Quali dati dei dipendenti può raccogliere un’azienda (e su quale base giuridica)

Quando un’azienda raccoglie dati dei dipendenti, la domanda corretta non è “posso farlo?”, ma “quali dati mi servono davvero per una finalità legittima e come dimostro che li tratto correttamente?”. È qui che, nella pratica, nascono gli errori più frequenti: moduli troppo invasivi, richieste “di routine” non necessarie, archiviazioni indefinite, controlli informatici impostati senza policy e senza informativa adeguata.

Il punto di partenza è semplice: nel rapporto di lavoro il consenso, molto spesso, non è la base giuridica giusta. Il motivo è strutturale: nel lavoro esiste uno squilibrio tra datore e lavoratore e quindi il consenso difficilmente è “libero” nel senso richiesto dal GDPR. Questo approccio è chiarito dal GDPR (considerando 43) ed è ribadito dalle autorità europee (WP29/EDPB) quando spiegano che il dipendente raramente è in posizione di poter rifiutare o revocare il consenso senza conseguenze .

“Nel rapporto di lavoro il consenso può non essere un valido fondamento giuridico, perché è improbabile che sia stato prestato liberamente in presenza di uno squilibrio tra le parti.”

La regola operativa: raccogliere per categorie, con finalità e base giuridica “tracciabili”

In termini concreti, i dati del dipendente che l’azienda può raccogliere si organizzano in macro-aree. L’approccio corretto è ragionare così: dato → finalità → base giuridica → tempi di conservazione → misure di sicurezza → chi può accedere.

Di seguito le principali categorie “lecite” (se gestite correttamente) e gli errori tipici da evitare.

1) Dati anagrafici e di contatto

Esempi: nome, cognome, codice fiscale, indirizzo, email/telefono (personali o aziendali), estremi documento, coordinate bancarie (IBAN).

• Perché si raccolgono: assunzione, gestione contratto, paghe, adempimenti fiscali e contributivi, comunicazioni organizzative.

• Base giuridica tipica: esecuzione del contratto e obblighi di legge (più che consenso).

• Rischio frequente: raccolta “a pacchetto” di contatti non necessari (es. numeri personali, contatti di familiari) senza una reale finalità.

2) Dati amministrativi, retributivi e di carriera

Esempi: inquadramento, mansioni, presenze, turni, ferie/permessi, note spese, valutazioni, provvedimenti disciplinari, scatti, benefit.

• Perché si raccolgono: gestione HR e organizzazione del lavoro, contabilità e adempimenti.

• Base giuridica tipica: contratto, obblighi di legge, legittimo interesse organizzativo (se ben bilanciato e documentato).

• Rischio frequente: documenti HR “onnivori”, pieni di informazioni non pertinenti, conservati senza regole di accesso interne.

3) Dati di sicurezza e tutela aziendale

Esempi: badge e log accessi, autorizzazioni, chiavi, registri visitatori, segnalazioni interne, misure antifrode, audit.

• Perché si raccolgono: sicurezza fisica e logica, prevenzione illeciti, protezione del patrimonio aziendale.

• Base giuridica tipica: obblighi di legge (sicurezza), legittimo interesse (se proporzionato), talvolta adempimenti organizzativi specifici.

• Nota importante: qui diventa essenziale dimostrare minimizzazione e limitazione della conservazione(principi GDPR). Se vuoi un riferimento pratico su questo approccio, puoi agganciare internamente il tema della minimizzazione richiamando il nostro approfondimento su principio di minimizzazione e limitazione della conservazione (utile anche come logica organizzativa, oltre che nel whistleblowing): https://www.studiolegalecalvello.it/whistleblowing-il-principo-di-minimizzazione-e-di-limitazione-della-conservazione-art-12-comma-1/

4) Dati “particolari” (ex sensibili): salute, idoneità, tutele, categorie protette

Esempi: certificati medici, dati su infortuni/malattia, idoneità alla mansione, disabilità, tutele ex legge 104, talvolta allergie se rilevanti per sicurezza/organizzazione (attenzione: sono dati sanitari).

Qui serve un livello di cautela superiore: non basta dire “ci serve”. Occorre verificare la specifica condizione di liceità prevista dal GDPR per i dati particolari e progettare un trattamento strettamente necessario, con accessi limitati e procedure chiare.

• Errore tipico n.1: chiedere diagnosi o dettagli clinici quando basta l’informazione minima necessaria (es. idoneità/assenza e durata, secondo i flussi corretti).

• Errore tipico n.2: far circolare dati sanitari tra uffici non autorizzati, o conservarli in cartelle condivise senza controllo.

5) Dati giudiziari (condanne, reati, carichi pendenti)

Sono dati altamente delicati e, in ambito lavorativo, si possono trattare solo in presenza di un fondamento normativo adeguato e con garanzie specifiche. Nella prassi, la regola è: si raccolgono solo quando una norma lo impone o lo consente davvero, e con una gestione “a compartimenti” (accessi ristretti, tracciati, conservazione limitata).

• Errore tipico: richieste “preventive” e generalizzate (es. certificati penali) per posizioni che non lo richiedono.

Come devono essere gestiti i dati dei dipendenti secondo il GDPR (obblighi concreti per il datore di lavoro)

Una volta chiarito quali dati dei dipendenti possono essere raccolti, il vero nodo operativo – e quello che più spesso genera contestazioni, ispezioni e sanzioni – riguarda come questi dati devono essere gestiti nel tempo. Nella nostra esperienza, molte aziende rispettano formalmente il GDPR “sulla carta”, ma falliscono nella gestione quotidiana: archivi disordinati, accessi non regolamentati, procedure mai aggiornate, informative consegnate ma non applicate.

Il GDPR, applicato al rapporto di lavoro, non chiede burocrazia fine a sé stessa, ma un sistema organizzativo coerente, in cui ogni trattamento sia comprensibile, tracciabile e difendibile. Questo vale a maggior ragione quando si parla di privacy dei dipendenti, perché il rischio di conflitto interno o di segnalazioni è strutturalmente più elevato.

Informativa privacy ai dipendenti: non è un modulo, è una responsabilità continua

Uno degli errori più diffusi è considerare l’informativa privacy dipendenti come un documento statico, consegnato all’assunzione e poi dimenticato. In realtà, l’informativa è il punto di raccordo tra ciò che l’azienda fa davvero e ciò che dichiara di fare.

L’informativa deve spiegare in modo chiaro:

• quali dati personali del dipendente vengono trattati

• per quali finalità concrete

• su quale base giuridica

• per quanto tempo vengono conservati

• chi può accedervi

• quali diritti può esercitare il lavoratore

Quando l’organizzazione evolve (nuovi software HR, smart working, badge, videosorveglianza, canali interni di segnalazione, nuovi flussi informativi), l’informativa deve essere aggiornata. Diversamente, il rischio non è solo formale: un’informativa non allineata ai trattamenti reali espone l’azienda a contestazioni dirette, anche in caso di segnalazioni interne. Non a caso, nei sistemi di whistleblowing correttamente strutturati, il tema della trasparenza informativa è centrale, come emerge chiaramente anche nei nostri approfondimenti sulla gestione e conservazione della documentazione e sulla riservatezza delle informazioni trattate.

Accessi ai dati e autorizzazioni interne: il problema invisibile che crea i danni maggiori

Un principio spesso sottovalutato è che non basta essere titolari del trattamento per “poter vedere tutto”. Il GDPR impone che i dati dei dipendenti siano accessibili solo a chi ne ha effettiva necessità, in funzione del ruolo ricoperto.

Questo significa, nella pratica:

• definire chi può accedere ai dati HR

• distinguere tra chi gestisce paghe, presenze, valutazioni, disciplinari

• limitare l’accesso ai dati sanitari a soggetti specificamente autorizzati

• tracciare gli accessi ai sistemi informativi

L’assenza di una chiara politica di autorizzazione al trattamento è una delle principali criticità che emergono in caso di controlli. Non è raro che dati personali dei lavoratori siano consultabili da più uffici “per comodità”, senza una reale necessità. Questo tipo di gestione è incompatibile con il principio di minimizzazione dei dati e con l’obbligo di sicurezza imposto dal GDPR.

Conservazione dei dati dei dipendenti: né troppo, né per sempre

Un’altra domanda ricorrente è: per quanto tempo posso conservare i dati dei dipendenti?. La risposta non è mai “finché possono servire”, ma è sempre collegata alla finalità del trattamento.

In ambito lavorativo, i tempi di conservazione variano:

• alcuni dati devono essere conservati per obblighi di legge (fiscali, contributivi, sicurezza)

• altri solo per la durata del rapporto di lavoro

• altri ancora per periodi limitati anche dopo la cessazione (es. tutela giudiziaria)

Il problema nasce quando tutto viene conservato indistintamente, senza una logica di scadenze. Questo è particolarmente rischioso per:

• dati disciplinari

• valutazioni

• segnalazioni interne

• documentazione sensibile

Su questo punto, il principio di limitazione della conservazione non è solo teorico, ma richiede decisioni operative chiare e documentate, come abbiamo approfondito anche in relazione ai flussi di segnalazione e alla gestione documentale in ambito organizzativo.

Sicurezza dei dati dei dipendenti: organizzazione prima della tecnologia

Quando si parla di sicurezza dei dati personali dei dipendenti, molte aziende pensano subito a firewall e antivirus. In realtà, la maggior parte delle violazioni nasce da errori organizzativi, non tecnologici: email inviate al destinatario sbagliato, cartelle condivise senza controllo, documenti stampati e lasciati incustoditi, password condivise tra colleghi.

Il GDPR richiede misure di sicurezza adeguate, non necessariamente sofisticate. Adeguate significa proporzionate al rischio e coerenti con la struttura aziendale. Anche in questo caso, la gestione dei dati dei dipendenti deve essere coerente con i principi di riservatezza e protezione dell’identità, che rappresentano un tema trasversale in tutti i contesti in cui si trattano informazioni interne sensibili.

In sintesi, una corretta gestione dei dati dei lavoratori non si esaurisce in un adempimento formale, ma richiede un modello organizzativo consapevole, capace di prevenire errori prima che diventino problemi.

Controllo dei dipendenti e privacy sul lavoro: cosa è lecito e dove iniziano i rischi

Quando si parla di privacy dei dipendenti, il tema del controllo è senza dubbio quello che genera più ricerche su Google, ma anche più errori nella pratica quotidiana. Le domande che riceviamo più spesso sono sempre le stesse: posso controllare le email aziendali? posso monitorare l’uso del computer? posso verificare gli accessi? posso installare sistemi di controllo?.

Il punto centrale è che il datore di lavoro non ha un potere di controllo illimitato, nemmeno quando mette a disposizione strumenti aziendali. Il GDPR, insieme alla normativa lavoristica, impone un equilibrio preciso tra esigenze organizzative e produttive e diritti fondamentali del lavoratore.

Strumenti di lavoro e dati personali: un confine spesso frainteso

Computer, email aziendali, smartphone, badge e software gestionali sono strumenti di lavoro, ma i dati che transitano su questi strumenti restano dati personali del dipendente. Questo significa che ogni forma di controllo deve essere:

• lecita

• necessaria

• proporzionata

• trasparente

Uno degli errori più comuni è ritenere che l’uso di strumenti aziendali legittimi automaticamente qualsiasi forma di monitoraggio. In realtà, anche quando l’azienda ha un legittimo interesse a tutelare il proprio patrimonio o a garantire la sicurezza informatica, non può introdurre controlli occulti o generalizzati.

Controllo delle email aziendali e della navigazione internet

Il controllo delle email aziendali dei dipendenti è una delle ricerche più frequenti in ambito “privacy sul lavoro”. La risposta non è mai un semplice sì o no. In linea generale:

• non è lecito un controllo sistematico e preventivo

• è necessario che il dipendente sia informato in modo chiaro

• il controllo deve essere limitato a casi specifici e giustificati

La gestione corretta passa sempre da una policy interna sugli strumenti informatici, coerente con l’informativa privacy e con le finalità dichiarate. Senza questo allineamento, il rischio non è solo privacy, ma anche probatorio: dati raccolti in modo scorretto possono diventare inutilizzabili in caso di contenzioso.

Monitoraggio, log e tracciamenti: attenzione alla proporzionalità

Badge, sistemi di accesso, registri di presenza, log di sistema e strumenti di sicurezza informatica sono spesso indispensabili per l’organizzazione aziendale. Tuttavia, il confine tra gestione e controllo è sottile.

Il GDPR richiede che:

• vengano raccolti solo i dati strettamente necessari

• i tempi di conservazione siano limitati

• gli accessi ai log siano ristretti e tracciati

È qui che entrano in gioco, in modo concreto, i principi di minimizzazione e limitazione della conservazione, che non sono concetti astratti ma criteri operativi per evitare accumuli inutili di informazioni sui dipendenti. La stessa logica è centrale anche nei sistemi di segnalazione interna, dove la gestione delle informazioni deve essere particolarmente attenta e strutturata, come emerge chiaramente anche negli approfondimenti che abbiamo dedicato alla tutela della riservatezza e alla protezione dell’identità dei soggetti coinvolti.

Videosorveglianza e controlli visivi: uno dei punti più critici

La videosorveglianza sul luogo di lavoro è un tema ad altissimo rischio, perché incrocia privacy, dignità del lavoratore e normativa lavoristica. Anche quando l’obiettivo dichiarato è la sicurezza o la tutela del patrimonio, l’installazione di telecamere non è mai una scelta neutra.

Dal punto di vista della privacy dei dipendenti:

• la videosorveglianza non può essere utilizzata per un controllo diretto dell’attività lavorativa

• deve essere sempre giustificata da esigenze reali e documentate

• richiede informative chiare e visibili

• deve rispettare tempi di conservazione ridotti

In assenza di una corretta progettazione del sistema, il rischio di violazione della privacy dei lavoratori è elevato, con possibili conseguenze sanzionatorie e reputazionali per l’azienda.

Il vero errore: controllare senza una cornice organizzativa

Il problema, nella maggior parte dei casi, non è il singolo strumento di controllo, ma l’assenza di una cornice organizzativa chiara. Senza:

• policy interne

• informative aggiornate

• autorizzazioni al trattamento

• procedure di gestione

anche un controllo nato per finalità legittime può trasformarsi in una violazione della privacy dei dipendenti.

Per questo motivo, una corretta gestione dei controlli è sempre parte di una strategia più ampia di compliance, che tenga conto non solo del GDPR, ma anche delle dinamiche interne all’organizzazione e dei possibili canali di segnalazione, tema che nel tempo ha assunto un ruolo centrale anche in ambito aziendale e pubblico.

Dati dei dipendenti dopo la cessazione del rapporto di lavoro: cosa conservare, cosa cancellare e perché è un passaggio critico

Uno dei momenti più delicati nella gestione della privacy dei dipendenti è la fase successiva alla cessazione del rapporto di lavoro. È qui che molte aziende abbassano la guardia, convinte che il problema “privacy” finisca con l’uscita del lavoratore. In realtà, accade l’opposto: il rischio aumenta, perché i dati restano, ma la finalità originaria del trattamento viene meno.

La domanda che emerge più spesso è: posso conservare i dati di un ex dipendente?. La risposta corretta è: sì, ma non tutti, non per sempre e non senza una regola chiara.

Trattamento dei dati degli ex dipendenti: il principio che cambia tutto

Quando il rapporto di lavoro termina, la base giuridica contrattuale cessa, ma non cessano automaticamente tutti gli obblighi dell’azienda. Alcuni dati devono essere conservati per obblighi di legge, altri per tutelare un legittimo interesse (ad esempio difesa in giudizio), altri invece non hanno più alcuna ragione di esistere negli archivi aziendali.

Il GDPR impone che ogni trattamento sia:

• limitato alle finalità

• proporzionato

• temporalmente giustificato

Questo significa che non esiste un “pacchetto unico” di dati da conservare dopo la cessazione, ma occorre distinguere.

Quali dati dell’ex dipendente possono essere conservati

In linea generale, è lecito conservare:

• dati amministrativi e retributivi necessari per obblighi fiscali e contributivi

• documentazione contrattuale e contabile

• dati utili per la gestione di contenziosi o richieste successive (entro limiti temporali coerenti)

In questi casi, la conservazione dei dati personali dell’ex dipendente non è una scelta discrezionale, ma una conseguenza di obblighi normativi o di esigenze di tutela giuridica.

Quali dati devono essere cancellati o anonimizzati

Al contrario, non è giustificata la conservazione indiscriminata di:

• valutazioni interne non più rilevanti

• note disciplinari superate

• dati sanitari non più necessari

• informazioni raccolte solo per l’organizzazione quotidiana del lavoro

Qui entra in gioco, in modo molto concreto, il principio di limitazione della conservazione, che impone all’azienda di chiedersi non “se può servire”, ma se serve ancora davvero. La mancata cancellazione o anonimizzazione di questi dati è una delle violazioni più frequenti riscontrate in caso di controlli.

Account, email e accessi dopo la cessazione

Un altro tema molto cercato riguarda email aziendali, account informatici e accessi ai sistemi dopo l’uscita del dipendente. Anche qui, la gestione deve essere pianificata prima, non improvvisata dopo.

Una gestione corretta prevede:

• disattivazione tempestiva degli accessi

• regole chiare sulla gestione dell’email aziendale

• eventuale reindirizzamento temporaneo solo se giustificato e documentato

• tracciabilità delle operazioni effettuate

Il rischio, in caso contrario, è duplice: violazione della privacy dell’ex dipendente e esposizione dell’azienda a responsabilità per accessi non autorizzati o trattamenti non leciti.

Il collegamento con segnalazioni interne e informazioni sensibili

La fase post-cessazione diventa ancora più delicata quando l’ex dipendente è stato coinvolto, direttamente o indirettamente, in segnalazioni interne o procedimenti sensibili. In questi casi, la gestione dei dati deve garantire livelli elevati di riservatezza, separazione delle informazioni e protezione dell’identità, secondo logiche organizzative che lo Studio ha già analizzato in modo approfondito trattando il tema della riservatezza e della protezione dell’identità nei flussi informativi interni.

Una conservazione disordinata o eccessiva di dati legati a queste dinamiche non è solo un problema di privacy, ma anche un fattore di rischio reputazionale e organizzativo.

Perché la fase “dopo” è quella che espone di più l’azienda

Dal punto di vista operativo, la gestione dei dati degli ex dipendenti è uno dei punti più vulnerabili della privacy aziendale. È frequente trovare archivi “storici” mai revisionati, accessibili a più soggetti, privi di criteri di cancellazione. Questo tipo di gestione non solo contrasta con il GDPR, ma rende l’azienda indifendibile in caso di contestazioni.

Una gestione consapevole dei dati post-cessazione dimostra invece:

• maturità organizzativa

• rispetto dei diritti dei lavoratori

• capacità di prevenire conflitti e segnalazioni

Ed è spesso proprio da qui che passa la differenza tra una semplice conformità formale e una compliance sostanziale, realmente efficace.

Un esempio concreto di vita aziendale e le domande più frequenti sulla privacy dei dipendenti

Per comprendere davvero quanto la gestione dei dati dei dipendenti incida nella vita quotidiana di un’azienda, è utile partire da una situazione reale, estremamente comune.

Immaginiamo una PMI con una decina di dipendenti. Nel corso degli anni l’azienda raccoglie dati anagrafici, documenti, certificati medici, valutazioni interne, email, registri presenze, accessi ai sistemi informatici. Nulla di anomalo. Il problema nasce quando nessuno si pone il tema di come questi dati vengono gestiti nel tempo. Le cartelle restano condivise, gli accessi non vengono mai rivisti, le informative non vengono aggiornate e, alla cessazione del rapporto di lavoro, i dati dell’ex dipendente rimangono esattamente dove erano prima.

Finché tutto fila liscio, nessuno se ne accorge. Poi accade qualcosa: una contestazione, una richiesta di accesso ai dati, una segnalazione interna, una verifica esterna. In quel momento, l’azienda si rende conto di non sapere chi tratta cosa, perché, da quanto tempo e con quali regole. È in questi casi che la privacy dei dipendenti smette di essere un tema teorico e diventa un problema concreto, spesso costoso.

Da qui nascono le domande che vediamo quotidianamente nelle ricerche online e nel confronto con imprenditori e datori di lavoro.

Domande frequenti sulla privacy dei dipendenti

1. Il datore di lavoro può trattare i dati personali del dipendente senza consenso?
Sì, nella maggior parte dei casi il trattamento dei dati dei dipendenti avviene sulla base del contratto di lavoro o di obblighi di legge, non sul consenso.

2. Quali dati del dipendente non possono essere richiesti dall’azienda?
Non possono essere richiesti dati non pertinenti alla finalità lavorativa, come informazioni sanitarie dettagliate, convinzioni personali o dati giudiziari non giustificati.

3. I dati sanitari dei dipendenti possono essere conservati?
Solo se strettamente necessari e con misure di protezione rafforzate. In molti casi è sufficiente l’idoneità alla mansione, non il dettaglio clinico.

4. Il datore di lavoro può controllare le email aziendali dei dipendenti?
Non in modo generalizzato o occulto. Il controllo deve essere limitato, trasparente e regolato da policy e informativa chiare.

5. È lecito monitorare l’uso del computer aziendale?
Solo se il monitoraggio è proporzionato, informato e finalizzato a esigenze organizzative o di sicurezza, non al controllo indiscriminato.

6. Per quanto tempo si possono conservare i dati dei dipendenti?
Per il tempo necessario alla finalità del trattamento. Alcuni dati per obblighi di legge, altri solo per la durata del rapporto.

7. Cosa succede ai dati dopo la cessazione del rapporto di lavoro?
Devono essere selezionati: alcuni conservati, altri cancellati o anonimizzati secondo criteri documentati.

8. Chi può accedere ai dati dei dipendenti in azienda?
Solo soggetti autorizzati, in base al ruolo e alla necessità operativa. L’accesso indiscriminato è una violazione del GDPR.

9. La mancata informativa privacy ai dipendenti è una violazione?
Sì. L’informativa è un obbligo essenziale e deve essere aggiornata rispetto ai trattamenti effettivi.

10. Quali sono i rischi per l’azienda in caso di gestione errata dei dati dei dipendenti?
Sanzioni, contenziosi, inutilizzabilità delle prove, danni reputazionali e conflitti interni.

Perché affrontare il tema prima che diventi un problema

La privacy sul lavoro non riguarda solo il rispetto formale del GDPR, ma la capacità dell’azienda di governare correttamente i rapporti interni. Una gestione trasparente e strutturata dei dati dei dipendenti riduce il rischio di contenziosi, migliora il clima aziendale e tutela il datore di lavoro nelle situazioni critiche.

Dal nostro punto di vista, maturato in oltre venticinque anni di attività professionale, le criticità più gravi nascono quasi sempre da sottovalutazioni iniziali, non da scelte consapevolmente scorrette.

Come possiamo supportarti

Ogni azienda presenta una propria struttura organizzativa, una storia e specifiche dinamiche interne. Per questo non esistono soluzioni privacy standard realmente efficaci. Analizzare in modo puntuale come vengono trattati i dati dei dipendenti, individuare le aree di rischio e impostare una gestione conforme al GDPR consente di prevenire criticità giuridiche, organizzative e reputazionali prima che emergano.

All’interno di questo percorso, Claudio Calvello svolge stabilmente il ruolo di DPO – Responsabile della Protezione dei Dati per numerose aziende e studi professionali, affiancandoli nella governance dei dati personali, nella gestione dei rischi e nel dialogo con le Autorità di controllo.

Se desideri un supporto professionale sulla privacy aziendale e sulla gestione dei dati dei dipendenti, puoi contattare direttamente lo Studio Legale Calvello tramite la pagina di consulenza: https://www.studiolegalecalvello.it/consulenza-studio-legale/