Pubblicato il

Email aziendale dell’ex dipendente: il Garante sanziona per 25.500 euro

Email aziendale ex dipendente: copertina sulla sanzione del Garante privacy da 25.500 euro

Un ex dipendente chiede all’azienda di sapere quali suoi dati personali ha trattato negli anni. La risposta completa arriva dopo nove mesi, quando ormai il Garante ha già aperto l’istruttoria. E nel corso delle verifiche emerge un secondo problema, che con il reclamo non c’entrava nulla: il regolamento interno prevedeva di tenere attiva per mesi la email aziendale dell’ex dipendente, con la possibilità per la società di leggerne i messaggi. Il conto finale è di 25.500 euro.

È il contenuto del provvedimento del Garante per la protezione dei dati personali n. 796 del 20 ottobre 2026 (doc. web n. 10313657), ordinanza ingiunzione nei confronti di Techpartner s.r.l., società con sede a Modena, segnalato nella newsletter dell’Autorità del 12 novembre 2026.

Come è nato il procedimento

Il lavoratore aveva inviato all’azienda, tramite il proprio legale, una lettera che conteneva molte contestazioni sul rapporto di lavoro e, al loro interno, una richiesta espressa di accesso ai propri dati personali trattati dal 2013, ai sensi dell’art. 15 del GDPR. La società aveva risposto pochi giorni dopo dichiarandosi disponibile, ma i documenti sono stati trasmessi soltanto ad aprile 2024, a fronte di una richiesta di fine luglio 2023, e solo dopo l’intervento dell’Autorità.

L’azienda si è difesa con due argomenti. Il primo: la richiesta era confusa in mezzo a tante altre questioni lavorative, ed era difficile riconoscerla come esercizio di un diritto privacy. Il secondo: i documenti più vecchi erano stati spostati per effetto di una fusione societaria ed era complicato recuperarli.

Il Garante li ha respinti entrambi. La richiesta richiamava espressamente la disciplina sulla protezione dei dati e, in ogni caso, il Regolamento non impone agli interessati una forma particolare per chiedere l’accesso, come chiarito anche dalle Linee guida EDPB 1/2022. Quanto alle difficoltà di reperimento, l’art. 12, par. 3, del GDPR consente di prorogare il termine di un mese di ulteriori due mesi, ma la proroga va comunicata all’interessato: un ritardo silenzioso resta una violazione. Per questo profilo la sanzione è stata di 9.500 euro.

Email aziendale dell’ex dipendente: cosa ha contestato il Garante

La parte più interessante del provvedimento riguarda la posta elettronica. Esaminando la documentazione prodotta, l’Ufficio ha trovato un regolamento interno che prevedeva di mantenere attiva per un periodo da tre a sei mesi la casella individuale del dipendente cessato, riservando alla società la facoltà di leggerne i messaggi per garantire la continuità dell’attività.

L’azienda ha provato a difendersi in due modi. Ha sostenuto che nella pratica le cose andavano diversamente da come era scritto nel disciplinare, e che comunque non risultavano segnalazioni o reclami dei dipendenti sulla gestione della posta. Ha aggiunto che al lavoratore uscente veniva chiesto di cancellare i messaggi privati, lasciando quelli professionali come patrimonio aziendale.

Nessuno di questi argomenti ha retto:

  • Il reclamo non delimita i poteri del Garante. L’Autorità ha ricordato di poter verificare la conformità dei trattamenti anche d’ufficio, richiamando l’art. 57 del GDPR, il proprio regolamento n. 1/2019 e l’ordinanza della Cassazione n. 40635 del 17 dicembre 2021. Un reclamo nato per un’altra ragione può quindi aprire la porta a contestazioni su aspetti mai segnalati da nessuno.
  • Il contenuto della posta resta corrispondenza. Messaggi e dati esteriori delle comunicazioni godono di una tutela di segretezza anche costituzionale (artt. 2 e 15 Cost.), e nel contesto lavorativo esiste una legittima aspettativa di riservatezza, già affermata nelle Linee guida del Garante del 2007 su posta elettronica e internet.
  • La continuità aziendale non passa dalla casella del singolo. Secondo il Garante, la conservazione dei documenti necessari all’attività va garantita con sistemi di gestione documentale, non con la posta elettronica, che per sua natura non assicura autenticità, integrità e reperibilità.
  • Le dichiarazioni difensive non bastano. La società ha affermato di aver ridotto il periodo a tre mesi e di aver adottato una nuova policy, ma non l’ha prodotta. Anche nella versione corretta descritta negli scritti difensivi, per l’Autorità restava l’idea di poter disporre del contenuto delle email dei dipendenti.

Il Garante ha considerato non conforme anche la consultazione della posta in caso di assenze improvvise e prolungate, così come prevista dal disciplinare aziendale. Ne è derivata la violazione dei principi di liceità, minimizzazione e limitazione della conservazione (art. 5, par. 1, lett. a, c ed e, del GDPR), sanzionata con altri 16.000 euro.

Perché il caso riguarda quasi tutte le aziende

Il provvedimento non riguarda un grande gruppo: nel quantificare le sanzioni il Garante ha tenuto conto delle condizioni economiche della società, che ha chiuso il bilancio 2025 in perdita. È una situazione in cui può trovarsi qualunque impresa con dipendenti e caselle di posta individuali.

Tre aspetti meritano attenzione. Il primo è l’origine: il procedimento nasce da una richiesta di accesso inserita in una lettera su questioni di lavoro, inviata tramite un legale. Il secondo è che la violazione più pesante non è stata quella denunciata, ma quella scoperta leggendo i documenti interni consegnati durante l’istruttoria: il disciplinare aziendale è diventato la prova a carico. Il terzo è che la gravità è stata qualificata come media e la violazione non è stata considerata “minore”, proprio perché toccava i principi generali del Regolamento e i diritti degli interessati.

Va detto per completezza che le altre doglianze del reclamante, sulla videosorveglianza aziendale e sulla comunicazione a terzi della convocazione a visita medica, sono state archiviate, così come la contestazione relativa all’art. 88 del GDPR e all’art. 114 del Codice privacy.

Le conseguenze oltre la sanzione

Oltre al pagamento, il Garante ha ordinato alla società di conformare entro 60 giorni i disciplinari sull’uso degli strumenti informatici, sia durante il rapporto di lavoro sia dopo la sua cessazione, e ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito come sanzione accessoria. Il nome dell’azienda, in altre parole, resta associato alla violazione in un documento pubblico e consultabile da chiunque.

Sono conseguenze che si sommano al costo del contenzioso con il lavoratore e che, in questo caso, sono nate in buona parte da un documento interno che l’azienda stessa ha consegnato all’Autorità. Sullo stesso tema abbiamo già esaminato i limiti al controllo della posta elettronica dei dipendenti e i termini per il riscontro al diritto di accesso ai dati personali, oltre alle contestazioni che arrivano quando manca un’informativa adeguata ai dipendenti.

Prima che la richiesta arrivi

Ogni cessazione di un rapporto di lavoro è un momento in cui regolamenti interni, caselle di posta e tempi di risposta vengono messi alla prova, come nel caso esaminato, da una persona assistita da un legale. Chi vuole sapere se il proprio disciplinare reggerebbe a una verifica come quella descritta può rivolgersi al nostro servizio di consulenza privacy, attivo per aziende ed enti in tutta Italia, oppure valutare l’affiancamento di un DPO esterno che segua nel tempo questi passaggi.

Se avete ricevuto una richiesta di accesso da un ex dipendente, o una lettera del Garante, il momento per esaminare documenti e scadenze è adesso: potete scriverci dalla pagina contatti per un primo esame della situazione.

Avv. Elio Errichiello

Pubblicato il

Al personale non è mai stato spiegato nulla: il documento che manca

Copertina dell'articolo sull'informativa ai dipendenti

Nei controlli sul trattamento dei dati in ambito lavorativo c’è un documento che viene chiesto prima di tutti gli altri, e che molto spesso o non esiste o risale all’assunzione del primo dipendente: l’informativa ai dipendenti. Non è un modulo da far firmare, è l’atto con cui il datore di lavoro dice al proprio personale quali dati tratta, perché, per quanto tempo e a chi li comunica. Quando manca, o quando dice troppo poco, tutte le altre difese dell’azienda diventano più fragili.

Che cosa deve contenere l’informativa ai dipendenti

L’articolo 13 del GDPR elenca ciò che va comunicato all’interessato nel momento in cui i dati sono raccolti presso di lui: identità e dati di contatto del titolare e, se designato, del responsabile della protezione dei dati; le finalità del trattamento e la base giuridica; l’eventuale legittimo interesse perseguito; i destinatari o le categorie di destinatari; l’eventuale intenzione di trasferire i dati verso un paese terzo e le relative garanzie. A questi si aggiungono il periodo di conservazione o i criteri per determinarlo, i diritti riconosciuti all’interessato, il diritto di proporre reclamo all’autorità di controllo, l’indicazione se il conferimento sia obbligatorio e le conseguenze del rifiuto, nonché l’esistenza di processi decisionali automatizzati.

Le informazioni devono essere fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. È proprio su questo requisito che molte informative aziendali mostrano la corda: un documento che riproduce gli articoli del Regolamento non informa nessuno.

Il punto dolente: il rapporto di lavoro genera trattamenti che nessuno ha censito

Un’azienda tratta i dati del personale molto più di quanto l’informativa racconti. Oltre alla gestione amministrativa e contabile, ci sono i sistemi che registrano accessi e presenze, gli strumenti informatici con i relativi log, la posta elettronica aziendale, gli impianti di videosorveglianza, i dispositivi di geolocalizzazione sui veicoli, i gestionali dei fornitori di servizi.

Ciascuno di questi trattamenti ha una disciplina propria — basti pensare ai limiti indicati dal Garante per il trattamento dei metadati della posta elettronica, alle contestazioni sulla geolocalizzazione dei veicoli aziendali o a quelle sulla videosorveglianza sul luogo di lavoro — e ciascuno va riflesso nell’informativa. Quando nell’istruttoria emerge un trattamento che il personale non conosceva, la contestazione sulla trasparenza si somma a quella sulla base giuridica.

L’informativa non è il consenso

Un equivoco tenace merita di essere sciolto: far firmare l’informativa non equivale a raccogliere un consenso, e nel rapporto di lavoro il consenso è una base giuridica fragile, perché lo squilibrio fra le parti ne mette in discussione la libertà. La maggior parte dei trattamenti connessi al rapporto si fonda su altre basi — l’esecuzione del contratto, l’adempimento di obblighi di legge, il legittimo interesse — e l’informativa serve a dichiararle, non a sostituirle.

Quanto si rischia

Le violazioni degli obblighi di informazione e dei diritti degli interessati rientrano nella fascia più severa dell’articolo 83, paragrafo 5, del GDPR: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Nella pratica la contestazione sulla trasparenza raramente arriva da sola: emerge in occasione di un reclamo di un lavoratore, di una verifica ispettiva o di una richiesta di accesso, e pesa sulla valutazione complessiva della condotta del titolare.

Da dove conviene partire

Rifare l’informativa senza prima sapere quali trattamenti esistono davvero significa riscriverla fra sei mesi. Il percorso utile è l’inverso: mappare i trattamenti del personale, allineare il registro dei trattamenti, sistemare la posizione dei fornitori e solo allora scrivere un’informativa che corrisponda alla realtà aziendale.

Lo studio segue aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli: il perimetro dell’attività è descritto nel servizio di consulenza privacy e nei pacchetti disponibili; per il contenzioso in materia di pubblico impiego e di procedimenti amministrativi si può consultare il sito dello studio legale.

Per sottoporre l’informativa in uso a un esame preliminare, i riferimenti sono nella pagina dei contatti.

Avv. Elio Errichiello

Pubblicato il

Chi tocca i dati in azienda, e con quali istruzioni

Copertina dell'articolo sugli autorizzati al trattamento dei dati e sulle istruzioni del titolare

Gli autorizzati al trattamento dei dati sono l’anello che nelle verifiche si rompe per primo. Il registro dei trattamenti c’è, l’informativa è pubblicata, il DPO è designato: poi si chiede chi, materialmente, apre quel gestionale, chi può esportare l’elenco clienti, chi accede alle cartelle condivise, e la risposta è un elenco di nomi che nessuno ha mai messo per iscritto. Da lì in avanti ogni altra misura diventa difficile da dimostrare.

Che cosa dice la norma, in sintesi

Il GDPR stabilisce che chiunque agisca sotto l’autorità del titolare o del responsabile e abbia accesso a dati personali non possa trattarli se non è istruito in tal senso dal titolare, salvo che lo richieda il diritto dell’Unione o degli Stati membri. La stessa regola è richiamata fra le misure di sicurezza che il titolare e il responsabile devono adottare.

Il Codice in materia di protezione dei dati personali completa il quadro, prevedendo che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate, che operano sotto la loro autorità.

Due conseguenze pratiche. La prima: l’autorizzato non è un titolare né un responsabile, e non assume una posizione autonoma; opera dentro il perimetro che qualcun altro ha disegnato. La seconda: quel perimetro deve esistere, essere documentato e corrispondere a ciò che accade davvero.

Autorizzati al trattamento dei dati: dove nascono le contestazioni

Gli scenari si ripetono con una costanza quasi monotona.

  • Designazioni assenti o generiche. Una lettera uguale per tutti, che ripete il testo della norma e non dice nulla su quali dati la persona può trattare e per fare che cosa.
  • Istruzioni scollegate dalla realtà. Il documento prevede che l’accesso sia limitato ai dati necessari; nei fatti ogni utente vede tutto, perché i profili del gestionale non sono mai stati configurati.
  • Credenziali condivise. Un unico utente per l’ufficio, usato da quattro persone. Quando si deve ricostruire chi ha fatto cosa, non lo si può fare, e l’assenza di tracciabilità pesa.
  • Nessuna revoca all’uscita. Il dipendente se ne va, l’account resta attivo. È una delle situazioni che emergono più spesso dopo un incidente.
  • Nessuna vigilanza. La designazione è stata firmata nel 2018 e non è stata più toccata, benché nel frattempo siano cambiati sistemi, mansioni e persone.

Perché pesa in un procedimento

Quando il Garante contesta un trattamento illecito o una misura di sicurezza inadeguata, l’assetto delle autorizzazioni è l’elemento su cui si misura l’effettività di tutto il resto. Le violazioni dei principi e delle condizioni di liceità, come quelle in materia di sicurezza, rientrano nelle fasce sanzionatorie dell’articolo 83 del GDPR, e la gradazione tiene conto del grado di responsabilità del titolare avuto riguardo alle misure tecniche e organizzative messe in atto.

Un elenco di autorizzati aggiornato, con profili coerenti e tracciabilità degli accessi, non elimina il rischio: cambia però radicalmente la posizione dell’ente nel procedimento. È la differenza fra un incidente accaduto nonostante le misure e un incidente accaduto perché non c’erano misure. Il punto lo abbiamo visto bene parlando di accessi forzati al dossier sanitario e, sul fronte della sicurezza, di password in chiaro e credenziali deboli.

Il confine con il responsabile esterno

Una confusione frequente riguarda la qualificazione dei soggetti esterni. Il consulente, la società di assistenza informatica, lo studio che elabora le buste paga non sono autorizzati: sono responsabili del trattamento, e il rapporto va regolato con il contratto previsto dall’articolo 28, con tutto ciò che ne consegue. Trattare un fornitore come un autorizzato, o viceversa, produce un assetto documentale che non regge al primo esame: ne abbiamo scritto nell’articolo sulla nomina del responsabile del trattamento, e il collegamento con il registro dei trattamenti è diretto, perché è lì che la struttura dei ruoli dovrebbe emergere.

Un assetto che regga a una verifica

Ricostruire chi tratta quali dati, con quale profilo e sotto quali istruzioni è un lavoro che si fa una volta e poi si mantiene. Richiede di guardare insieme l’organigramma, i permessi configurati nei sistemi e le prassi effettive dell’ufficio, che quasi mai coincidono. Sul sito trova la pagina dedicata alla consulenza e compliance privacy e quella sui diritti degli interessati, che da quell’assetto dipendono direttamente; i profili giudiziari collegati sono sul sito dello studio legale avvocatoelioerrichiello.it.

Lo studio assiste aziende, studi professionali ed enti in tutta Italia e ha sede a Napoli. Se vuole sapere se le designazioni in uso nella sua organizzazione reggerebbero una verifica, può inviarci il modello che utilizza e l’elenco dei sistemi dalla pagina contatti: ne faremo un esame preliminare, indicando i punti che verrebbero contestati per primi.

Avv. Elio Errichiello

Pubblicato il

Curriculum, colloqui e scarti di selezione: dove nascono le contestazioni

Copertina dell'articolo sulla privacy nella selezione del personale e sul trattamento dei curriculum dei candidati

Ogni processo di selezione lascia dietro di sé un archivio: centinaia di curriculum, note dei colloqui, test attitudinali, risultati di verifiche, scambi di messaggi con i candidati. Quasi sempre nessuno lo governa. Eppure la privacy nella selezione del personale è uno degli ambiti in cui l’esposizione dell’azienda è più alta, perché i dati riguardano persone che con l’organizzazione non hanno alcun rapporto e che, non essendo state assunte, hanno pochi motivi per soprassedere.

Chi non viene assunto è l’interessato più esposto

Il dipendente in servizio, di fronte a un trattamento irregolare, ha molte ragioni per non sollevare la questione. Il candidato scartato no. È da qui che nascono numerosi reclami al Garante: una persona che chiede quali dati siano stati raccolti sul suo conto, da dove provengano, per quanto tempo saranno conservati e a chi siano stati comunicati.

Il Regolamento UE 2016/679 riconosce all’interessato il diritto di accesso previsto dall’articolo 15, e impone al titolare, con l’articolo 12, di dare riscontro senza ingiustificato ritardo. Una richiesta di questo tipo, se l’azienda non ha una procedura, mette a nudo nel giro di un mese l’intero impianto: chi ha ricevuto i curriculum, su quale casella di posta, con quali finalità, con quale base giuridica, con quali tempi di conservazione. Lo studio ha trattato il tema nell’articolo dedicato al diritto di accesso ai dati personali.

Privacy nella selezione del personale: l’informativa e la base giuridica

Il primo documento che viene chiesto, in ogni verifica, è l’informativa. Gli articoli 13 e 14 del Regolamento impongono di fornire all’interessato un quadro completo di finalità, base giuridica, destinatari, periodo di conservazione e diritti esercitabili, distinguendo il caso dei dati raccolti direttamente da quello dei dati ottenuti da terzi, come avviene con le società di selezione, i portali di annunci o le segnalazioni.

Sulla base giuridica si commette l’errore più ricorrente: ridurre tutto a un modulo di consenso allegato al curriculum. Il consenso, nel contesto lavorativo, è una base giuridica fragile, per l’asimmetria tra le parti che ne compromette la libertà; e nella fase precontrattuale il Regolamento offre basi diverse e più solide, da individuare e da documentare nel registro dei trattamenti. Un consenso usato come scorciatoia non rafforza la posizione dell’azienda: la indebolisce, perché è revocabile in ogni momento.

Le informazioni che non si possono raccogliere

Oltre alla disciplina sulla protezione dei dati opera un divieto più antico e più netto: l’articolo 8 dello Statuto dei lavoratori, la legge 300 del 1970, vieta al datore di lavoro di svolgere indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale. Il Codice in materia di protezione dei dati personali, il decreto legislativo 196 del 2003, richiama espressamente quel divieto all’articolo 113.

Il perimetro, quindi, è duplice: ciò che non è pertinente non si raccoglie, e ciò che rientra nelle categorie particolari dell’articolo 9 del Regolamento — salute, convinzioni, appartenenza sindacale, dati biometrici — richiede una condizione di liceità specifica. Una domanda posta in colloquio, una ricerca sui profili social del candidato, un test che indaga aspetti della personalità non collegati alla mansione: sono tutti punti su cui l’azienda deve poter spiegare perché quell’informazione le serviva.

Il curriculum che resta nel cassetto per anni

La conservazione è il secondo fronte critico. Un curriculum ricevuto per una posizione aperta nel 2021 e ancora presente nelle caselle aziendali nel 2026 è un trattamento in corso, non un residuo. Serve un termine definito, coerente con la finalità, e serve che qualcuno lo applichi davvero: il principio di limitazione della conservazione non ammette archivi che nessuno ripulisce. Il tema è stato approfondito nell’articolo sui tempi di conservazione dei dati personali.

A questo si aggiunge il profilo dei fornitori. Portali di recruiting, software di gestione delle candidature, agenzie per il lavoro, società che somministrano test: ciascuno di questi soggetti tratta dati per conto dell’azienda e va inquadrato con l’atto previsto dall’articolo 28 del Regolamento, come illustrato nell’approfondimento sulla nomina del responsabile del trattamento.

Strumenti automatizzati e nuovi rischi

Chi utilizza sistemi di screening automatico dei curriculum o strumenti di analisi basati su intelligenza artificiale apre un fronte ulteriore: il Regolamento dedica l’articolo 22 ai processi decisionali automatizzati che producono effetti giuridici o incidono in modo analogo sulla persona, e la materia si intreccia con il quadro delineato per i sistemi di intelligenza artificiale, di cui lo studio ha scritto nell’articolo sugli obblighi dell’AI Act per le imprese.

Quanto pesa, in concreto

L’articolo 83 del Regolamento colloca la violazione dei principi, delle condizioni di liceità e dei diritti degli interessati nella fascia sanzionatoria più severa. Accanto alla sanzione restano i poteri correttivi dell’Autorità e, su un piano distinto, le azioni risarcitorie dei candidati. Il costo reale, però, è un altro: un’istruttoria sulla selezione del personale apre il registro dei trattamenti dell’intera area risorse umane, e quasi mai si ferma lì.

Da dove iniziare

Serve guardare ciò che accade davvero: dove arrivano i curriculum, chi vi accede, quali strumenti vengono usati, che cosa viene scritto nelle note dei colloqui, quando e da chi i dati vengono cancellati. Un’informativa impeccabile su un processo che funziona diversamente non protegge nessuno.

Lo studio, con sede a Napoli e attività in tutta Italia, affianca aziende ed enti nella verifica dei trattamenti in ambito risorse umane e nella gestione dei reclami e delle richieste degli interessati. Il punto di partenza è la pagina sulla consulenza e compliance privacy; per un primo contatto si può usare la pagina contatti. Per le selezioni pubbliche e il relativo contenzioso amministrativo il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Impronte digitali per timbrare: perché il Garante sanziona

Copertina dell'articolo sui dati biometrici dei dipendenti e sulla rilevazione delle presenze con impronta digitale

L’idea sembra ragionevole: un lettore di impronte all’ingresso, nessun badge da dimenticare, nessun cartellino timbrato da un collega. Eppure il trattamento dei dati biometrici dei dipendenti per la rilevazione delle presenze è uno dei terreni su cui il Garante per la protezione dei dati personali interviene con maggiore fermezza, e l’azienda o l’ente che lo adotta si espone a una contestazione che difficilmente si riesce a sanare a posteriori.

Un dato che non è come gli altri

L’impronta digitale, la geometria del volto, l’iride non sono informazioni qualsiasi. Il Regolamento UE 2016/679 le colloca, all’articolo 9, tra le categorie particolari di dati, il cui trattamento è vietato salvo che ricorra una delle condizioni tassativamente previste. La ragione è intuitiva: un dato biometrico identifica in modo univoco una persona e, a differenza di una password o di un badge, non può essere sostituito se viene compromesso.

Da questa premessa discende tutto il resto. Non si tratta di valutare se il sistema sia comodo, se funzioni bene o se risolva un problema reale dell’organizzazione: si tratta di verificare, prima di installarlo, se esista una base giuridica che lo consenta. E nel rapporto di lavoro quella verifica è più stretta che altrove.

Dati biometrici dei dipendenti: perché il consenso non basta

È l’equivoco più diffuso. Molte organizzazioni raccolgono una liberatoria firmata dai lavoratori e ritengono di aver risolto il problema. Non è così, e il motivo è strutturale: nel rapporto di lavoro esiste un’asimmetria tra datore e lavoratore che rende difficile considerare il consenso come liberamente prestato, secondo la nozione che il Regolamento adotta. Un consenso che il dipendente non si sente realmente libero di negare non è un consenso valido.

Il Garante è tornato sul punto con il provvedimento n. 167 del 27 marzo 2025, richiamato nella newsletter n. 536 del 25 giugno 2025, con cui ha sanzionato per 4.000 euro un istituto di istruzione superiore che utilizzava un sistema di riconoscimento biometrico basato sulle impronte digitali del personale amministrativo per rilevare le presenze e prevenire atti vandalici. Erano coinvolti i lavoratori che avevano dato il consenso e che non intendevano usare i sistemi tradizionali di attestazione della presenza.

Il principio affermato è netto: il trattamento di dati biometrici sul luogo di lavoro è ammesso solo quando una norma specifica lo preveda, con adeguate garanzie per i diritti dei lavoratori; deve inoltre perseguire un interesse pubblico rilevante e rispettare i criteri di necessità e proporzionalità. Il Garante ha richiamato anche un proprio precedente parere del 2019, secondo cui la rilevazione biometrica sistematica e generalizzata delle presenze nelle pubbliche amministrazioni non supera il vaglio di proporzionalità.

Dove nasce, in concreto, la contestazione

Chi ha ricevuto una richiesta di informazioni dall’Autorità sa che il procedimento non si apre quasi mai su una denuncia generica. Nasce da una segnalazione di un dipendente, da un reclamo di un ex lavoratore, da un controllo ispettivo o dall’esame di una notifica di violazione dei dati. E una volta aperto, il perimetro dell’istruttoria si allarga rapidamente: informativa, registro dei trattamenti, valutazione d’impatto, tempi di conservazione, misure di sicurezza, rapporti con il fornitore del sistema.

È per questo che il tema non resta mai isolato. Un sistema biometrico installato senza base giuridica porta con sé, quasi sempre, carenze documentali che l’Autorità rileva nella stessa sede: l’assenza della valutazione d’impatto — di cui lo studio ha trattato nell’articolo sulla DPIA e su quando è obbligatoria — e un registro dei trattamenti che non dà conto del trattamento effettivamente in corso.

Il conto economico della scelta

L’articolo 83 del Regolamento articola le sanzioni amministrative pecuniarie su due soglie, e la violazione dei principi e delle condizioni di liceità del trattamento, comprese quelle previste per le categorie particolari di dati, rientra nella fascia più severa. Accanto alla sanzione pecuniaria l’Autorità dispone di poteri correttivi autonomi, tra cui l’ordine di conformare il trattamento e la limitazione o il divieto del trattamento stesso.

Tradotto in termini aziendali: non si rischia soltanto un esborso, ma l’ordine di spegnere un sistema su cui si è investito, con l’obbligo di cancellare i dati già raccolti e di ricostruire da zero il processo di rilevazione delle presenze. A questo si aggiunge il profilo, spesso sottovalutato, della responsabilità verso i lavoratori sul piano risarcitorio.

Il controllo a distanza è un capitolo a parte

C’è poi un secondo fronte, autonomo rispetto alla disciplina sulla protezione dei dati: quello delle garanzie previste dalla normativa giuslavoristica in materia di strumenti dai quali possa derivare un controllo a distanza dell’attività dei lavoratori. Sono due piani che corrono paralleli e che vanno verificati entrambi, perché la regolarità sull’uno non copre l’altro.

Lo studio ha affrontato questioni contigue negli approfondimenti sulla videosorveglianza nel luogo di lavoro e sulla geolocalizzazione dei dipendenti, dove si ritrovano le stesse dinamiche: una tecnologia introdotta per una finalità organizzativa legittima, e un impianto giuridico costruito dopo, quando ormai il sistema è in funzione.

Che cosa conviene fare

La decisione va presa prima dell’acquisto, non dopo l’installazione. Chi ha già un sistema biometrico in funzione si trova in una posizione più scomoda, ma non priva di vie d’uscita: molto dipende da come è configurato, da che cosa viene effettivamente conservato, da quali alternative siano state valutate e documentate.

Non sono valutazioni che si possono fare a distanza, su una descrizione generica. Servono la documentazione del trattamento, il contratto con il fornitore, l’informativa consegnata ai lavoratori e la ricostruzione di che cosa il sistema registra davvero. Lo studio, con sede a Napoli e attività in tutta Italia, offre un esame preliminare di questa documentazione e della posizione dell’ente o dell’azienda: si parte dalla pagina sulla consulenza e compliance privacy oppure direttamente dai contatti. Per i profili amministrativi e di contenzioso che spesso si accompagnano a queste vicende negli enti pubblici, il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello