Aggiornato ad agosto 2026. La protezione dei dati nel lavoro non è un fascicolo da archiviare, ma un sistema di regole che accompagna ogni fase del rapporto: candidatura, assunzione, amministrazione, organizzazione, controllo, valutazione, cessazione e conservazione. Questa guida analizza gli obblighi dell’azienda verso lavoratori subordinati, quadri, manager, dirigenti, stagisti, somministrati e collaboratori esterni, coordinando GDPR, Codice privacy, Statuto dei lavoratori, indicazioni del Garante e disciplina dell’intelligenza artificiale.
Obblighi privacy per le aziende: risposta in sintesi
Il datore di lavoro può trattare soltanto dati adeguati, pertinenti e necessari, per finalità determinate e con una valida base giuridica. Deve informare gli interessati, definire ruoli e autorizzazioni, proteggere i dati, stabilire tempi di conservazione, gestire i diritti e documentare le scelte. Quando tecnologie o controlli possono incidere sulla dignità e sull’attività lavorativa, il GDPR non basta: occorre rispettare anche l’art. 4 dello Statuto dei lavoratori e le altre garanzie nazionali.
Indice della guida
- Fonti e principi
- Governance e ruoli
- Ciclo di vita dei dati
- Lavoratori, manager e collaboratori
- Controlli a distanza
- Email, Internet e dispositivi
- Videosorveglianza, GPS e biometria
- Recruiting, presenze e valutazione
- Intelligenza artificiale
- Smart working e BYOD
- Dati sanitari e sindacali
- Fornitori e trasferimenti
- Data breach
- Diritti e contenzioso
- Checklist
- FAQ
1. Il quadro normativo
La disciplina nasce dal Regolamento UE 2016/679 (GDPR), dal d.lgs. 196/2003 come modificato, dagli artt. 4 e 8 della legge 300/1970, dalle norme su salute e sicurezza, pari opportunità, trasparenza algoritmica e contratti. L’art. 88 GDPR consente regole nazionali più specifiche per il lavoro. Gli artt. 113 e 114 del Codice privacy richiamano le garanzie dello Statuto.
| Principio | Domanda operativa |
|---|---|
| Liceità e correttezza | Perché trattiamo questi dati e quale norma lo consente? |
| Trasparenza | La persona comprende davvero finalità, controlli e tempi? |
| Minimizzazione | Possiamo raggiungere lo scopo con meno dati? |
| Limitazione della conservazione | Esiste un termine motivato e applicato? |
| Integrità e riservatezza | Accessi, backup, cifratura e tracciamento sono adeguati? |
| Accountability | Siamo in grado di provare ogni scelta? |
Nel rapporto di lavoro il consenso è raramente la base migliore, perché lo squilibrio tra le parti può renderlo non libero. Normalmente rilevano obbligo legale, esecuzione del contratto e interesse legittimo, da selezionare trattamento per trattamento. Per dati sanitari, biometrici, sindacali o giudiziari servono anche le condizioni specifiche degli artt. 9 e 10 GDPR e della normativa nazionale.
2. Governance: titolare, DPO, HR, IT e fornitori
L’azienda è di regola titolare del trattamento. Il DPO, quando obbligatorio o designato volontariamente, informa, sorveglia e consiglia mantenendo indipendenza: non sostituisce il titolare. HR e IT devono ricevere istruzioni e autorizzazioni coerenti con le mansioni. Consulente paghe, medico competente, piattaforma HR, cloud provider e agenzia di recruiting vanno qualificati caso per caso come responsabili, autonomi titolari o contitolari.
- Registro dei trattamenti aggiornato e concreto.
- Politiche su strumenti, conservazione, accessi e incidenti.
- Nomine e istruzioni agli autorizzati.
- Contratti ex art. 28 GDPR con responsabili verificati.
- Privacy by design nei nuovi progetti.
- DPIA prima dei trattamenti ad alto rischio.
- Audit, formazione e disciplina delle violazioni interne.
3. Il ciclo di vita dei dati del lavoratore
Candidatura e selezione
Si raccolgono soltanto informazioni pertinenti alla posizione. Sono vietate indagini su opinioni politiche, religiose o sindacali e su fatti non rilevanti per l’attitudine professionale. Screening social e background check devono avere base giuridica, fonte affidabile, proporzionalità e informativa. I CV non selezionati non possono essere conservati indefinitamente.
Assunzione e gestione
L’informativa deve coprire amministrazione, payroll, previdenza, welfare, formazione, sicurezza, organizzazione e comunicazioni necessarie. I dati non vanno riutilizzati per finalità incompatibili. Il fascicolo personale deve essere accessibile solo a chi ne ha reale necessità.
Cessazione
Account e credenziali vanno disattivati; la posta non deve essere mantenuta attiva o consultata indiscriminatamente. È opportuno predisporre messaggio automatico, canali condivisi e passaggio di consegne. Documenti necessari alla difesa o agli obblighi legali possono essere conservati con accessi limitati e termini motivati.
4. Dipendenti, manager, dirigenti e collaboratori esterni
La qualifica elevata non elimina la privacy. Manager e dirigenti possono avere maggiore autonomia e accesso, ma restano interessati rispetto ai propri dati e autorizzati rispetto a quelli del team. Gli amministratori vanno qualificati secondo ruolo e rapporto. Somministrati, consulenti, agenti, partite IVA, stagisti e personale di appaltatori devono ricevere informazioni e credenziali proporzionate; l’azienda committente non può importare l’intero fascicolo del fornitore.
| Soggetto | Attenzione principale |
|---|---|
| Dipendente | Trasparenza, controlli, fascicolo e diritti |
| Manager | Accessi ai dati del team e valutazioni motivate |
| Dirigente | Riservatezza strategica senza rinuncia ai diritti |
| Collaboratore | Corretta qualificazione, accesso minimo e cancellazione |
| Personale in appalto | Riparto di ruoli tra committente e appaltatore |
5. Controlli a distanza: il doppio binario
Telecamere, software, GPS, badge e sistemi di sicurezza possono consentire controllo dell’attività. L’art. 4 dello Statuto ammette impianti dai quali derivi controllo a distanza solo per esigenze organizzative e produttive, sicurezza o tutela del patrimonio, previo accordo sindacale o autorizzazione amministrativa, salvo la disciplina degli strumenti di lavoro e di registrazione accessi. Per utilizzare i dati anche disciplinarmente occorrono preventiva informazione sulle modalità d’uso e dei controlli e pieno rispetto della privacy.
Un interesse aziendale reale non autorizza raccolta illimitata. Occorrono necessità, proporzionalità, configurazioni meno invasive, tempi brevi, accessi selettivi e tracciati. Controlli occulti sono eccezionali e non diventano leciti solo perché si sospetta un illecito.
6. Email, Internet, chat e dispositivi aziendali
La policy deve spiegare usi ammessi, margini personali, filtri, log, controlli, conservazione, gestione delle assenze e restituzione. Il documento del Garante del 6 giugno 2024 sui metadati email avverte che la raccolta generalizzata e prolungata può ricostruire relazioni e attività del dipendente. Il datore deve conoscere le impostazioni del provider cloud: delegare il servizio non significa delegare la responsabilità.
- Preferire controlli aggregati e avvisi preventivi.
- Evitare lettura sistematica di messaggi e chat.
- Separare sicurezza tecnica e valutazione disciplinare.
- Stabilire chi può aprire mailbox in caso di assenza e con quale procedura.
- Alla cessazione, disattivare l’account e gestire i contatti con risposta automatica.
7. Videosorveglianza, geolocalizzazione, badge e biometria
Telecamere
Servono finalità lecite, inquadrature limitate, cartelli, informativa di secondo livello, tempi di conservazione motivati, sicurezza e — quando applicabile — accordo sindacale o autorizzazione. Non si riprendono stabilmente postazioni, spogliatoi o aree di pausa senza presupposti eccezionali. Un provvedimento del Garante del 12 febbraio 2026 ha ribadito che usare immagini a fini disciplinari senza garanzie dell’art. 4 e adeguata informativa viola entrambe le discipline.
GPS e flotte
La localizzazione deve essere attiva solo quando necessaria, con separazione tra tempi di lavoro e vita privata, accessi limitati e conservazione breve. Nello smart working la geolocalizzazione sistematica del dipendente è normalmente sproporzionata.
Biometria
Impronte, volto e voce sono dati biometrici quando trattati per identificazione univoca. Il semplice risparmio organizzativo non basta. Occorrono specifica base normativa, necessità stringente, DPIA, misure rafforzate e valutazione di alternative meno invasive.
8. Presenze, produttività, valutazione e procedimenti disciplinari
I sistemi di rilevazione presenze devono registrare quanto serve, non ogni movimento. Dashboard di produttività, registrazioni di chiamate, screenshot, keylogging e classifiche individuali possono produrre sorveglianza continua e richiedono verifica rigorosa. La valutazione delle prestazioni deve usare criteri comprensibili, dati corretti e possibilità di contestazione.
Nei procedimenti disciplinari valgono pertinenza, minimizzazione e diritto di difesa. Non si allegano interi archivi quando bastano estratti. Informazioni sulle sanzioni non vanno diffuse oltre i soggetti necessari. L’utilizzabilità lavoristica di una prova e la liceità del trattamento sono questioni collegate ma non sovrapponibili.
9. Intelligenza artificiale e decisioni automatizzate
CV scoring, ranking, analisi delle performance, chatbot, people analytics e strumenti generativi richiedono inventario dei dati, verifica del fornitore, trasparenza, qualità, bias, sicurezza, supervisione umana e possibilità di contestare gli esiti. L’art. 22 GDPR tutela dalle decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi.
Il Regolamento europeo sull’IA considera ad alto rischio numerosi sistemi impiegati in occupazione e gestione dei lavoratori. Il Garante, nel maggio 2026, ha richiamato il divieto di sistemi destinati a dedurre o analizzare le emozioni nel lavoro e i rischi di report sullo stress ricavato dalle chat. Il consenso “volontario” del dipendente non rende automaticamente lecito ciò che invade la sfera emotiva.
10. Smart working, lavoro da remoto e BYOD
L’accordo e la policy devono disciplinare autenticazione, VPN, aggiornamenti, stampa, familiari, smarrimento, assistenza remota e disconnessione. Nel BYOD l’azienda deve separare area lavorativa e personale: la cancellazione remota non può travolgere foto e messaggi privati. Il monitoraggio della disponibilità non deve diventare presenza digitale continua.
11. Dati sanitari, disabilità, sindacato e whistleblowing
Il datore riceve normalmente giudizi di idoneità, non diagnosi. Certificati e informazioni su disabilità, maternità, infortuni e accomodamenti devono essere segregati e accessibili a pochissimi soggetti. Le trattenute sindacali e l’appartenenza associativa sono dati particolari. Le segnalazioni whistleblowing richiedono canali riservati, identità protetta, ruoli separati, conservazione limitata e divieto di ritorsione.
12. Consulenti, fornitori cloud e trasferimenti extra SEE
Prima di affidare dati a un fornitore si verificano affidabilità, localizzazione, sub-responsabili, cancellazione, incidenti, audit e assistenza sui diritti. Il contratto ex art. 28 deve essere concreto. Per trasferimenti verso Paesi terzi servono decisione di adeguatezza o garanzie appropriate, valutazione del contesto e misure supplementari quando necessarie.
13. Data breach e sicurezza
Una violazione può consistere in perdita, accesso, invio errato, cifratura da ransomware o indisponibilità. Ogni incidente va registrato. Se presenta rischio per le persone, il titolare notifica il Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore; se il rischio è elevato informa anche gli interessati, salvo eccezioni. Il responsabile informa tempestivamente il titolare.
14. Diritti di lavoratori e collaboratori
- Accesso ai dati e alle informazioni sul trattamento.
- Rettifica di dati inesatti.
- Cancellazione quando ne ricorrono i presupposti.
- Limitazione e opposizione nei casi previsti.
- Conoscenza della logica e intervento umano nelle decisioni automatizzate.
- Reclamo al Garante e tutela giudiziaria.
La richiesta di accesso può comprendere email, valutazioni, log e geolocalizzazioni riferibili all’interessato, nei limiti dei diritti altrui. L’azienda deve identificare il richiedente, cercare in modo ragionevole e rispondere normalmente entro un mese, documentando eventuali limitazioni.
15. Conservazione: niente numeri copiati senza ragione
Il retention schedule deve distinguere candidature, payroll, presenze, salute, disciplinare, contenzioso, log, video, email e whistleblowing. Il termine nasce da obblighi legali, prescrizione, finalità e rischio, non da formule generiche. Alla scadenza si cancella o anonimizza davvero, anche nei sistemi secondari secondo una procedura verificabile.
16. Checklist operativa per l’azienda
- Mappare dati, finalità, basi giuridiche, sistemi e destinatari.
- Aggiornare informative per dipendenti, candidati e collaboratori.
- Verificare policy su email, Internet, dispositivi e controlli.
- Controllare accordi sindacali o autorizzazioni ex art. 4.
- Ridurre privilegi e rivedere periodicamente gli accessi.
- Qualificare fornitori e aggiornare gli accordi ex art. 28.
- Definire tempi di conservazione e cancellazione.
- Eseguire DPIA per sorveglianza, biometria, IA e trattamenti ad alto rischio.
- Preparare procedura data breach e simulazioni.
- Formare HR, manager, IT e personale.
- Gestire ingressi, cambi ruolo e uscite con checklist.
- Audit annuale con piano di rimedio e responsabilità.
17. Casi pratici
Email dell’ex dipendente
L’account resta accessibile per mesi al responsabile. La soluzione corretta è pianificare il passaggio, disattivare l’account nominativo, attivare risposta automatica e trasferire documenti aziendali nei sistemi condivisi.
Telecamera usata per una sanzione
La telecamera era stata installata per sicurezza, ma mancavano accordo e informativa completa. Il filmato non diventa automaticamente lecito perché prova un’infrazione: vanno verificate entrambe le discipline.
GPS sull’auto del dirigente
Il tracciamento continua di sera e nei weekend. Occorrono disattivazione fuori servizio, finalità definite, accessi selettivi e conservazione limitata. Il ruolo dirigenziale non giustifica il controllo totale.
IA che classifica i candidati
HR riceve un punteggio senza spiegazioni. Prima dell’uso servono valutazione del rischio, trasparenza, test di bias, supervisione reale e possibilità di riesame umano.
Collaboratore esterno con accessi eccessivi
Il consulente vede l’intero database HR. Si applicano minimo privilegio, credenziali nominative, scadenza automatica, log e revisione contrattuale.
18. Domande frequenti
Serve il consenso del dipendente?
Di regola non è la base principale, perché può non essere libero. Va individuata la base corretta per ogni finalità.
L’azienda può leggere la posta elettronica?
Non sistematicamente. Servono finalità lecita, policy preventiva, proporzionalità e procedure rispettose della riservatezza.
Può controllare la navigazione Internet?
Solo nei limiti necessari, preferendo filtri e dati aggregati e rispettando Statuto e GDPR.
Le telecamere richiedono sempre accordo sindacale?
Quando può derivarne controllo a distanza dei lavoratori si applica la procedura dell’art. 4, salvo casi e strumenti disciplinati diversamente.
Quanto si conservano i filmati?
Per un periodo proporzionato alla finalità; tempi più lunghi richiedono una motivazione specifica.
Il GPS può restare acceso fuori orario?
Normalmente no, se rivela la vita privata e non esiste una necessità eccezionale e proporzionata.
Si possono usare impronte per le presenze?
Solo in presenza di rigorosi presupposti; la comodità non basta e vanno considerate alternative meno invasive.
Il manager può vedere tutti i dati del team?
No: accede soltanto a ciò che serve per le sue responsabilità.
Il collaboratore ha gli stessi diritti privacy?
I diritti del GDPR spettano anche al collaboratore; cambiano basi e contenuti del rapporto, non la dignità della persona.
Quando serve una DPIA?
Prima di trattamenti che possono presentare rischio elevato, specie sorveglianza sistematica, dati particolari, biometria o profilazione.
Il DPO autorizza i trattamenti?
No. Consiglia e sorveglia; le decisioni restano del titolare.
Una policy firmata rende lecito ogni controllo?
No. L’informazione è necessaria ma non sana un controllo privo di base o sproporzionato.
Il data breach va sempre notificato?
Va sempre documentato; la notifica dipende dal rischio per diritti e libertà.
La notifica è entro 72 ore?
Sì, quando dovuta, senza ingiustificato ritardo e ove possibile entro 72 ore dalla conoscenza.
Si può usare l’IA per valutare emozioni e stress?
Nel contesto lavorativo l’inferenza delle emozioni incontra un divieto europeo e gravissime criticità privacy.
19. Fonti ufficiali
- Regolamento UE 2016/679
- Codice in materia di protezione dei dati personali
- Statuto dei lavoratori
- Garante — metadati della posta elettronica
- Garante — videosorveglianza e uso disciplinare, 2026
- Garante — IA, emozioni e lavoro, 2026
Approfondimenti collegati
- Procedimenti disciplinari nel lavoro privato e pubblico
- Welfare aziendale
- Mobbing, straining e stress lavoro-correlato
- Obbligo di fedeltà e patto di non concorrenza
- Studio Colantonio — diritto del lavoro
Conclusioni
La conformità non consiste nell’accumulare moduli: richiede progettazione, proporzionalità e controllo continuo. L’azienda deve poter spiegare perché raccoglie un dato, chi lo vede, per quanto tempo lo conserva e quali garanzie proteggono la persona.
Avv. Roberto Colantonio — Avvocato del lavoro. La verifica di sistemi di controllo, policy HR e progetti di IA richiede il coordinamento tra diritto del lavoro, protezione dei dati, organizzazione e sicurezza informatica.
Contenuto informativo generale, non sostitutivo della consulenza sul caso concreto. Norme e orientamenti possono evolvere.