Articolo a cura di: Redazione - Studio Legale Calvello

La gestione della privacy dei dipendenti impone al datore di lavoro obblighi precisi che riguardano l’intero rapporto lavorativo, dall’assunzione alla cessazione. Informative incomplete, accessi non autorizzati ai dati del personale, controlli informatici non correttamente regolamentati e conservazione eccessiva delle informazioni possono esporre l’azienda a contestazioni, provvedimenti del Garante Privacy e richieste di risarcimento. Per essere conforme al GDPR, l’impresa deve verificare quali dati raccoglie, per quali finalità li utilizza, chi può consultarli e quali misure sono necessarie per proteggerli. Quando la gestione del personale coinvolge più uffici, fornitori esterni o strumenti digitali, una verifica legale e organizzativa permette di individuare gli adempimenti mancanti e le modalità più appropriate per intervenire.

Quali obblighi privacy deve rispettare il datore di lavoro nella gestione dei dipendenti

Il datore di lavoro, normalmente titolare del trattamento dei dati personali dei propri dipendenti, deve organizzare la gestione delle informazioni nel rispetto del Regolamento (UE) 2016/679, del D.Lgs. 196/2003 e delle disposizioni applicabili alla tutela della riservatezza nei rapporti di lavoro. Gli obblighi non si esauriscono nella consegna di un’informativa al momento dell’assunzione: riguardano le operazioni quotidiane attraverso le quali l’azienda raccoglie, consulta, comunica, conserva e cancella i dati dei lavoratori.

Durante il rapporto lavorativo vengono trattate informazioni anagrafiche, contrattuali, retributive, fiscali e previdenziali. Possono essere presenti dati relativi alla salute, all’appartenenza sindacale o ad altre categorie particolari di informazioni, soggetti a condizioni di trattamento più rigorose. Per ciascuna attività l’impresa deve individuare una finalità determinata e un’idonea base giuridica, rispettando i principi di minimizzazione, esattezza, limitazione della conservazione e riservatezza. Il consenso del dipendente non rappresenta la soluzione ordinaria per legittimare questi trattamenti: molti derivano dall’esecuzione del contratto, da obblighi di legge o da altre basi giuridiche applicabili, mentre il consenso nel rapporto di lavoro richiede particolare cautela per lo squilibrio tra le parti.

Un primo adempimento consiste nel predisporre un’informativa privacy per i dipendenti che descriva effettivamente i trattamenti svolti, le relative basi giuridiche, i destinatari dei dati, i criteri di conservazione e le modalità di esercizio dei diritti. L’informativa deve essere comprensibile e aggiornata quando cambiano le attività aziendali. Un documento generico, copiato da un modello non adattato all’impresa, può omettere trattamenti effettuati attraverso software gestionali, sistemi di rilevazione delle presenze o servizi informatici. Per approfondire i requisiti documentali è possibile consultare la nostra analisi sulle informative privacy e sui contenuti necessari.

Il datore di lavoro deve inoltre definire chi può accedere alle informazioni. Gli addetti all’amministrazione del personale, i responsabili HR, i dirigenti e gli altri lavoratori che trattano dati per conto dell’impresa devono ricevere autorizzazioni e istruzioni coerenti con le rispettive mansioni. Non è corretto presumere che tutti i soggetti appartenenti alla struttura aziendale possano consultare indistintamente fascicoli personali, retribuzioni, documentazione sanitaria o provvedimenti disciplinari. L’accesso deve essere limitato alle informazioni necessarie per lo svolgimento delle funzioni assegnate.

Occorre poi verificare i rapporti con i soggetti esterni. Consulenti del lavoro, fornitori di software HR, gestori di servizi cloud e società incaricate di attività amministrative possono assumere ruoli differenti ai fini del GDPR. Quando operano come responsabili del trattamento per conto dell’azienda, è necessario disciplinare il rapporto mediante un accordo conforme all’articolo 28 del Regolamento. La qualificazione deve dipendere dalle attività effettivamente svolte, senza considerare automaticamente ogni fornitore un responsabile del trattamento. Sul punto abbiamo approfondito quali fornitori devono essere nominati responsabili del trattamento.

Questi adempimenti devono essere inseriti in un’organizzazione documentabile. Il registro delle attività di trattamento, quando richiesto dall’articolo 30 del GDPR, deve rappresentare correttamente anche i processi relativi al personale. Le misure di sicurezza devono essere proporzionate ai rischi, mentre le istruzioni operative devono essere conosciute da chi utilizza quotidianamente i dati. La nomina di un DPO non è automaticamente obbligatoria per qualsiasi datore di lavoro: va verificata sulla base delle condizioni previste dall’articolo 37 del GDPR e delle caratteristiche dei trattamenti effettuati.

Controlli sui lavoratori, strumenti aziendali e dati riservati: come organizzare una gestione conforme

Una delle questioni più delicate riguarda il rapporto tra poteri organizzativi del datore di lavoro e diritto alla riservatezza del dipendente. L’impresa può avere esigenze legittime di sicurezza, tutela del patrimonio, continuità operativa e verifica dell’esecuzione delle prestazioni. Queste esigenze non autorizzano però un monitoraggio indiscriminato dell’attività lavorativa. La liceità dei controlli deve essere valutata considerando congiuntamente il GDPR, la disciplina lavoristica e, in particolare, l’articolo 4 della Legge 300/1970.

Gli strumenti dai quali può derivare un controllo a distanza dell’attività dei lavoratori sono soggetti alle condizioni previste dallo Statuto dei lavoratori. Per gli impianti audiovisivi e gli altri strumenti contemplati dal primo comma dell’articolo 4, l’installazione richiede, nei casi previsti, un accordo sindacale oppure l’autorizzazione dell’autorità amministrativa competente. Una disciplina specifica riguarda invece gli strumenti utilizzati dal lavoratore per rendere la prestazione e quelli di registrazione degli accessi e delle presenze. Anche quando non è necessaria la procedura autorizzativa, restano applicabili gli obblighi di informazione, proporzionalità e protezione dei dati personali.

La gestione di email, computer e connessioni internet richiede particolare attenzione. L’assegnazione di un dispositivo aziendale non attribuisce al datore di lavoro un potere illimitato di consultare messaggi, file e cronologie di navigazione. Prima di attivare sistemi di registrazione o monitoraggio occorre verificare le finalità perseguite, la tipologia dei dati raccolti, la durata della conservazione, le persone autorizzate ad accedervi e le conseguenze che potrebbero derivare dall’utilizzo delle informazioni. Le regole operative devono essere rese conoscibili ai lavoratori mediante informative e istruzioni adeguate.

Abbiamo trattato separatamente i limiti relativi al controllo delle email aziendali dei dipendenti e alla verifica della navigazione internet durante il lavoro. Queste attività richiedono valutazioni specifiche, soprattutto quando i dati raccolti possono essere utilizzati per contestazioni disciplinari o per ricostruire il comportamento individuale del lavoratore.

Considerazioni analoghe riguardano le telecamere, i sistemi GPS installati sui veicoli aziendali, gli strumenti di rilevazione delle presenze e le piattaforme digitali che registrano le attività degli utenti. La presenza di funzionalità tecniche di monitoraggio all’interno di un software non significa che tutte possano essere legittimamente utilizzate. Prima dell’attivazione occorre esaminare la configurazione del sistema, le finalità del trattamento e gli eventuali adempimenti lavoristici. Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, deve essere effettuata una valutazione d’impatto ai sensi dell’articolo 35 del GDPR.

Un ulteriore ambito riguarda i dati sanitari. L’ufficio del personale può trattare le informazioni necessarie alla gestione delle assenze e degli obblighi connessi al rapporto di lavoro, ma non può acquisire indiscriminatamente diagnosi e documentazione clinica. Nei rapporti con il medico competente occorre rispettare la distinzione tra informazioni sanitarie riservate e giudizi di idoneità alla mansione comunicabili al datore di lavoro secondo la disciplina applicabile. L’accesso ai dati deve essere circoscritto alle persone autorizzate e la conservazione deve rispondere a esigenze giuridicamente giustificate.

La conformità dipende anche dalle modalità con cui queste regole vengono applicate. Un’azienda può disporre di informative formalmente corrette e continuare a presentare criticità se i fascicoli dei dipendenti sono accessibili a personale non autorizzato, se le credenziali dei gestionali vengono condivise o se i documenti degli ex lavoratori rimangono conservati senza criteri definiti. Per questo la verifica della privacy dei dipendenti deve riguardare le procedure effettivamente adottate, il funzionamento dei sistemi informatici e le responsabilità attribuite agli uffici, secondo un’impostazione coerente con la gestione GDPR dell’ufficio HR.

Responsabilità del datore di lavoro, controlli GDPR e conseguenze delle violazioni della privacy

Il rispetto della privacy dei dipendenti richiede che il datore di lavoro sia in grado di dimostrare la correttezza delle scelte organizzative adottate. Il principio di responsabilizzazione, previsto dall’articolo 5, paragrafo 2, del GDPR, impone al titolare del trattamento di documentare il rispetto dei principi applicabili. Per un’azienda significa poter ricostruire le ragioni per cui determinate informazioni vengono raccolte, le persone autorizzate a utilizzarle, le misure adottate per proteggerle e i criteri con cui vengono conservate o eliminate.

La verifica deve partire dai trattamenti effettivamente svolti dall’ufficio del personale. Occorre esaminare le informative consegnate ai lavoratori, le autorizzazioni interne, i rapporti con i fornitori, il registro delle attività di trattamento quando obbligatorio e le procedure utilizzate per gestire le richieste degli interessati. Particolare attenzione deve essere riservata ai sistemi informatici che consentono l’accesso ai fascicoli personali, alle informazioni retributive e ai documenti riservati. La presenza di credenziali individuali non è sufficiente quando i profili autorizzativi permettono di consultare dati estranei alle mansioni svolte.

Un problema ricorrente riguarda la conservazione dei dati dei dipendenti dopo la cessazione del rapporto di lavoro. L’azienda può essere tenuta a mantenere determinati documenti per obblighi fiscali, previdenziali, civilistici o per la tutela dei propri diritti, ma non può conservare indiscriminatamente tutte le informazioni senza individuare finalità e termini appropriati. È necessario distinguere i documenti soggetti a specifici obblighi di conservazione dai dati che hanno esaurito la propria utilità. La stessa attenzione deve essere riservata alla disattivazione degli account, alla gestione delle credenziali e all’accesso agli archivi degli ex lavoratori. Abbiamo approfondito separatamente le questioni relative alla privacy e all’accesso ai dati da parte degli ex dipendenti.

Le criticità possono emergere anche quando un lavoratore esercita i diritti previsti dagli articoli 15 e seguenti del GDPR. Una richiesta di accesso ai dati personali deve essere esaminata verificando quali informazioni riguardano effettivamente il richiedente, quali documenti possono essere comunicati e se occorra tutelare diritti e libertà di altre persone. Il termine ordinario per rispondere è di un mese dal ricevimento della richiesta, con possibilità di proroga di ulteriori due mesi nei casi previsti dall’articolo 12, previa comunicazione all’interessato entro il primo mese. Una richiesta proveniente da un dipendente o da un ex dipendente non dovrebbe essere ignorata né respinta automaticamente perché esiste una controversia lavorativa.

Quando il trattamento presenta irregolarità, le conseguenze dipendono dalla natura della violazione. L’utilizzo di sistemi di controllo non conformi alla disciplina lavoristica può comportare responsabilità ulteriori rispetto a quelle previste dal GDPR. L’accesso ingiustificato a informazioni riservate, la comunicazione illecita di dati sanitari o l’assenza di misure di sicurezza adeguate possono determinare reclami al Garante, accertamenti e, ricorrendone i presupposti, provvedimenti correttivi o sanzionatori. Il GDPR prevede, per determinate violazioni, sanzioni amministrative pecuniarie fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano massimali normativi, non sanzioni automaticamente applicabili a qualsiasi irregolarità. La valutazione deve considerare i criteri stabiliti dall’articolo 83 del Regolamento.

Una violazione può inoltre determinare richieste di risarcimento ai sensi dell’articolo 82 del GDPR, quando ricorrono un’infrazione del Regolamento, un danno materiale o immateriale e il necessario nesso causale. In presenza di un reclamo, l’azienda deve ricostruire i fatti, preservare la documentazione pertinente e verificare le procedure utilizzate, evitando interventi improvvisati che possano compromettere la ricostruzione dell’accaduto. Per le situazioni in cui il lavoratore abbia già contestato un trattamento, abbiamo dedicato uno specifico approfondimento al reclamo privacy del dipendente e alla difesa dell’azienda.

Un’ulteriore responsabilità riguarda gli incidenti di sicurezza. Se un soggetto non autorizzato accede ai dati del personale, se vengono smarriti documenti contenenti informazioni riservate o se un attacco informatico compromette la disponibilità o la riservatezza degli archivi HR, l’impresa deve valutare se si sia verificata una violazione dei dati personali ai sensi dell’articolo 4, punto 12, del GDPR. Quando la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, la notifica al Garante deve avvenire, ove possibile, entro 72 ore dalla conoscenza dell’evento. Se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati, salvo le eccezioni previste dall’articolo 34. L’obbligo di documentare le violazioni sussiste anche nei casi in cui non sia richiesta la notifica.

Per le imprese che non dispongono di un ufficio privacy strutturato, queste attività possono richiedere il supporto di un consulente GDPR o di un avvocato esperto in protezione dei dati personali. L’intervento professionale dovrebbe partire dall’esame dei processi esistenti e dalla definizione delle priorità di adeguamento, distinguendo le irregolarità che richiedono un intervento immediato dalle attività organizzative da programmare. Un audit privacy aziendale permette di verificare la corrispondenza tra documentazione, sistemi utilizzati e comportamenti effettivi, individuando le misure correttive proporzionate ai rischi riscontrati.

Un esempio pratico: riorganizzare la privacy dei dipendenti in un’azienda con procedure incomplete

Consideriamo il caso ipotetico di un’impresa con quaranta dipendenti che utilizza un gestionale per presenze e retribuzioni, affida le paghe a un consulente esterno e conserva i fascicoli del personale in un archivio digitale condiviso. Durante una verifica interna emerge che l’informativa privacy risale a diversi anni prima, alcuni responsabili di reparto possono consultare documenti non necessari alle proprie mansioni e non sono stati definiti criteri uniformi per la conservazione dei dati degli ex dipendenti.

In una situazione del genere, il nostro intervento professionale sarebbe diretto anzitutto a ricostruire i trattamenti effettivi e i relativi flussi informativi. Esamineremmo le basi giuridiche, i profili di accesso, i rapporti contrattuali con i fornitori e la documentazione consegnata ai lavoratori. Particolare attenzione richiederebbe la distinzione tra dati necessari all’amministrazione del personale e informazioni riservate accessibili soltanto a soggetti specificamente autorizzati. Sulla base delle criticità riscontrate, proporremmo l’aggiornamento delle informative, la revisione dei permessi informatici, la definizione dei tempi di conservazione e istruzioni operative per gli addetti. L’obiettivo sarebbe rendere coerenti le procedure documentate con il funzionamento concreto dell’organizzazione, prevedendo verifiche successive sull’applicazione delle misure adottate.

Privacy dei dipendenti: domande frequenti per il datore di lavoro

Il datore di lavoro deve chiedere il consenso ai dipendenti per trattare i loro dati personali?

Non necessariamente. Per i trattamenti necessari alla gestione del rapporto di lavoro, la base giuridica è generalmente costituita dall’esecuzione del contratto, dall’adempimento di obblighi di legge o da altre condizioni previste dal GDPR. Il consenso non è normalmente appropriato quando il dipendente non dispone di un’effettiva libertà di scelta, considerato lo squilibrio tra le parti. Per trattamenti ulteriori occorre individuare una base giuridica adeguata e verificare le condizioni specifiche applicabili.

Un’azienda con pochi dipendenti deve rispettare gli stessi obblighi privacy di una grande impresa?

Il GDPR si applica anche alle piccole imprese che trattano dati personali dei lavoratori. La dimensione aziendale può incidere sull’organizzazione degli adempimenti e, in determinate condizioni, sull’applicabilità di specifici obblighi documentali, ma non esonera dal rispetto dei principi di liceità, trasparenza, sicurezza e limitazione della conservazione. Anche un’impresa con pochi dipendenti deve fornire informative corrette, proteggere i dati e disciplinare gli accessi alle informazioni riservate.

Il datore di lavoro può utilizzare i dati raccolti attraverso strumenti aziendali per contestare un illecito disciplinare?

L’utilizzabilità delle informazioni dipende dalle modalità di raccolta e dal rispetto della disciplina applicabile. L’articolo 4, comma 3, dello Statuto dei lavoratori prevede condizioni specifiche relative all’adeguata informazione dei dipendenti sulle modalità d’uso degli strumenti e di effettuazione dei controlli, oltre al rispetto della normativa sulla protezione dei dati personali. La legittimità della raccolta e dell’utilizzo delle informazioni deve essere verificata nel caso concreto, anche alla luce della disciplina sui controlli difensivi.

Chi risponde se un dipendente accede senza autorizzazione ai dati personali di un collega?

La responsabilità deve essere valutata considerando le circostanze dell’accesso, le istruzioni impartite e le misure di sicurezza adottate. Il datore di lavoro, quale titolare del trattamento, deve predisporre misure tecniche e organizzative adeguate e limitare gli accessi ai dati in funzione delle mansioni. Un comportamento illecito individuale non determina automaticamente una sanzione per l’azienda, ma non esclude la necessità di verificare eventuali carenze organizzative e gli obblighi conseguenti a una violazione dei dati personali.

Quando conviene richiedere un audit GDPR sulla gestione dei dipendenti?

Una verifica è particolarmente opportuna quando l’azienda introduce nuovi software HR, modifica le procedure di controllo, esternalizza attività amministrative, aumenta il numero dei dipendenti o rileva documentazione privacy non aggiornata. L’audit può essere necessario anche dopo un reclamo, un accesso non autorizzato o una contestazione relativa al trattamento dei dati. L’esame deve riguardare sia gli adempimenti documentali sia le modalità concrete con cui il personale utilizza e protegge le informazioni.

Consulenza legale sulla privacy dei dipendenti e sugli obblighi del datore di lavoro

La gestione dei dati personali dei lavoratori richiede una valutazione coordinata degli obblighi GDPR, delle disposizioni in materia di lavoro e delle procedure effettivamente adottate dall’impresa. Informative incomplete, controlli non correttamente disciplinati, accessi eccessivamente estesi e conservazione irregolare dei dati possono richiedere interventi differenti in funzione delle caratteristiche aziendali e dei rischi riscontrati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica degli adempimenti privacy relativi ai dipendenti, nell’adeguamento della documentazione, nell’organizzazione delle procedure GDPR e nella gestione delle contestazioni. Valutiamo le problematiche specifiche dell’azienda per individuare gli interventi giuridici e organizzativi appropriati.

Se la vostra impresa deve verificare la conformità della gestione del personale, aggiornare le procedure privacy o affrontare una contestazione, richiedete una valutazione della situazione aziendale attraverso il modulo dedicato alla consulenza privacy e GDPR. Esamineremo la richiesta per verificare le esigenze rappresentate e le possibili modalità di assistenza professionale.