Perché la gestione della privacy dei dipendenti è particolarmente delicata

La privacy dei dipendenti è una delle aree più complesse della conformità aziendale, perché riguarda informazioni che il datore di lavoro tratta in modo quotidiano e continuativo. Non si parla solo di dati anagrafici o contrattuali, ma anche di informazioni su presenze, ferie, permessi, performance, comportamenti digitali, immagini captate da telecamere e perfino dati relativi allo stato di salute. Questa continuatività rende i trattamenti più delicati rispetto a quelli rivolti ai clienti o agli utenti esterni, che sono spesso episodici. Ciò significa che il datore di lavoro, essendo sempre Titolare del trattamento, deve garantire un livello di protezione dei dati costante, documentato e proporzionato ai rischi. Una violazione dei dati dei dipendenti, infatti, non produce solo sanzioni, ma può incidere sull’ambiente di lavoro, sulla fiducia interna e perfino sulla validità delle procedure disciplinari e dei controlli aziendali.

Quali dati può raccogliere l’azienda e quali sono vietati dal GDPR

ll GDPR consente al datore di raccogliere e trattare solo i dati strettamente necessari per finalità legittime: gestione del rapporto di lavoro, adempimenti fiscali e contributivi, sicurezza sul lavoro, tutela del patrimonio aziendale e organizzazione interna. Non è ammesso raccogliere informazioni superflue, e ancora meno è possibile raccogliere dati appartenenti a categorie particolari (salute, opinioni politiche, convinzioni religiose) se non in presenza di una base giuridica specifica prevista dalla legge. L’azienda, ad esempio, può richiedere il codice fiscale per la busta paga o i dati bancari per l’accredito dello stipendio, ma non può chiedere dettagli sulla vita privata del dipendente o informazioni sulla sua salute che non siano necessarie al medico competente. Il principio guida è quello di minimizzazione: ogni dato trattato deve essere dimostrabilmente utile e proporzionato rispetto alla finalità dichiarata.

L’informativa ai dipendenti: un obbligo essenziale e non una formalità

Il datore di lavoro è obbligato a fornire ai dipendenti un’informativa privacy chiara, completa e personalizzata, distinta da quella rivolta ai clienti. Non basta consegnare un documento generico: l’informativa deve spiegare quali dati sono trattati, per quali finalità, quali strumenti tecnologici vengono utilizzati, chi accede alle informazioni, se ci sono controlli sugli strumenti digitali, come vengono conservati i dati e quali diritti ha il lavoratore. L’informativa è fondamentale anche per rendere legittimi eventuali controlli: un controllo sugli strumenti di lavoro effettuato senza aver informato il dipendente può essere dichiarato illegittimo, con conseguente inutilizzabilità delle prove in sede disciplinare o giudiziaria. Senza un’informativa valida, l’intero trattamento è irregolare ai sensi dell’art. 13 GDPR.

Registro dei trattamenti, policy interne e documentazione: la base della compliance

Oltre all’informativa, l’azienda deve predisporre un Registro dei trattamenti che descriva in modo dettagliato tutte le attività che riguardano i dipendenti: paghe, selezione del personale, gestione delle assenze, videosorveglianza, email aziendale, smart working, valutazioni delle performance, utilizzo di software HR, conservazione dei fascicoli. A ciò si aggiungono le policy interne sull’uso degli strumenti digitali, sulla sicurezza informatica, sull’accesso remoto e sulla gestione dei documenti.
Questa documentazione non è opzionale: dimostra che il datore ha adottato misure adeguate e consente di difendersi in caso di ispezioni o contestazioni. Inoltre, quando l’azienda si affida a consulenti esterni (come chi gestisce le buste paga o i sistemi informatici), deve nominarli formalmente Responsabili del trattamento, definendo compiti e limiti.

Leggi la guida su come avere un registro dei trattamenti a norma di legge.

Controllo degli strumenti digitali: cosa può fare il datore e cosa non è mai consentito

Gestire computer, email aziendale, smartphone e software di lavoro è fondamentale per la sicurezza informatica, ma il datore deve rispettare limiti molto chiari. 

L’art. 4 dello Statuto dei Lavoratori vieta i controlli occultati o eccessivamente invasivi, imponendo che ogni forma di monitoraggio sia comunicata in anticipo, proporzionata allo scopo e supportata da adeguate misure tecniche. 

È legittimo verificare l’utilizzo anomalo della rete, controllare la sicurezza degli accessi o analizzare metadati quando serve per proteggere l’azienda. Non è invece legittimo leggere sistematicamente la posta elettronica del dipendente, accedere alle chat personali o utilizzare software che tracciano costantemente ogni attività svolta sul PC, se ciò non è giustificato e documentato. Anche un controllo lecito diventa illecito se non è stato comunicato.

Videosorveglianza nei luoghi di lavoro: cosa è consentito e cosa no

Le telecamere in azienda sono consentite solo se rispettano precise regole: cartelli visibili, informativa, tempi di conservazione limitati e, nei casi previsti, un accordo sindacale o autorizzazione dell’Ispettorato del Lavoro. Le riprese non possono essere dirette sui dipendenti per finalità di controllo dell’attività, salvo procedure specifiche e ben documentate. Installare telecamere senza rispettare questi adempimenti è uno degli errori più sanzionati dal Garante.

Dati sanitari dei dipendenti: chi può trattarli e come devono essere gestiti

I dati relativi alla salute del lavoratore sono tra i più protetti dall’intero impianto del GDPR. L’unico soggetto che può trattarli è il medico competente, che deve limitarsi a comunicare al datore solo la giudizio di idoneità, non dati clinici o diagnosi. L’azienda non può chiedere dettagli sulle malattie, né conservare certificati che riportano elementi sensibili. Anche il trattamento dei dati relativi a infortuni o idoneità deve avvenire seguendo protocolli strettamente regolati. Un errore molto comune consiste nel conservare copie dei certificati medici con dettagli sanitari non necessari: questo è vietato e può essere sanzionato.

Smart working, telelavoro e BYOD: nuovi rischi per la privacy interna

Il lavoro da remoto ha moltiplicato i rischi. Quando il dipendente lavora da casa, i dati aziendali possono essere trattati su reti domestiche non sicure o su dispositivi personali privi di adeguate misure di protezione. Per evitare problemi serve una policy specifica sul lavoro da remoto che disciplini connessioni VPN, password robuste, accesso ai documenti, divieto di condividere dispositivi, backup e uso di supporti esterni.
Il BYOD (Bring Your Own Device), se non regolato, può esporre l’azienda a data breach gravissimi, perché i dati dei dipendenti e dell’azienda finiscono su dispositivi al di fuori del controllo del datore di lavoro.

Per quanto tempo conservare i dati dei dipendenti: criteri e obblighi

La conservazione dei dati deve essere limitata al tempo necessario alle finalità del trattamento. Alcune informazioni, come buste paga e documenti fiscali, devono essere conservate per obbligo di legge per diversi anni; altri dati, come candidature e valutazioni temporanee, devono essere cancellati dopo un periodo molto più breve. Il problema nasce quando mancano regole interne: molte aziende tengono archivi di candidature per anni o conservano log informatici senza limiti di tempo, violando il principio di limitazione della conservazione. Una retention policy è indispensabile per garantire conformità e per evitare accumuli inutili di dati sensibili.

Cosa rischia l’azienda per gestione scorretta dei dati dei dipendenti

Le violazioni nella gestione dei dati dei dipendenti non sono solo un problema organizzativo: possono trasformarsi rapidamente in sanzioni molto costose. Il GDPR prevede due livelli di sanzioni:

• fino a 10 milioni di euro o fino al 2% del fatturato mondiale dell’azienda per violazioni “meno gravi”, come mancate informative, registro dei trattamenti assente, misure di sicurezza insufficienti, mancata nomina dei responsabili esterni;
• fino a 20 milioni di euro o fino al 4% del fatturato mondiale per violazioni “più gravi”, come trattare dati sanitari senza base giuridica, videosorveglianza illegittima, controlli occulti sui dipendenti o data breach non gestiti.

Queste sono le soglie massime. Ma quanto si rischia realmente? Ecco alcune misure “tipo” riscontrate nelle decisioni del Garante:

• aziende di piccole dimensioni: da 5.000 a 40.000 €, di solito per videosorveglianza irregolare, email controllate senza informativa o uso improprio dei dati sanitari;
• aziende medio-grandi: da 50.000 a 250.000 €, spesso per mancata protezione dei dati, data breach evitabili, o controlli aziendali invasivi non dichiarati;
• casi gravi con violazioni sistematiche: oltre 500.000 €, soprattutto se coinvolgono dati sanitari, monitoraggi nascosti o mancata cooperazione con il Garante.

A queste cifre si possono aggiungere i costi indiretti, spesso più pesanti della sanzione:

• indennizzi ai dipendenti che agiscono per violazione della privacy;
• invalidazione dei procedimenti disciplinari (con costi legali e rischio di reintegrazione);
• responsabilità per data breach con richieste di risarcimento;
• perdita di fiducia interna e danni reputazionali.

In sintesi: una gestione superficiale della privacy dei dipendenti può costare da poche migliaia a diverse centinaia di migliaia di euro, e nei casi peggiori raggiungere milioni, soprattutto per aziende strutturate.