Privacy dei dipendenti come scudo legale: basi giuridiche corrette, sanzioni GDPR e tutela dell’impresa

C’è una domanda che nessun imprenditore si fa finché non arriva la lettera del Garante o la raccomandata dell’ex dipendente: la base giuridica che hai usato per trattare i dati dei tuoi lavoratori è quella giusta?

Nella maggior parte delle PMI italiane la risposta è no. Non per malafede, ma per un errore sistematico che si è radicato negli anni: il consenso del dipendente viene usato come base per ogni trattamento, si firma il modulo in fase di assunzione e si considera chiuso il capitolo. È esattamente questo che espone l’azienda.

Il GDPR — Regolamento UE 2016/679 — prevede sei basi giuridiche per il trattamento dei dati personali. In ambito lavoristico, il consenso è quasi sempre quella sbagliata. Non perché il Regolamento lo escluda in assoluto, ma perché l’Autorità Garante per la protezione dei dati personali ha chiarito, con provvedimenti aggiornati anche al 2025, che un consenso prestato da un dipendente nei confronti del proprio datore di lavoro non è mai un consenso libero. E un consenso non libero è un consenso invalido. Trattamento non conforme. Sanzione.

Le sanzioni del Garante non sono simboliche. Arrivano fino al 4% del fatturato mondiale annuo dell’esercizio precedente. Per una PMI da 5 milioni di euro, significa 200.000 euro di tetto massimo su una singola violazione. Ma la sanzione amministrativa è solo una delle voci del conto totale: si aggiungono il contenzioso giuslavoristico, i risarcimenti del danno, la responsabilità dell’amministratore e i costi di rimediazione. Su un singolo dipendente si supera facilmente i 150.000 euro di esposizione complessiva.

Questo articolo ti spiega il quadro completo dal punto di vista strategico: quali sono le basi giuridiche corrette in ambito lavoristico, come si trattano correttamente i dati comuni, particolari e giudiziari, quali diritti hanno i tuoi dipendenti e cosa succede se la richiesta di accesso viene gestita male, come funziona il sistema sanzionatorio del Garante, e perché la compliance privacy in azienda non è burocrazia — è uno scudo legale che, se manca, lascia l’impresa indifesa.

Il quadro normativo di riferimento è il Regolamento UE 679/2016 (GDPR), il D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018, e i provvedimenti dell’Autorità Garante per la protezione dei dati personali. Le considerazioni che seguono si basano sul webinar BC Formula del 29 aprile 2026 condotto dall’Avv. Massimiliano Montagner, legale specializzato in data protection e diritto del lavoro.

Che cosa si intende per dato personale e perché la distinzione tra dati comuni, particolari e giudiziari cambia tutto

Prima di ragionare sulle basi giuridiche, devi capire su cosa stai operando. Il GDPR definisce il dato personale all’articolo 4 come «qualsiasi informazione riguardante una persona fisica identificata o identificabile». Il termine “identificabile” è più ampio di quanto sembri: una persona è identificabile anche indirettamente, tramite numero di matricola, identificativo online, indirizzo IP.

L’Autorità Garante ha precisato in più occasioni che gli indirizzi IP utilizzati da un soggetto sono dati personali, perché consentono di risalire all’identità di chi navigava. Questo ha conseguenze dirette sulla gestione dei sistemi informatici aziendali, dei log di accesso e di qualsiasi strumento tecnologico fornito ai dipendenti.

Dati comuni

I dati comuni sono tutti i dati personali che non rientrano nelle categorie speciali (particolari) e non sono giudiziari. Nome, cognome, indirizzo di residenza, indirizzo email, numero di telefono, data di nascita, numero di conto corrente per il pagamento dello stipendio: sono tutti dati comuni. Non sono meno rilevanti sul piano della tutela — restano dati personali a tutti gli effetti e richiedono una base giuridica valida per essere trattati — ma il livello di misure di sicurezza richiesto è inferiore rispetto alle categorie seguenti.

Dati particolari (ex sensibili)

I dati particolari sono quelli che il GDPR identifica all’articolo 9. Prima dell’entrata in vigore del Regolamento si chiamavano “dati sensibili”. Sono:

• dati relativi alla salute (certificati medici, diagnosi, cartelle cliniche, informazioni su invalidità)
• dati biometrici (impronte digitali, riconoscimento facciale)
• dati genetici
• dati relativi all’origine razziale o etnica
• dati relativi alle opinioni politiche, alle convinzioni religiose o filosofiche
• dati relativi all’appartenenza sindacale
• dati relativi all’orientamento sessuale e alla vita sessuale

In ambito lavoristico questi dati emergono frequentemente: il certificato di malattia del dipendente contiene informazioni sulla salute, l’adesione a un sindacato è un dato sull’appartenenza sindacale, la richiesta di permessi per festività religiose può rivelare l’orientamento religioso. Il trattamento dei dati particolari richiede misure di sicurezza più elevate, una base giuridica specifica tra quelle previste dall’articolo 9 del GDPR (non il semplice articolo 6), e nella maggior parte dei casi la presenza di un fondamento normativo nazionale esplicito.

Dati giudiziari

I dati giudiziari riguardano condanne penali, reati, procedimenti penali in corso, misure di sicurezza. Non possono essere trattati liberamente: il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, subordina il loro trattamento all’autorizzazione del Garante o a disposizioni di legge che lo prevedano espressamente. In ambito lavoristico entrano in gioco, ad esempio, quando il datore di lavoro deve verificare l’assenza di condanne per determinate categorie di lavoratori (professioni regolamentate, operatori del settore finanziario, soggetti che lavorano con minori).

Perché la tripartizione conta nella pratica

A tipologie di dati diverse corrispondono obblighi diversi. Trattare dati particolari come se fossero dati comuni — senza le misure di sicurezza adeguate, senza la base giuridica specifica dell’art. 9, senza le policy interne necessarie — è una violazione autonoma che si aggiunge all’eventuale errore sulla base giuridica. In un’ispezione del Garante, questo tipo di sovrapposizione di violazioni produce sanzioni cumulate.

Nella gestione del personale, una PMI tratta quasi sempre dati di tutte e tre le tipologie. Il libro unico del lavoro contiene dati comuni (nome, retribuzione, orario). I certificati medici contengono dati particolari. Il Durc può far emergere informazioni sindacali. Sapere su quale piano si sta operando non è un esercizio accademico: è il punto di partenza per costruire una difesa solida.

Le basi giuridiche del trattamento: perché il consenso è quasi sempre sbagliato in ambito lavoristico

Questo è il cuore del problema. Il GDPR prevede all’articolo 6 sei basi giuridiche alternative e tra loro disgiunte: il trattamento è lecito se si fonda su almeno una di esse. Non è necessario raccogliere tutte le basi, ma è necessario identificare correttamente quella applicabile prima di avviare il trattamento.

Le sei basi sono:

1. Consenso dell’interessato
2. Esecuzione di un contratto di cui l’interessato è parte, o misure precontrattuali
3. Obbligo legale che grava sul titolare
4. Interessi vitali dell’interessato o di terzi
5. Compito di interesse pubblico o esercizio di pubblici poteri
6. Legittimo interesse del titolare o di terzi, bilanciato con gli interessi dell’interessato

In ambito lavoristico, le basi rilevanti sono la seconda, la terza e la sesta. La prima — il consenso — è quella che gli imprenditori usano di default e che l’Autorità Garante ha sistematicamente dichiarato inadeguata nel contesto del rapporto di lavoro.

Perché il consenso non funziona in ambito lavoristico

Il GDPR definisce il consenso valido come «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile» dell’interessato. La parola chiave è libera. Un consenso è libero quando l’interessato può rifiutarlo senza subire conseguenze negative.

In un rapporto di lavoro subordinato, questo equilibrio non esiste. Il dipendente si trova in una posizione asimmetrica rispetto al datore: il rifiuto del consenso potrebbe avere conseguenze reali o percepite sull’occupazione, sulle condizioni di lavoro, sulle prospettive di carriera. L’Autorità Garante — con un provvedimento del 2025 richiamato dall’Avv. Montagner nel webinar — ha confermato questo orientamento: anche quando formalmente il dipendente firma un modulo di consenso, quel consenso non può considerarsi libero in presenza di un rapporto di subordinazione.

Conseguenza pratica: se nelle informative che hai consegnato ai tuoi dipendenti hai indicato il “consenso” come base giuridica per trattamenti che avrebbero dovuto fondarsi su un’altra base, quei trattamenti non sono conformi. Non è una questione di forma — è la sostanza della liceità del trattamento. E un trattamento non lecito può portare a sanzione.

Questo errore è diffusissimo nelle PMI italiane. Si firma il modulo di consenso con il contratto di assunzione, si ritiene di aver adempiuto, e ci si dimentica che quel modulo non ha valore giuridico come base per i trattamenti ordinari del rapporto di lavoro.

Esecuzione del contratto di lavoro

La base corretta per la maggior parte dei trattamenti ordinari è la lettera b) dell’art. 6: la necessità di dare esecuzione al contratto di lavoro di cui il dipendente è parte. Questa base copre tutti i trattamenti strettamente necessari per eseguire le prestazioni contrattuali:

• elaborazione della busta paga (dati anagrafici, retribuzione, ore lavorate)
• gestione delle presenze e degli orari
• invio di comunicazioni interne di servizio
• gestione dei permessi e delle ferie
• valutazione delle performance, se contrattualizzata
• formazione obbligatoria prevista dal contratto o dalla legge

La base dell’esecuzione del contratto non richiede il consenso del dipendente: il trattamento è lecito perché è necessario per dare corso al rapporto contrattuale. Questo significa che non devi chiedere al lavoratore di firmare nulla per trattare questi dati — devi solo indicare correttamente questa base nell’informativa che gli consegni.

Adempimento di un obbligo legale

La lettera c) dell’art. 6 copre tutti i trattamenti necessari per rispettare obblighi di legge che gravano sul datore di lavoro. In ambito lavoristico questa base è fondamentale e copre un’area molto ampia:

• adempimenti fiscali (comunicazioni all’Agenzia delle Entrate, modello 770, CU)
• adempimenti previdenziali (INPS, INAIL, contributi)
• adempimenti assistenziali
• comunicazioni obbligatorie ai centri per l’impiego (assunzioni, proroghe, cessazioni)
• tenuta del libro unico del lavoro
• gestione della salute e sicurezza sul lavoro (D.Lgs. 81/2008)
• visite mediche obbligatorie

Anche qui: non serve chiedere il consenso. Il trattamento è lecito perché la legge lo impone. L’esempio più chiaro è la temperatura corporea misurata durante il Covid: la base giuridica non era il consenso del dipendente, ma l’obbligo derivante dai DPCM che imponevano quei controlli per l’accesso ai luoghi di lavoro. Chi in quel periodo ha chiesto il consenso ha sbagliato base giuridica.

Legittimo interesse del titolare

La lettera f) dell’art. 6 è la base più complessa e richiede una valutazione di bilanciamento. Il titolare può trattare dati in forza del proprio legittimo interesse, ma solo se quell’interesse prevale sugli interessi, i diritti e le libertà fondamentali dell’interessato. Il bilanciamento non è automatico: deve essere valutato caso per caso e documentato.

In ambito lavoristico il legittimo interesse trova applicazione principalmente nei cosiddetti controlli difensivi: accessi ai sistemi informatici aziendali effettuati per tutelare il patrimonio aziendale, per investigare su illeciti fondatamente sospettati, per proteggere informazioni riservate. Ma attenzione: il legittimo interesse come base per i controlli difensivi non è un lasciapassare. Funziona solo se il controllo rispetta condizioni molto precise che la giurisprudenza ha progressivamente delineato e che approfondiamo nella sezione dedicata.

Il principio di accountability e la documentazione delle scelte

Il GDPR introduce all’articolo 5, paragrafo 2, il principio di accountability: il titolare è responsabile del rispetto dei principi del Regolamento e deve essere in grado di dimostrarlo. Questo significa che non basta fare le cose giuste — bisogna poter provare di averle fatte.

In pratica: la scelta della base giuridica per ogni categoria di trattamento deve essere documentata nel Registro delle attività di trattamento (art. 30 GDPR). Ogni modifica alle informative deve essere tracciata. Le valutazioni di impatto (DPIA) devono essere conservate. Le policy interne devono essere formali e firmate. Quando il Garante arriva — che sia con una richiesta di documentazione o con la Guardia di Finanza — trova un’azienda che ha pensato e documentato le proprie scelte, non una che risponde a memoria.

Come dice Montagner: in ambito privacy più scrivi, e lo fai in modo coscienzioso, meglio è. È uno di quegli ambiti in cui la documentazione non è burocrazia: è la tua difesa principale.

I diritti degli interessati e il caso delle richieste di accesso che costano 50.000 euro

I tuoi dipendenti — così come i tuoi ex dipendenti, i tuoi clienti persone fisiche, i tuoi fornitori persone fisiche — sono “interessati” nel senso del GDPR. In quanto tali, hanno diritti specifici nei confronti di chiunque tratti i loro dati. Come titolare del trattamento hai l’obbligo di rispettare questi diritti e di rispondere alle richieste entro i termini previsti.

I diritti degli interessati previsti dagli articoli 15-22 del GDPR sono:

• Diritto di accesso (art. 15): l’interessato può chiederti quali dati personali possiedi, per quali finalità li usi, con chi li condividi, per quanto tempo li conservi. Hai 30 giorni per rispondere, prorogabili di altri 60 in casi complessi.
• Diritto di rettifica (art. 16): se i dati sono inesatti, l’interessato può chiederti di correggerli.
• Diritto alla cancellazione — il “diritto all’oblio” (art. 17): in determinate condizioni l’interessato può chiederti di cancellare i suoi dati.
• Diritto alla limitazione del trattamento (art. 18): in determinate circostanze l’interessato può chiedere di sospendere il trattamento pur senza chiedere la cancellazione.
• Diritto alla portabilità dei dati (art. 20): l’interessato può chiederti di ricevere i propri dati in un formato strutturato e leggibile da macchina, per trasferirli a un altro titolare.
• Diritto di opposizione (art. 21): l’interessato può opporsi a determinati trattamenti, in particolare quelli basati sul legittimo interesse.
• Diritto di presentare reclamo all’Autorità Garante.

Il diritto di accesso: quello che non sembra pericoloso e lo è

Tra tutti i diritti degli interessati, il diritto di accesso è quello che genera più contenziosi in ambito lavoristico. Non è il diritto più “drammatico” sulla carta, ma nella pratica è quello che scatta più spesso, specialmente da parte di ex dipendenti che intendono raccogliere elementi per un contenzioso giuslavoristico o semplicemente verificare cosa l’azienda conserva su di loro.

Una compagnia assicurativa di dimensioni importanti si è vista infliggere una sanzione di 50.000 euro dal Garante per aver gestito male una singola richiesta di accesso da parte di un ex dipendente. Il caso, richiamato da Montagner nel webinar BC Formula, è diventato un riferimento preciso per capire cosa non fare.

La dinamica è questa: il dipendente aveva cessato il rapporto di lavoro e aveva esercitato il diritto di accesso ai propri dati personali, compresa la corrispondenza ricevuta sulla casella di posta aziendale (che aveva anche usato per comunicazioni personali). L’azienda, ritenendo di agire correttamente, ha acceduto alla casella dell’ex dipendente, ha letto le email, ha operato una selezione autonoma tra quelle che giudicava “personali” e quelle che giudicava “lavorative”, e ha risposto trasmettendo solo la parte che, secondo la propria valutazione, costituiva dati personali.

L’ex dipendente ha presentato reclamo al Garante. L’Autorità ha aperto l’istruttoria e ha stabilito che:

1. L’accesso unilaterale alla casella email da parte dell’azienda era di per sé una violazione, indipendentemente dall’obiettivo: la casella nominativa, anche con dominio aziendale, è assimilata al domicilio informatico e gode della stessa tutela della corrispondenza.
2. La selezione autonoma dei dati da trasmettere — decidere unilateralmente cosa fosse “personale” — non era conforme: il diritto di accesso si estende a tutti i dati personali, non a quelli che l’azienda ritiene rilevanti.
3. La sanzione di 50.000 euro è stata applicata in proporzione al fatturato della compagnia. Il principio è lo stesso per qualsiasi dimensione d’impresa.

Come si gestisce correttamente una richiesta di accesso da parte di un ex dipendente

La procedura corretta inizia molto prima della richiesta: al momento della cessazione del rapporto di lavoro.

Quando un dipendente lascia l’azienda — per dimissioni, licenziamento o scadenza del contratto — la gestione dei suoi dati deve seguire una sequenza precisa:

1. Disattivare immediatamente l’account email aziendale: non lasciarlo attivo, non lasciarlo accessibile internamente.
2. Impostare un messaggio di risposta automatica che informi i terzi della cessazione del rapporto e fornisca un contatto alternativo per le comunicazioni.
3. Non reindirizzare automaticamente le email in arrivo verso un altro indirizzo aziendale: il Garante ha dichiarato questa pratica illecita, perché il mittente non sa che le sue comunicazioni vengono dirottate a un terzo.
4. Definire i tempi di conservazione dei dati dell’ex dipendente sulla base della politica di data retention aziendale, tenendo conto dei periodi di prescrizione applicabili al rapporto (ordinariamente decennale per i rapporti di lavoro, ma spesso riducibile se non vi sono contestazioni pendenti).

Se arriva una richiesta di accesso da parte dell’ex dipendente, non accedere unilateralmente alla casella email per “filtrare” i dati. La gestione corretta prevede che l’accesso ai dati avvenga in modalità che rispettino la segretezza della corrispondenza, eventualmente con procedure in contraddittorio o con il supporto di un professionista qualificato che operi come intermediario tecnico.

Mancata risposta o risposta tardiva: cosa succede

Il GDPR impone di rispondere alle richieste degli interessati entro 30 giorni, prorogabili di 60 giorni per ragioni di complessità (ma la proroga va comunicata entro il primo mese). Se non rispondi, se rispondi in modo incompleto o se la risposta è tardiva senza motivazione valida, l’interessato può presentare reclamo al Garante. Il Garante può emettere un provvedimento correttivo — comprensivo di sanzione amministrativa — e può indicarti le misure da adottare.

Il mancato rispetto dei diritti degli interessati rientra nelle violazioni della seconda fascia sanzionatoria: fino a 20 milioni di euro o, se superiore, fino al 4% del fatturato mondiale annuo.

Il sistema sanzionatorio del Garante: come funziona davvero e perché il 4% non è un’ipotesi remota

La struttura sanzionatoria del GDPR è binaria. Esistono due fasce di sanzioni amministrative, che si applicano in base alla gravità della violazione.

Prima fascia (art. 83, par. 4 GDPR)

Fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente — si applica il maggiore. Riguarda violazioni di tipo organizzativo e procedurale:

• mancata tenuta del Registro dei trattamenti
• nomina non corretta del Responsabile del trattamento o del DPO
• mancata notifica di una violazione dei dati (data breach) al Garante entro 72 ore
• mancata o insufficiente valutazione d’impatto (DPIA) quando richiesta
• mancata cooperazione con l’Autorità di controllo

Seconda fascia (art. 83, par. 5 GDPR)

Fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente — si applica il maggiore. Riguarda le violazioni più gravi, quelle che toccano i principi fondamentali e i diritti degli interessati:

• assenza di base giuridica per il trattamento
• utilizzo di consenso non valido come base giuridica
• trattamento in violazione dei principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità
• mancato rispetto dei diritti degli interessati (incluso il diritto di accesso)
• trasferimento illecito di dati verso Paesi terzi
• violazione delle condizioni per il trattamento di dati particolari

Gli errori più diffusi nelle PMI — base giuridica sbagliata (consenso al posto del contratto o dell’obbligo legale), richieste di accesso gestite male, dati particolari trattati senza le misure adeguate — rientrano quasi sempre nella seconda fascia.

Come il Garante determina la sanzione effettiva

Il tetto del 4% è il massimo edittale: il Garante raramente lo applica per intero. La sanzione concreta viene calcolata tenendo conto di una serie di criteri elencati all’art. 83, par. 2 del GDPR:

• natura, gravità e durata della violazione
• carattere doloso o colposo
• misure adottate per attenuare il danno
• grado di responsabilità (presenza o assenza di adeguate policy)
• precedenti violazioni da parte dello stesso titolare
• categorie di dati coinvolti
• grado di cooperazione con l’Autorità
• notifica spontanea della violazione

Quest’ultimo punto è importante: chi si è dotato di un sistema privacy strutturato, chi documenta le proprie scelte, chi notifica spontaneamente un data breach, chi coopera con il Garante, chi adotta misure correttive prima che venga emesso il provvedimento — tutte queste condotte abbassano la sanzione. Non la azzerano, ma la riducono significativamente.

Al contrario, chi non aveva nulla — niente registro, niente informative aggiornate, niente policy, niente formazione — e viene trovato così in un’ispezione, parte dal massimo edittale e scende poco.

Il quadro sanzionatorio nella pratica per una PMI

Sui casi recenti relativi a violazioni in ambito lavoristico, la sanzione media si colloca tra 10.000 e 100.000 euro. Non si arriva al tetto, ma si arriva a cifre che per una piccola o media impresa possono equivalere al margine operativo di un intero esercizio.

E la sanzione del Garante è solo una componente del rischio complessivo. Le altre sono:

• Contenzioso giuslavoristico: se il trattamento illecito ha portato a un licenziamento o a un procedimento disciplinare, il provvedimento è nullo. L’azienda paga le retribuzioni arretrate, i contributi, le spese legali, l’eventuale reintegra.
• Risarcimento del danno: l’art. 82 del GDPR riconosce all’interessato il diritto al risarcimento del danno materiale o immateriale subito a seguito di una violazione. La giurisprudenza sta costruendo una casistica crescente.
• Responsabilità dell’amministratore: una sanzione rilevante è un danno patrimoniale alla società. Se l’organizzazione non aveva adottato adeguati assetti, l’amministratore può essere chiamato a rispondere.
• Ispezione a catena: il Garante può estendere il controllo ben oltre la violazione segnalata. Ciò che parte da una singola richiesta di accesso mal gestita può trasformarsi in un audit completo delle pratiche aziendali.

Come arriva il Garante: non sempre come ti aspetti

Una verifica fiscale segue procedure note, criteri di selezione tracciabili, tempi prevedibili. Un’ispezione del Garante può attivarsi in modo molto diverso:

• Su reclamo di un singolo dipendente o ex dipendente
• Su segnalazione di un sindacato
• Su segnalazione di un competitor o di un cliente
• D’ufficio, nell’ambito di campagne ispettive tematiche
• A seguito di un data breach notificato o emerso pubblicamente

Nella migliore delle ipotesi arriva una richiesta scritta di documentazione, con un termine per rispondere. Nella peggiore — e succede con frequenza crescente, come documenta Montagner nel webinar — arriva la Guardia di Finanza. Si siede accanto al server, inizia a copiare email, accede ai sistemi informatici. Quello che comincia come una piccola cosa, da una segnalazione apparentemente isolata, può ingigantirsi rapidamente fino a toccare piani penali e amministrativi.

Per questo la prevenzione non è opzionale. Non si può aspettare di vedere come va. Quando il Garante è già lì, l’unica cosa che conta è la documentazione che hai prodotto prima.

Un caso concreto da 50.000 euro: la compagnia assicurativa che ha sbagliato tutto cercando di fare la cosa giusta

Vale la pena tornare sul caso della compagnia assicurativa con più dettaglio, perché è esemplare proprio nella sua apparente normalità. Non si tratta di un caso di dolo, di negligenza grave o di comportamento apertamente illegale. Si tratta di un’azienda che ha cercato di fare la cosa giusta — rispondere a una richiesta di accesso — ma lo ha fatto nel modo sbagliato perché non aveva le procedure.

Ecco la sequenza degli errori che ha portato alla sanzione da 50.000 euro:

Errore 1: accesso unilaterale alla casella email dell’ex dipendente

L’azienda ha acceduto all’archivio dell’account email dell’ex dipendente per rispondere alla sua richiesta di accesso. L’obiettivo era lecito — fornire i dati personali — ma il mezzo era illecito. La casella email nominativa, anche se con dominio aziendale, è considerata dall’ordinamento italiano ed europeo un domicilio informatico. Accedervi, anche solo per “guardare”, è come aprire la posta fisica di qualcuno: richiede basi giuridiche specifiche e procedure formali.

Errore 2: selezione autonoma dei dati da trasmettere

L’azienda ha letto le email e ha deciso autonomamente quali fossero “personali” e quali “lavorative”, trasmettendo solo la prima categoria. Questo approccio è sbagliato per due motivi. Primo: chi decide cosa è “personale” di un dipendente non può essere il datore di lavoro, che è in conflitto di interessi. Secondo: il diritto di accesso si estende a tutti i dati personali trattati, non a quelli che il titolare considera rilevanti ai fini della risposta.

Errore 3: mancanza di procedure scritte sulla gestione della cessazione del rapporto

L’azienda non aveva policy interne che definissero cosa fare dell’account email al momento della cessazione del rapporto e come gestire le eventuali richieste di accesso successive. Senza procedure, ogni scelta diventa improvvisata. E le scelte improvvisate, in ambito privacy, tendono a generare violazioni.

Il principio che vale per ogni PMI

La compagnia assicurativa aveva un fatturato importante. Per essa, 50.000 euro erano una sanzione dolorosa ma sopportabile. Per una PMI da 3-4 milioni di euro di fatturato, una sanzione proporzionale significherebbe 60.000-80.000 euro. Per una PMI da 10 milioni, 200.000 euro di tetto massimo. Il principio applicato è identico indipendentemente dalla dimensione dell’impresa.

E il punto su cui insiste Montagner è questo: non è solo la sanzione. È il fatto che quell’ex dipendente potrebbe avere avuto accesso solo parziale ai propri dati — il che amplia il contenzioso. E il fatto che l’ispezione aperta su quella singola richiesta potrebbe aver fatto emergere altre violazioni, ampliando ulteriormente l’esposizione.

La domanda operativa per ogni imprenditore è semplice: hai una procedura scritta per gestire la cessazione del rapporto di lavoro dal punto di vista privacy? Sai cosa fare dell’account email di un dipendente il giorno dopo che lascia l’azienda? Sai come rispondere a una richiesta di accesso da parte di un ex collaboratore senza accedere unilateralmente alla sua casella? Se la risposta a una di queste domande è “no”, sei nella stessa posizione in cui era la compagnia assicurativa prima della sanzione.

Controlli difensivi, DPIA e accountability: i tre strumenti che trasformano il rischio in postura protettiva

Finora abbiamo visto cosa non fare e perché. Questa sezione è diversa: è il piano operativo di chi vuole costruire una difesa reale, non solo evitare l’errore ovvio. Tre strumenti — i controlli difensivi correttamente strutturati, la valutazione d’impatto (DPIA) e il principio di accountability — sono quelli che separano un’azienda che “ha firmato qualcosa” da un’azienda che ha uno scudo vero.

I controlli difensivi: quando puoi farlo e come non sbagliare

Il termine “controllo difensivo” non compare nel GDPR. È un’elaborazione della giurisprudenza giuslavoristica italiana — confermata dalla Corte di Cassazione e recepita nell’orientamento del Garante — che indica quella categoria di controlli effettuati dal datore di lavoro non per sorvegliare l’attività lavorativa ordinaria, ma per tutelare il patrimonio aziendale o per investigare illeciti già fondatamente sospettati.

La distinzione è importante perché l’art. 4 dello Statuto dei lavoratori (L. 300/1970) vieta i controlli a distanza sull’attività lavorativa, ma la giurisprudenza ha progressivamente ritagliato uno spazio per i controlli difensivi quando rispettano condizioni precise. Conoscere queste condizioni è la differenza tra un licenziamento che regge e uno che viene annullato in tribunale.

Le condizioni cumulative — devono essere tutte presenti, non basta una sola — sono:

• Fondato sospetto preesistente e documentato. Il controllo deve partire da un sospetto concreto, tracciabile e documentato. Non puoi prima accedere ai sistemi e poi costruire la giustificazione. Il Tribunale di Roma ha confermato in sentenza recente che il percorso inverso — accesso, poi sospetto — rende nullo il licenziamento. Il sospetto deve preesistere all’accesso, deve essere descritto in un documento interno datato, deve indicare chi lo ha rilevato, su quali basi e in quale momento.
• Policy aziendale preesistente consegnata al dipendente. Il dipendente deve aver ricevuto e firmato una policy sull’utilizzo degli strumenti informatici aziendali che preveda esplicitamente la possibilità di controlli difensivi in determinati casi. Senza questa policy, il dipendente ha una “legittima aspettativa di confidenzialità” sulla propria casella email e sui propri dispositivi aziendali. Anche se il sospetto è fondato, anche se l’illecito è reale, l’accesso senza policy preesistente è illecito.
• Autorizzazione ai sensi dell’art. 4 Statuto lavoratori. Se il sistema di controllo può generare la possibilità di sorveglianza a distanza dell’attività lavorativa (sistemi informatici, badge, software di monitoraggio), è necessario o un accordo sindacale con RSA/RSU o, in mancanza, l’autorizzazione dell’Ispettorato Territoriale del Lavoro competente. Questa condizione vale anche per i controlli difensivi quando lo strumento usato — ad esempio l’accesso ai log del server o al sistema di posta elettronica — ha natura di strumento di controllo a distanza.
• Controllo mirato, non massivo. Il controllo deve essere circoscritto al soggetto o al gruppo ristretto di soggetti su cui esiste il sospetto fondato. Non puoi scaricare le email di tutti i dipendenti per trovare “quello che sbaglia”. Il principio di minimizzazione del GDPR impone di acquisire solo i dati strettamente necessari a verificare il sospetto specifico.
• Rispetto del principio di proporzionalità. Anche quando tutte le condizioni precedenti sono soddisfatte, il controllo deve essere proporzionato alla gravità dell’illecito sospettato. Un accesso completo alla casella email per verificare se un dipendente ha ritardato di trenta minuti è sproporzionato. Un accesso mirato a specifiche comunicazioni con un competitor per verificare il sospetto di divulgazione di informazioni riservate può essere proporzionato.

Quando tutte queste condizioni sono soddisfatte, il controllo difensivo è lecito. I dati acquisiti sono utilizzabili in sede disciplinare e in un eventuale procedimento giudiziale. Il licenziamento che ne consegue regge. Se anche solo una condizione manca, l’intera costruzione cade: i dati diventano inutilizzabili, il licenziamento è nullo, l’azienda paga retribuzioni arretrate, contributi, spese legali, risarcimento del danno, e rischia la sanzione del Garante in parallelo.

Il punto che Montagner sottolinea nel webinar è questo: quando il sospetto è già concreto e l’imprenditore sente l’urgenza di agire, è già troppo tardi per costruire la policy. La policy deve essere lì da mesi o anni, firmata dal dipendente, in un cassetto. È l’unica cosa che permette di agire legalmente quando la situazione lo richiede. Costruirla sotto pressione, dopo che il problema è già emerso, non vale.

La valutazione d’impatto (DPIA): quando è obbligatoria e cosa produce

La Data Protection Impact Assessment — valutazione d’impatto sulla protezione dei dati — è prevista dall’art. 35 del GDPR. È obbligatoria quando un trattamento, in particolare se utilizza nuove tecnologie, è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

In ambito lavoristico, la DPIA è quasi sempre necessaria in questi casi:

• installazione di sistemi di videosorveglianza nei luoghi di lavoro
• adozione di sistemi di rilevazione biometrica delle presenze (impronte digitali, riconoscimento facciale)
• utilizzo di software di monitoraggio dell’attività sui dispositivi aziendali
• trattamento sistematico di dati sulla salute dei dipendenti (es. sistemi di gestione delle assenze per malattia con codici diagnostici)
• profilazione sistematica dei dipendenti (es. sistemi di valutazione delle performance basati su algoritmi)
• trattamento su larga scala di dati di categorie particolari

La DPIA non è un documento da produrre una volta e archiviare. È un processo: si identifica il trattamento e le sue caratteristiche, si valutano i rischi per i diritti degli interessati, si identificano le misure per mitigare quei rischi, si decide se procedere con il trattamento e con quali vincoli. Il documento che emerge da questo processo deve essere tenuto aggiornato.

Perché la DPIA conta strategicamente? Perché in un’ispezione del Garante, la presenza di una DPIA ben costruita dimostra che l’azienda ha valutato il rischio prima di avviare il trattamento, ha pensato alle conseguenze per i dipendenti, ha adottato misure proporzionate. È una delle prove più forti di accountability concreta. Al contrario, un’azienda che ha installato un sistema biometrico senza DPIA, anche se il sistema funziona perfettamente, sta violando l’art. 35 del GDPR: violazione di prima fascia, fino al 2% del fatturato.

Un caso concreto che Montagner cita nel webinar: un datore di lavoro ha installato un sistema di videosorveglianza ottenendo l’autorizzazione dell’Ispettorato Territoriale del Lavoro (adempimento giuslavoristico), ma non ha fatto nulla sul versante privacy — niente cartellonistica, niente informativa, niente DPIA. Quando c’è stato un incidente sul lavoro e la polizia giudiziaria ha chiesto le registrazioni, è emersa l’assenza degli adempimenti privacy. Il soggetto coinvolto ha presentato reclamo al Garante, l’autorità ha aperto l’istruttoria e la sanzione è arrivata. L’autorizzazione dell’Ispettorato non copre gli adempimenti GDPR: sono due piani normativi distinti che devono essere soddisfatti entrambi.

Il principio di accountability come difesa attiva

L’accountability è il principio che il GDPR introduce all’art. 5, par. 2: il titolare è responsabile del rispetto dei principi del Regolamento e deve essere in grado di dimostrarlo. Non basta fare le cose giuste: bisogna poter provare di averle fatte.

Questo principio cambia la logica della compliance. Non si tratta di seguire una checklist e poi sperare che nessuno controlli. Si tratta di costruire un sistema documentale che, in caso di ispezione o contenzioso, dimostri che l’azienda ha pensato ai rischi, ha preso decisioni ponderate, le ha scritte, le ha comunicate, le ha aggiornate nel tempo.

In pratica l’accountability si traduce in:

• Registro dei trattamenti aggiornato (art. 30 GDPR): mappa di tutti i trattamenti con finalità, basi giuridiche, categorie di dati, destinatari, termini di conservazione, misure di sicurezza.
• Informative specifiche e aggiornate: non template generici, ma documenti che riflettono i trattamenti effettivi dell’azienda, aggiornati ogni volta che cambia un trattamento rilevante.
• Policy interne firmate: utilizzo degli strumenti informatici, gestione dei dati particolari, procedure per la cessazione del rapporto di lavoro, procedura per la gestione delle richieste degli interessati.
• Documentazione delle decisioni: quando si decide di adottare un nuovo sistema, di prolungare i tempi di conservazione, di effettuare un controllo difensivo, la decisione va messa per iscritto con data, motivazioni e responsabile.
• Tracciabilità della formazione: chi ha partecipato, quando, su quali contenuti. La formazione senza documentazione è come non averla fatta.
• Procedure di data breach: il Garante deve essere notificato entro 72 ore da quando il titolare viene a conoscenza di una violazione dei dati. Senza procedure interne per rilevare e notificare un data breach, il rischio di violare il termine è altissimo.

Il Garante, come Montagner sottolinea esplicitamente nel webinar, tiene conto della documentazione prodotta dall’azienda sia per valutare la sanzione sia per valutare la buona fede del titolare. Un’azienda che ha fatto 96 ore di conservazione delle videoregistrazioni invece di 72, ma lo ha fatto scrivendo e motivando la scelta, si trova in una posizione radicalmente diversa da un’azienda che ha fatto lo stesso senza averci mai pensato. Nel primo caso il Garante prende atto della motivazione. Nel secondo, contestazione e sanzione.

La logica è la stessa che si applica alla verifica fiscale preventiva: chi si presenta a un controllo con la documentazione in ordine, le scelte tracciate, le motivazioni scritte, parte da una posizione di forza. Chi si presenta a mani vuote, cercando di spiegare a voce quello che avrebbe dovuto scrivere anni prima, part da una posizione di debolezza. Il principio di accountability è il GDPR che ti chiede esplicitamente di prepararti per il controllo prima che arrivi.

Gli errori più comuni nelle PMI italiane: quello che vediamo più spesso nelle informative e nelle policy

Nell’esperienza di chi lavora quotidianamente con imprenditori e PMI su questi temi, gli errori si ripetono con una certa sistematicità. Non sono errori gravi o dolosi: sono quasi sempre il prodotto di un adeguamento fatto male anni fa, di un consulente che ha copiato un template generico, di un’informativa firmata senza che nessuno la leggesse davvero. Ma gli effetti — in termini di esposizione al rischio — sono reali.

Errore 1: consenso usato come base giuridica per tutto

È l’errore più diffuso e il più pericoloso. L’informativa che viene consegnata al dipendente in fase di assunzione indica il “consenso” come base giuridica per l’elaborazione della busta paga, per l’invio di comunicazioni aziendali, per la gestione delle presenze. Il consenso firmato in quell’occasione è formalmente invalido come base giuridica per quei trattamenti, perché non è libero. E se non è valido, il trattamento non ha base giuridica. E se non ha base giuridica, è illecito.

Come correggerlo: rivedere le informative e identificare la base giuridica corretta per ogni categoria di trattamento. Per i trattamenti ordinari del rapporto di lavoro, la base è l’esecuzione del contratto o l’adempimento di un obbligo legale — non il consenso.

Errore 2: informativa generica e non aggiornata

Molte PMI hanno consegnato un’informativa ai propri dipendenti negli anni immediatamente successivi all’entrata in vigore del GDPR (2018-2019) e non l’hanno più toccata. Nel frattempo l’azienda ha cambiato strumenti, ha introdotto nuovi sistemi informatici, ha installato telecamere, ha adottato sistemi di rilevazione delle presenze, ha esternalizzato il servizio paghe, ha stipulato contratti con fornitori che trattano dati per conto suo. Nessuna di queste modifiche è mai stata riflessa nell’informativa.

Un’informativa che non rispecchia i trattamenti effettivamente svolti è un documento che non protegge nessuno — né il dipendente né l’azienda.

Errore 3: assenza di policy sull’utilizzo degli strumenti informatici aziendali

La policy sull’uso degli strumenti aziendali è il documento che regola come il dipendente può usare email aziendale, computer, connessione internet, smartphone fornito dall’azienda. Serve a due cose: informare il dipendente di quali sono le regole d’uso e informarlo della possibilità che l’azienda possa effettuare controlli in determinate circostanze.

Senza questa policy, il dipendente ha una legittima aspettativa di confidenzialità totale sulla propria casella email. Il che significa che, anche in presenza di un fondato sospetto e di un motivo serio, qualsiasi controllo effettuato senza quella policy preesistente è illecito. Come ha stabilito la Corte d’Appello di Milano in una sentenza recente richiamata da Montagner, un licenziamento fondato su accessi illeciti alla mail è un licenziamento nullo.

Errore 4: Registro dei trattamenti assente o incompleto

Il Registro delle attività di trattamento è obbligatorio per le aziende con più di 250 dipendenti, ma anche per quelle di dimensioni inferiori che trattano dati particolari o giudiziari (condizione che si verifica praticamente sempre in ambito lavoristico). Molte PMI non lo hanno, o lo hanno in forma incompleta.

Il Registro non è un adempimento burocratico: è la mappa dei trattamenti dell’azienda. Se non ce l’hai, non sai cosa stai facendo con i dati. E se non lo sai tu, figurarsi se riesci a spiegarlo al Garante.

Errore 5: data retention non definita

Per quanto tempo puoi conservare i dati di un ex dipendente? La risposta corretta dipende dal tipo di dato e dalla finalità. I dati fiscali e contabili seguono i termini di conservazione previsti dalle leggi tributarie. I dati relativi al rapporto di lavoro seguono i periodi di prescrizione applicabili (ordinariamente decennali). I dati delle candidature non andate a buon fine devono essere cancellati entro un termine ragionevole, a meno che il candidato non abbia prestato consenso a essere ricontattato.

La policy di data retention deve essere scritta, deve indicare per ogni categoria di dato il periodo di conservazione e la motivazione, e deve essere applicata concretamente — non solo dichiarata su carta. Conservare dati oltre il necessario, o non avere idea di per quanto li stai conservando, è una violazione del principio di minimizzazione e limitazione della conservazione.

Errore 6: istruzioni agli incaricati del trattamento mai fornite

L’art. 29 del GDPR stabilisce che chiunque tratti dati personali all’interno dell’organizzazione deve farlo solo su istruzione del titolare. In pratica: chi in azienda accede a dati personali dei dipendenti, dei clienti, dei fornitori, deve aver ricevuto istruzioni scritte su cosa può trattare, per quali finalità, con quali limiti.

Questo non significa solo i responsabili HR o l’amministrazione: significa anche il commerciale che ha accesso ai dati dei clienti, il magazziniere che gestisce le credenziali di accesso al gestionale, il responsabile IT che può vedere le email di tutti. Ogni persona che tratta dati deve aver ricevuto istruzioni formali. Chi gestisce la contabilità non ha motivo di accedere ai dati sulla salute dei dipendenti: il principio di minimizzazione vale anche internamente.

Come costruire la compliance privacy come scudo aziendale: cosa fare ora, passo dopo passo

La compliance privacy non è un obiettivo che si raggiunge una volta per tutte. È una postura, un sistema che viene costruito e mantenuto nel tempo. Ma ci sono passi concreti che puoi fare adesso per ridurre significativamente il rischio.

Passo 1: audit delle basi giuridiche

Prendi le informative che hai consegnato ai tuoi dipendenti e per ogni trattamento indicato verifica la base giuridica dichiarata. Se trovi “consenso” come base per trattamenti ordinari del rapporto di lavoro (busta paga, comunicazioni, gestione presenze), quella base deve essere corretta. Sostituiscila con la base giuridica corretta (esecuzione del contratto, obbligo legale) e aggiorna l’informativa.

Questo passaggio da solo rimuove una delle violazioni più diffuse e più facilmente contestabili.

Passo 2: aggiornamento delle informative

Un’informativa aggiornata deve indicare:

• l’identità e i dati di contatto del titolare del trattamento
• le finalità del trattamento e la base giuridica per ciascuna
• le categorie di destinatari dei dati
• l’eventuale trasferimento verso Paesi terzi
• i periodi di conservazione per categoria di dato
• i diritti dell’interessato e come esercitarli
• il diritto di presentare reclamo al Garante

L’informativa deve essere chiara, comprensibile, specifica. Non può essere un documento generico che vale per tutto: deve rispecchiare i trattamenti effettivamente svolti dalla tua azienda.

Passo 3: policy sull’utilizzo degli strumenti informatici

Redigi e consegna ai dipendenti una policy scritta che disciplini:

• l’uso dell’email aziendale (solo per finalità lavorative, o con limiti per l’uso personale)
• l’uso di internet, dei social media, di dispositivi aziendali
• la possibilità che l’azienda effettui controlli in presenza di fondato sospetto
• le modalità di accesso alla posta in caso di assenza prolungata del dipendente
• cosa succede all’account al momento della cessazione del rapporto

Questa policy serve a eliminare la “legittima aspettativa di confidenzialità” totale che, in sua assenza, il dipendente può rivendicare. Senza policy, ogni controllo è a rischio. Con una policy chiara, fondata su basi giuridiche corrette e consegnata al dipendente, l’azienda ha una base solida per eventuali controlli difensivi.

Passo 4: costruzione o aggiornamento del Registro dei trattamenti

Il Registro (art. 30 GDPR) deve contenere, per ogni attività di trattamento:

• le finalità del trattamento
• le categorie di interessati e di dati
• le categorie di destinatari
• i trasferimenti verso Paesi terzi
• i termini di conservazione
• le misure di sicurezza tecniche e organizzative

Il Registro è il documento più richiesto durante un’ispezione del Garante. Se non esiste o se è incompleto, è la prima cosa che emerge in negativo.

Passo 5: procedure per la cessazione del rapporto di lavoro

Definisci per iscritto la procedura da seguire quando un dipendente lascia l’azienda:

1. disattivazione dell’account email entro X giorni dalla cessazione
2. attivazione del messaggio di risposta automatica
3. eliminazione dell’accesso ai sistemi aziendali
4. gestione dei dati contenuti nei dispositivi aziendali restituiti
5. periodo di conservazione dei dati del dipendente e modalità di cancellazione al termine
6. procedura interna per la gestione delle richieste di accesso da parte di ex dipendenti

Passo 6: formazione del personale

Le informative e le policy scritte non servono a nulla se chi opera in azienda non le conosce. La formazione sul trattamento dei dati personali non deve essere un adempimento formale: deve produrre comportamenti concreti. Chi gestisce le risorse umane deve sapere cosa può e non può fare. Chi accede ai dati dei clienti deve sapere quali sono i limiti. Chi gestisce i sistemi informatici deve sapere come trattare i log e gli accessi.

La documentazione della formazione — chi ha partecipato, quando, su quali contenuti — è parte del sistema di accountability e abbassa la sanzione in caso di ispezione.

FAQ sulla privacy dei dipendenti, le basi giuridiche e le sanzioni del Garante

Posso chiedere il consenso al dipendente per trattare i suoi dati?

In via generale, no — o meglio, non come base giuridica per i trattamenti ordinari del rapporto di lavoro. L’Autorità Garante ha chiarito in modo sistematico che il consenso in ambito lavoristico non è libero, perché il dipendente si trova in una posizione di asimmetria rispetto al datore. I trattamenti ordinari (busta paga, presenze, comunicazioni) devono fondarsi sull’esecuzione del contratto o sull’adempimento di un obbligo legale. Il consenso resta utilizzabile in casi molto specifici, quando il trattamento va oltre le finalità del contratto e non è coperto da altre basi, ma deve essere gestito con estrema attenzione.

Qual è la differenza tra dati comuni, particolari e giudiziari?

I dati comuni sono tutti i dati personali che non rientrano nelle categorie speciali (nome, indirizzo, email, IBAN per il pagamento dello stipendio). I dati particolari (ex sensibili) sono quelli dell’art. 9 GDPR: salute, biometria, genetica, orientamento sessuale, appartenenza sindacale, convinzioni religiose/politiche/filosofiche, origine razziale. I dati giudiziari riguardano condanne penali e procedimenti penali. I dati particolari e giudiziari richiedono misure di sicurezza più elevate e basi giuridiche specifiche aggiuntive rispetto ai dati comuni.

Un ex dipendente può chiedermi di accedere a tutte le sue email aziendali?

Può esercitare il diritto di accesso ai propri dati personali, che include la corrispondenza ricevuta sulla casella aziendale se contiene dati personali che lo riguardano. Il titolare non può accedere unilateralmente alla casella e filtrare autonomamente i contenuti: il Garante ha sanzionato questa condotta (caso assicurativo da 50.000 euro). La procedura corretta prevede di gestire la richiesta senza violare il domicilio informatico del dipendente, eventualmente con il supporto di professionisti e procedure in contraddittorio.

Quanto può costare una sanzione del Garante per una PMI?

Il GDPR prevede due fasce: fino al 2% del fatturato per violazioni procedurali, fino al 4% per violazioni dei principi fondamentali. Il Garante raramente applica il massimo edittale, ma le sanzioni medie sui casi in ambito lavoristico si collocano tra 10.000 e 100.000 euro. Per una PMI, però, la sanzione è solo una delle voci: si aggiungono il contenzioso giuslavoristico (spesso attivato in parallelo), il risarcimento del danno all’interessato, la responsabilità dell’amministratore e i costi di rimediazione.

Cosa rischio se non ho il Registro dei trattamenti?

Il Registro è obbligatorio in forma scritta (anche elettronica) per le aziende con 250 o più dipendenti e per quelle di dimensioni inferiori che trattano dati particolari (condizione quasi sempre verificata in presenza di dipendenti, a causa dei certificati medici e dell’eventuale appartenenza sindacale). La mancata tenuta del Registro rientra nella prima fascia sanzionatoria (fino al 2% del fatturato). È anche il primo documento che viene richiesto in un’ispezione: non averlo è un segnale immediato di mancanza di accountability.

Posso controllare le email dei miei dipendenti?

Solo in presenza di condizioni cumulative molto precise: un fondato sospetto preesistente documentato, una policy aziendale sull’utilizzo degli strumenti informatici consegnata al dipendente che prevede esplicitamente la possibilità di controlli difensivi, un controllo mirato (non massivo né indiscriminato), il rispetto del principio di proporzionalità e minimizzazione, e il rispetto dei requisiti dell’art. 4 dello Statuto dei lavoratori (accordo sindacale o autorizzazione dell’Ispettorato del lavoro se il sistema genera la possibilità di controllo a distanza). L’assenza di anche una sola di queste condizioni rende il controllo illecito e i dati acquisiti inutilizzabili ai fini disciplinari, rendendo nullo l’eventuale licenziamento.

Se la compliance privacy è in regola, sono completamente al sicuro da sanzioni?

No — nessun sistema garantisce immunità assoluta. Ma la compliance privacy strutturata riduce significativamente il rischio e riduce l’entità delle eventuali sanzioni. Il Garante tiene conto delle misure adottate, della documentazione prodotta, della formazione effettuata, della collaborazione durante l’ispezione. Un’azienda che ha fatto le cose seriamente, pur avendo commesso un errore isolato, viene trattata in modo molto diverso rispetto a un’azienda che non aveva nulla. La compliance è uno scudo, non una garanzia.

Conclusione: la privacy dei dipendenti non è un costo, è un investimento in protezione aziendale

L’approccio che molti imprenditori hanno ancora sulla privacy è quello del costo da minimizzare: si fa il minimo indispensabile, si firma un modello trovato su internet, si aggiorna l’informativa solo quando qualcuno lo segnala come problema. Questo approccio funzionava forse dieci anni fa, prima del GDPR. Oggi non funziona più, e il costo di non aver investito emerge tutto insieme, quando è troppo tardi per fare prevenzione.

Il quadro che emerge dal webinar di Montagner è chiaro: le sanzioni del Garante sono parametrate al fatturato, non all’utile. Una singola violazione — la base giuridica sbagliata, la richiesta di accesso gestita male, la policy assente che rende nullo un licenziamento — può costare più del margine operativo di un intero anno. E la sanzione è solo una componente dell’esposizione complessiva.

Ma c’è un altro modo di leggere la stessa situazione. Un’azienda che ha costruito correttamente il proprio sistema privacy — informative aggiornate, basi giuridiche corrette, policy sugli strumenti informatici, Registro dei trattamenti, procedure per la cessazione del rapporto, formazione del personale — è un’azienda che:

• può effettuare controlli difensivi su dipendenti sospettati di illeciti senza rischiare che il licenziamento venga annullato
• risponde alle richieste di accesso degli ex dipendenti senza aprire contenziosi costosi
• affronta un’ispezione del Garante con documentazione in mano, non a mani vuote
• ha ridotto il rischio di data breach che attiva la notifica obbligatoria e l’esposizione pubblica
• ha un argomento concreto di valore nelle trattative commerciali con clienti che applicano standard privacy elevati

La compliance privacy non è burocrazia. È uno scudo legale. E come tutti gli scudi, costa costruirlo — ma non averlo costa molto di più.

Se vuoi capire qual è la situazione della tua azienda rispetto al trattamento dei dati dei dipendenti — informative, basi giuridiche, policy, Registro — BC Formula può aiutarti a fare una valutazione concreta, con numeri reali e azioni prioritarie. Parla con noi.

Approfondisci anche:

• Sanzioni GDPR per il datore di lavoro: casi reali del Garante e come evitarli
• Verifica fiscale preventiva: cosa controllano davvero e come prepararsi
• Crisi d’impresa e liquidità: perché utile e fatturato non bastano

Fonti istituzionali di riferimento:

• Autorità Garante per la protezione dei dati personali
• Regolamento UE 2016/679 (GDPR)
• D.Lgs. 196/2003 — Codice in materia di protezione dei dati personali