Articolo a cura di: Redazione - Studio Legale Calvello

Quando un ex dipendente chiede all’azienda di cancellare tutti i suoi dati personali, il datore di lavoro deve verificare quali informazioni possono essere eliminate e quali devono essere conservate per rispettare obblighi di legge o tutelare i propri diritti. Il diritto alla cancellazione previsto dall’articolo 17 del GDPR non è assoluto: la cessazione del rapporto di lavoro non comporta automaticamente l’obbligo di distruggere ogni documento relativo al lavoratore.

La richiesta deve comunque essere esaminata e ricevere una risposta nei termini previsti dal Regolamento europeo, anche quando l’azienda ritiene di poter legittimamente conservare parte dei dati. Un rifiuto immotivato, una risposta tardiva o la cancellazione indiscriminata di documenti necessari possono esporre l’impresa a contestazioni e difficoltà nella gestione di eventuali controversie. Nei casi più delicati, soprattutto dopo un licenziamento o durante una vertenza, è opportuno valutare la richiesta con il supporto di un professionista esperto in privacy aziendale e diritto del lavoro.

Ex dipendente chiede la cancellazione dei dati: cosa deve fare subito il datore di lavoro

La richiesta può arrivare all’ufficio del personale, all’amministratore della società, al DPO oppure direttamente tramite una PEC inviata dall’ex lavoratore o dal suo avvocato. Talvolta contiene una formula generica, come «chiedo la cancellazione di tutti i miei dati personali dai vostri archivi», senza specificare quali documenti o sistemi informatici siano interessati. In altri casi riguarda espressamente email, fotografie, informazioni disciplinari, dati sanitari o documentazione conservata dopo il licenziamento.

Il primo adempimento consiste nel registrare la data di ricezione e individuare correttamente l’oggetto della richiesta. L’articolo 12, paragrafo 3, del Regolamento (UE) 2016/679 stabilisce che il titolare del trattamento deve fornire informazioni sull’azione intrapresa senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento. Nei casi di particolare complessità o in presenza di numerose richieste, il termine può essere prorogato di altri due mesi, informando l’interessato della proroga e dei relativi motivi entro il primo mese.

L’azienda non può ignorare la comunicazione soltanto perché proviene da un soggetto che non fa più parte dell’organizzazione. Né può pretendere automaticamente l’utilizzo di uno specifico modulo interno: il GDPR non subordina l’esercizio del diritto alla cancellazione all’adozione di un formulario predisposto dal datore di lavoro. Se sussistono ragionevoli dubbi sull’identità del richiedente, possono essere richieste le informazioni aggiuntive necessarie per verificarla, evitando acquisizioni documentali sproporzionate.

Una volta identificato il richiedente, occorre ricostruire dove siano effettivamente trattati i suoi dati. Le informazioni possono trovarsi nel fascicolo personale, nei sistemi di gestione delle paghe, nelle caselle di posta elettronica, negli archivi cartacei, nei gestionali HR e nelle piattaforme utilizzate dai fornitori esterni. La presenza di dati nei sistemi aziendali non significa però che tutti debbano essere cancellati: ogni categoria deve essere valutata in relazione alla finalità del trattamento, alla base giuridica e ai termini di conservazione applicabili.

Per esempio, il nominativo di un ex dipendente ancora pubblicato nella pagina dedicata al personale del sito aziendale può non avere più una finalità attuale. Diversa è la posizione dei documenti retributivi e contributivi che l’impresa deve conservare per obblighi normativi. Anche un’eventuale controversia giudiziaria può giustificare il mantenimento di informazioni pertinenti e necessarie alla difesa dei diritti aziendali.

La gestione della richiesta richiede quindi un coordinamento tra ufficio HR, amministrazione, responsabili IT ed eventuale DPO. Il titolare del trattamento resta responsabile della decisione e deve essere in grado di documentare le verifiche svolte. Per le imprese che non dispongono di procedure interne strutturate, il problema riguarda anche l’organizzazione dei flussi di lavoro, come approfondiamo nella guida sulla gestione della privacy e del GDPR nell’ufficio HR.

Quando l’azienda può rifiutare la cancellazione dei dati dell’ex dipendente

L’articolo 17 del GDPR riconosce all’interessato il diritto di ottenere la cancellazione dei dati personali quando ricorre una delle condizioni previste dalla norma. Tra queste rientrano il venir meno della necessità dei dati rispetto alle finalità originarie, il trattamento illecito e, nei casi applicabili, la revoca del consenso in assenza di un’altra base giuridica che consenta di proseguire il trattamento.

La cessazione del rapporto di lavoro può far venir meno alcune finalità, ma non tutte. Il datore di lavoro può rifiutare, integralmente o parzialmente, la cancellazione quando la conservazione è necessaria per adempiere un obbligo legale oppure per accertare, esercitare o difendere un diritto in sede giudiziaria, nei limiti dell’articolo 17, paragrafo 3, lettere b) ed e), del GDPR.

Un’impresa, ad esempio, non deve eliminare automaticamente contratti, documentazione retributiva, registrazioni contabili e informazioni contributive soltanto perché l’ex dipendente ne richiede la distruzione. Per tali documenti possono operare obblighi di conservazione derivanti dalla normativa fiscale, civilistica, previdenziale o lavoristica. Occorre identificare la disposizione applicabile e verificare se il relativo periodo di conservazione sia ancora in corso. Non esiste un unico termine valido per tutti i dati degli ex lavoratori.

Un’ulteriore situazione riguarda il contenzioso. Se un lavoratore ha impugnato il licenziamento, contestato il pagamento delle retribuzioni o avanzato pretese risarcitorie, l’azienda può avere necessità di conservare comunicazioni, documenti e informazioni pertinenti alla controversia. Il diritto alla difesa non autorizza però una conservazione illimitata di qualsiasi dato: devono essere valutate la pertinenza, la necessità e la durata del trattamento, anche in relazione ai termini di prescrizione e alle circostanze concrete.

Particolare attenzione richiedono i dati sanitari e le informazioni disciplinari. Si tratta di categorie di dati che, per ragioni differenti, possono comportare rischi elevati per la riservatezza del lavoratore. I dati relativi alla salute sono soggetti alle specifiche condizioni dell’articolo 9 del GDPR; la loro conservazione deve essere giustificata da obblighi o altre condizioni giuridiche applicabili e accompagnata da adeguate limitazioni di accesso. Per la documentazione disciplinare occorre invece verificare la persistente necessità rispetto alle finalità legittime, senza presumere che ogni precedente possa essere conservato indefinitamente.

La stessa distinzione vale per le informazioni presenti nei sistemi informatici. Un account non più necessario deve essere gestito secondo procedure coerenti con la cessazione del rapporto, mentre eventuali documenti aziendali contenenti dati personali dell’ex lavoratore richiedono una valutazione autonoma. La cancellazione di un account, la conservazione di documenti per finalità lecite e la gestione delle copie di sicurezza sono operazioni diverse, che non possono essere confuse in un’unica decisione.

Quando soltanto una parte delle informazioni deve essere eliminata, l’azienda può procedere a una cancellazione parziale, motivando la conservazione dei dati residui. Nei casi in cui ricorrano i presupposti dell’articolo 18 del GDPR, deve essere considerato anche il diritto alla limitazione del trattamento. La scelta non può dipendere esclusivamente dalla convenienza organizzativa del datore di lavoro: deve essere sostenuta da una base giuridica effettiva e documentabile.

La corretta gestione di queste situazioni presuppone che l’impresa abbia definito criteri di conservazione coerenti con i trattamenti svolti. Per approfondire tale profilo è disponibile l’articolo dedicato a quanto tempo conservare i dati degli ex dipendenti, distinto dal problema della risposta a una specifica richiesta di cancellazione.

Come rispondere alla richiesta di cancellazione: obblighi GDPR, verifiche e rischi per l’azienda

Una volta stabilito quali dati debbano essere cancellati e quali possano essere legittimamente conservati, l’azienda deve predisporre una risposta che dia conto delle decisioni adottate. Non è sufficiente comunicare genericamente che i dati sono stati eliminati o che la richiesta non può essere accolta: occorre distinguere le informazioni effettivamente cancellate da quelle mantenute, indicando per queste ultime le ragioni giuridiche che ne giustificano la conservazione.

Se la richiesta viene accolta, il titolare del trattamento deve assicurarsi che la cancellazione sia eseguita nei sistemi interessati, coinvolgendo le funzioni aziendali competenti e, quando necessario, i fornitori che trattano dati personali per suo conto. Se invece l’azienda decide di non procedere, in tutto o in parte, deve fornire una motivazione comprensibile e coerente con le eccezioni previste dal GDPR. L’articolo 12, paragrafo 4, stabilisce che, quando non viene dato seguito alla richiesta, l’interessato deve essere informato senza ritardo e comunque entro un mese dei motivi dell’inazione, nonché della possibilità di proporre reclamo a un’autorità di controllo e di esercitare un ricorso giurisdizionale.

La risposta deve essere formulata con particolare attenzione quando la richiesta proviene dall’avvocato di un ex dipendente coinvolto in una controversia lavoristica. Una comunicazione imprecisa potrebbe contenere dichiarazioni sulla conservazione o sull’eliminazione di documenti rilevanti per il contenzioso. Prima di rispondere è quindi opportuno coordinare la valutazione privacy con quella del professionista che segue la vertenza, evitando decisioni incompatibili con le esigenze di difesa dell’impresa.

Un altro aspetto riguarda i responsabili del trattamento nominati ai sensi dell’articolo 28 del GDPR. I dati dell’ex lavoratore potrebbero essere conservati presso il consulente del lavoro, un fornitore di servizi cloud o una società incaricata della gestione amministrativa del personale. L’azienda deve verificare i rispettivi ruoli privacy: quando il fornitore opera come responsabile del trattamento, occorre impartire le istruzioni necessarie affinché dia seguito alla cancellazione nei limiti applicabili. Se invece il soggetto tratta determinati dati come autonomo titolare, la sua posizione richiede una valutazione distinta.

L’articolo 19 del GDPR prevede inoltre, salvo le eccezioni stabilite dalla norma, che il titolare comunichi la cancellazione ai destinatari ai quali i dati personali sono stati trasmessi. L’obbligo non deve essere confuso con la possibilità di imporre indiscriminatamente la cancellazione a qualsiasi soggetto che abbia ricevuto informazioni sul lavoratore: occorre verificare la natura della comunicazione, il ruolo del destinatario e le eventuali autonome basi giuridiche del trattamento.

Particolari difficoltà possono emergere per i dati presenti nei backup aziendali. L’impossibilità tecnica di eliminare immediatamente una singola informazione da una copia di sicurezza non costituisce, da sola, una deroga al diritto alla cancellazione. L’impresa deve valutare soluzioni organizzative e tecniche adeguate, come la limitazione dell’accesso alle copie, la definizione dei cicli di sovrascrittura e le procedure che impediscano di reintrodurre stabilmente dati già cancellati qualora venga effettuato un ripristino. Le misure devono essere proporzionate alle caratteristiche dei sistemi e agli obblighi applicabili.

È altrettanto importante documentare le operazioni eseguite e le ragioni delle decisioni. Una registrazione interna della richiesta, delle verifiche, delle comunicazioni ai fornitori e della risposta trasmessa permette all’azienda di ricostruire la gestione del procedimento. Questa documentazione deve contenere soltanto le informazioni necessarie, essere accessibile ai soggetti autorizzati e avere un periodo di conservazione giustificato.

La mancata gestione della richiesta può determinare un reclamo al Garante per la protezione dei dati personali, ai sensi dell’articolo 77 del GDPR, oppure un ricorso giurisdizionale. La violazione dei diritti riconosciuti agli interessati può comportare l’applicazione del regime sanzionatorio previsto dall’articolo 83, paragrafo 5, del Regolamento. La sanzione non è automatica: l’autorità valuta le circostanze della violazione secondo i criteri previsti dalla normativa. Può inoltre sorgere una controversia risarcitoria ai sensi dell’articolo 82, quando ricorrano i relativi presupposti, compresi un danno risarcibile e il nesso causale con la violazione.

Quando l’ex dipendente ha già presentato un reclamo o l’azienda ha ricevuto una richiesta di chiarimenti dall’autorità, la questione richiede una gestione anche sul piano difensivo. Le modalità di interlocuzione con il Garante sono approfondite nell’articolo dedicato a come rispondere a una richiesta di informazioni del Garante Privacy. Per prevenire contestazioni analoghe, è utile che le imprese adottino una procedura interna che assegni responsabilità precise alla funzione HR, all’IT e agli eventuali consulenti privacy, prevedendo il coinvolgimento del DPO quando nominato.

Esempio pratico: richiesta di cancellazione dopo un licenziamento e documenti necessari alla difesa aziendale

Consideriamo il caso di una società che riceve dall’avvocato di un ex dipendente, recentemente licenziato, una richiesta di cancellazione integrale dei dati personali. La comunicazione riguarda il fascicolo del lavoratore, la corrispondenza aziendale e le informazioni conservate nei sistemi informatici. Nel frattempo, l’ex dipendente ha contestato il licenziamento e potrebbe promuovere un giudizio nei confronti della società.

In una situazione di questo tipo, l’intervento professionale consiste anzitutto nell’esaminare la richiesta e distinguere i dati non più necessari da quelli la cui conservazione è giustificata da obblighi normativi o da concrete esigenze di difesa. La verifica deve coinvolgere la documentazione amministrativa e quella pertinente alla controversia, senza estendere indiscriminatamente la conservazione a tutte le informazioni raccolte durante il rapporto di lavoro.

Particolare attenzione richiede la corrispondenza elettronica: occorre distinguere i dati personali dell’ex lavoratore dai documenti aziendali e verificare le modalità con cui le informazioni sono state acquisite e conservate, tenendo conto delle regole sulla riservatezza delle comunicazioni e sul controllo degli strumenti di lavoro. Non sarebbe corretto utilizzare la richiesta di cancellazione come occasione per effettuare un accesso indiscriminato alla precedente casella email del dipendente.

La gestione può quindi prevedere la rimozione delle informazioni prive di una finalità attuale, la conservazione selettiva della documentazione necessaria e una risposta motivata all’ex lavoratore, nella quale siano chiariti i limiti dell’accoglimento. Il caso mostra perché la cancellazione dei dati dopo un licenziamento richieda una valutazione coordinata tra GDPR e tutela giudiziaria dell’azienda, soprattutto quando sono già emerse contestazioni sul rapporto di lavoro.

Domande frequenti sulla richiesta di cancellazione dei dati di un ex dipendente

Un ex dipendente può chiedere la cancellazione dei dati anche diversi anni dopo la cessazione del rapporto?

Sì. Il diritto alla cancellazione può essere esercitato anche a distanza di anni, ma il suo accoglimento dipende dalla permanenza delle finalità del trattamento e dall’esistenza di obblighi o altre ragioni giuridiche che giustifichino la conservazione. L’azienda deve esaminare la richiesta alla luce della situazione esistente al momento in cui la riceve, verificando anche se siano scaduti i termini di conservazione applicabili.

L’azienda deve cancellare i dati anche se l’ex dipendente ha avviato una causa di lavoro?

Non necessariamente. L’articolo 17, paragrafo 3, lettera e), del GDPR consente di conservare i dati necessari per accertare, esercitare o difendere un diritto in sede giudiziaria. La presenza di una controversia non autorizza però a trattenere qualsiasi informazione: devono essere individuati i documenti pertinenti e valutata la durata della loro conservazione. I dati estranei alla controversia restano soggetti alle ordinarie regole sulla cancellazione.

Cosa succede se l’azienda non riesce a rispondere entro un mese?

Il GDPR permette di prorogare il termine fino a due ulteriori mesi quando ciò sia necessario per la complessità o il numero delle richieste. L’interessato deve essere informato della proroga e dei motivi entro il primo mese. Una proroga non comunicata tempestivamente non giustifica il ritardo. Se il termine è già scaduto, l’azienda deve intervenire senza ulteriore ritardo, ricostruire le ragioni dell’inadempimento e predisporre una risposta corretta, tenendo presente il possibile rischio di contestazioni.

Se i dati sono conservati dal consulente del lavoro, chi deve occuparsi della cancellazione?

Occorre distinguere il ruolo del consulente rispetto ai singoli trattamenti. Quando opera come responsabile del trattamento per conto dell’azienda, il titolare deve impartire le istruzioni necessarie e verificare che siano rispettate. Se il consulente tratta determinate informazioni come autonomo titolare, può avere obblighi propri di conservazione. La presenza di un fornitore esterno non esonera l’azienda dal gestire correttamente la richiesta per i trattamenti di cui è titolare.

È necessario rivolgersi a un avvocato per rispondere alla richiesta di cancellazione?

Non esiste un obbligo generale di assistenza legale per ogni richiesta. Il coinvolgimento di un avvocato esperto in GDPR può essere opportuno quando la cancellazione è contestata, sono presenti dati particolarmente delicati, esiste una controversia lavoristica oppure l’ex dipendente minaccia un reclamo al Garante Privacy. Una valutazione professionale consente di individuare le basi giuridiche applicabili e predisporre una risposta coerente con gli obblighi dell’impresa.

Richiesta di cancellazione dei dati di un ex dipendente: assistenza legale per la tua azienda

Se la tua azienda ha ricevuto una richiesta di cancellazione dei dati personali da un ex dipendente, è importante verificare quali informazioni debbano essere eliminate, quali possano essere conservate e come motivare correttamente la risposta. La valutazione diventa particolarmente delicata quando la richiesta segue un licenziamento, riguarda documenti necessari alla difesa aziendale oppure contiene una diffida o la minaccia di un reclamo al Garante Privacy.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza, assiste le imprese nella gestione delle problematiche relative al GDPR e alla privacy dei lavoratori, nell’esame delle richieste di esercizio dei diritti degli interessati e nella predisposizione delle risposte aziendali. Valutiamo la documentazione disponibile, gli obblighi di conservazione e gli eventuali profili di responsabilità, considerando le caratteristiche della singola situazione.

Per sottoporre il problema alla nostra attenzione, richiedi una valutazione legale sulla richiesta di cancellazione dei dati dell’ex dipendente attraverso il modulo dedicato. Esamineremo le informazioni trasmesse per valutare le possibili modalità di assistenza e ricontattare l’azienda.