a un obbligo legale e quella di accertare, esercitare o difendere un diritto in sede giudiziaria. L’impresa deve verificare quali informazioni rientrino effettivamente nella richiesta, quali possano essere cancellate e quali debbano essere conservate per una ragione giuridicamente sostenibile.
La risposta deve rispettare i termini dell’articolo 12 GDPR ed essere formulata in modo comprensibile, indicando, quando necessario, le ragioni dell’eventuale mancato accoglimento. La gestione operativa di queste istanze presenta problematiche specifiche, approfondite nel nostro articolo dedicato a come rispondere alla richiesta di cancellazione dei dati presentata da un ex dipendente.
La conservazione eccessiva può esporre l’impresa a reclami, accertamenti del Garante per la protezione dei dati personali e provvedimenti correttivi. Nei casi in cui ricorrano i presupposti previsti dal GDPR, possono essere applicate anche sanzioni amministrative pecuniarie. Le violazioni dei principi fondamentali del trattamento, compresa la limitazione della conservazione, rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 5, che prevede, nei casi applicabili, massimali fino a 20 milioni di euro o al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano massimali normativi e non sanzioni automaticamente applicabili a ogni irregolarità. La valutazione dipende dalle circostanze concrete, dalla gravità e durata della violazione e dagli altri criteri stabiliti dal Regolamento.
La conservazione di informazioni non più necessarie può aggravare anche le conseguenze di un incidente informatico. Se un archivio contenente dati di ex dipendenti viene compromesso, l’impresa deve valutare la violazione secondo gli articoli 33 e 34 GDPR, considerando la natura delle informazioni coinvolte e i rischi per gli interessati. Conservare dati senza una finalità legittima aumenta la quantità di informazioni potenzialmente esposte e può rendere più complessa la gestione dell’incidente.
Quando riscontriamo criticità nella gestione degli archivi del personale, riteniamo necessario esaminare congiuntamente documentazione privacy, procedure interne e configurazione dei sistemi informatici. Un audit privacy aziendale può consentire di individuare trattamenti non più giustificati, tempi di conservazione incoerenti e responsabilità operative non chiaramente attribuite. L’intervento deve essere proporzionato alla struttura dell’impresa, alla quantità e sensibilità dei dati trattati e alle criticità effettivamente riscontrate.
Esempio pratico: un’azienda conserva da anni i fascicoli e i dati informatici degli ex dipendenti
Consideriamo il caso ipotetico di un’azienda con circa cento dipendenti che, nel corso degli anni, ha accumulato documentazione relativa a numerosi rapporti di lavoro cessati. L’ufficio del personale conserva fascicoli cartacei e digitali senza distinguere i documenti soggetti a obblighi normativi dalle informazioni non più necessarie. Il reparto informatico mantiene inoltre copie di file personali, vecchi account disattivati e backup contenenti dati di lavoratori che hanno lasciato l’impresa da tempo.
Durante una verifica interna emerge che non esiste una procedura condivisa per stabilire i tempi di conservazione. L’azienda teme che eliminare i documenti possa compromettere eventuali difese in giudizio, ma non dispone di una giustificazione specifica per mantenere integralmente tutti gli archivi. Il problema non consiste soltanto nell’età dei documenti, ma nell’assenza di criteri che permettano di distinguere la conservazione lecita da quella non più necessaria.
In una situazione di questo tipo, il nostro intervento professionale sarebbe diretto a ricostruire le categorie documentali, verificare gli obblighi applicabili e individuare le informazioni necessarie per eventuali controversie già esistenti. Particolare attenzione andrebbe riservata ai dati sanitari, alla documentazione disciplinare e agli archivi informatici, per i quali non possono essere applicate indiscriminatamente le medesime scadenze.
Sulla base della verifica, l’azienda potrebbe definire un piano di conservazione differenziato, attribuire responsabilità operative agli uffici interessati e organizzare la cancellazione delle informazioni prive di una finalità ancora legittima. Le eventuali eccezioni dovrebbero essere motivate e documentate, così da rendere verificabili le scelte effettuate anche in occasione di controlli o contestazioni.
Domande frequenti sulla conservazione dei dati degli ex dipendenti
L’azienda può conservare tutti i dati degli ex dipendenti per dieci anni?
No. Il termine decennale può essere giustificato per determinate categorie di documenti, in relazione a specifici obblighi normativi o esigenze di tutela dei diritti, ma non costituisce una regola generale applicabile a tutti i dati personali. L’azienda deve stabilire tempi di conservazione differenziati, verificando la finalità di ciascun trattamento e le disposizioni applicabili.
È necessario cancellare anche i dati conservati nei backup aziendali?
Anche i backup rientrano nella disciplina del GDPR quando contengono dati personali. L’impresa deve prevedere tempi di conservazione proporzionati, adeguate limitazioni degli accessi e procedure di eliminazione o sovrascrittura. Quando la cancellazione selettiva immediata non è tecnicamente praticabile, occorre valutare misure che impediscano utilizzi non giustificati e assicurino la successiva eliminazione dei dati secondo criteri documentati.
Si possono conservare i documenti di un ex dipendente se esiste una controversia di lavoro?
Sì, quando la conservazione è effettivamente necessaria per accertare, esercitare o difendere un diritto in sede giudiziaria. Occorre però individuare i documenti pertinenti alla controversia e limitare l’accesso alle persone autorizzate. L’esistenza di un contenzioso non giustifica automaticamente la conservazione indiscriminata di tutte le informazioni relative al lavoratore.
Chi deve stabilire i tempi di conservazione: l’azienda, il consulente del lavoro o il DPO?
La responsabilità delle decisioni sui trattamenti di propria competenza spetta al titolare del trattamento, normalmente il datore di lavoro. Il consulente del lavoro può fornire indicazioni sugli obblighi lavoristici, fiscali e contributivi, mentre il DPO, quando nominato, svolge le funzioni di consulenza e sorveglianza previste dall’articolo 39 GDPR. La presenza di professionisti esterni non esonera l’impresa dalle proprie responsabilità.
Un ex dipendente può chiedere quali dati l’azienda conserva ancora?
Sì. Attraverso il diritto di accesso previsto dall’articolo 15 GDPR, l’ex dipendente può ottenere le informazioni previste dalla norma sui trattamenti che lo riguardano, comprese, quando applicabili, le indicazioni sul periodo di conservazione o sui criteri utilizzati per determinarlo. L’azienda deve gestire la richiesta nei termini di legge, rispettando anche i diritti e le libertà di eventuali terzi coinvolti.
Conservazione dei dati degli ex dipendenti: richiedi una valutazione legale per la tua azienda
Conservare troppo a lungo i dati degli ex dipendenti può esporre l’impresa a contestazioni privacy; cancellarli senza aver verificato gli obblighi applicabili può compromettere la gestione di adempimenti e controversie. La soluzione richiede un esame concreto della documentazione, dei termini normativi, delle procedure HR e dei sistemi informatici utilizzati dall’azienda.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nella definizione dei criteri di conservazione e nella gestione delle criticità relative ai dati del personale cessato.
Se la tua azienda deve verificare i tempi di conservazione dei fascicoli degli ex dipendenti, riorganizzare gli archivi o affrontare una contestazione relativa al trattamento dei dati personali, richiedi una valutazione legale attraverso il modulo dedicato alla privacy aziendale e al GDPR. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento.
