Categoria: Privacy sul lavoro

Il GPS sui mezzi aziendali è uno degli strumenti più diffusi e meno governati che esistano. Viene installato per ragioni che sembrano incontestabili — sicurezza dei veicoli, efficienza dei percorsi, tutela del patrimonio — e per anni nessuno se ne occupa. Poi arriva una contestazione disciplinare fondata sui dati di quel sistema, il lavoratore si rivolge all’Autorità, e la geolocalizzazione dei dipendenti smette di essere una questione tecnica per diventare un problema sanzionatorio.

Il provvedimento del Garante del 28 maggio 2026

Il caso più recente riguarda un ente sanitario pubblico, l’Azienda Tutela della Salute per la Liguria, destinatario di un’ordinanza-ingiunzione del Garante per la protezione dei dati personali del 28 maggio 2026. L’oggetto: un sistema GPS installato sugli automezzi aziendali, i cui dati erano poi stati utilizzati a fini disciplinari nei confronti di alcuni dipendenti.

La sanzione è stata quantificata in 6.000 euro, con possibilità di definizione agevolata a 3.000 euro entro trenta giorni. Una cifra contenuta, che però non è il dato interessante: il dato interessante è l’elenco di ciò che è stato contestato, perché è quello che si ritrova, quasi identico, in moltissime installazioni private.

Cosa è stato contestato, punto per punto

• Il monitoraggio continuo. Il sistema rilevava la posizione a intervalli di sessanta secondi, poi portati a quindici minuti. Una frequenza di questo tipo non fotografa un mezzo: segue una persona.
• L’accesso in tempo reale ai dati di localizzazione, che trasforma uno strumento di tutela del patrimonio in un sistema di sorveglianza potenzialmente costante.
• L’assenza della valutazione d’impatto prevista dall’art. 35 del GDPR, che in presenza di un monitoraggio sistematico dei lavoratori non è un passaggio facoltativo.
• L’utilizzo dei dati a fini disciplinari in assenza delle condizioni che lo rendono legittimo.
• La violazione dei principi di minimizzazione e di protezione dei dati fin dalla progettazione, cioè l’avere costruito il sistema senza porsi, a monte, la domanda su quanti dati servissero davvero.

Le norme richiamate sono molte e si sommano: gli artt. 5, paragrafo 1, lettere a), b) e c), 6, 25, 35 e 88 del GDPR; gli artt. 113 e 114 del Codice in materia di protezione dei dati personali; e l’art. 4 dello Statuto dei lavoratori sui controlli a distanza.

Geolocalizzazione dei dipendenti: GDPR e art. 4 dello Statuto

È proprio la compresenza di questi due piani a rendere la geolocalizzazione dei dipendenti un terreno insidioso, e a spiegare perché gli adeguamenti fatti in casa quasi sempre si rivelano incompleti.

Da un lato c’è il GDPR, che chiede una base giuridica, una finalità determinata, dati proporzionati allo scopo, tempi di conservazione definiti, informazione agli interessati, una valutazione d’impatto quando il rischio è elevato. Dall’altro c’è l’art. 4 dello Statuto dei lavoratori, che per gli strumenti dai quali possa derivare un controllo a distanza dell’attività richiede un presupposto autorizzativo di natura collettiva o amministrativa.

Soddisfare uno dei due piani e trascurare l’altro non mette al riparo da nulla. L’esperienza dei provvedimenti dell’Autorità mostra anzi che è esattamente lì — nello scarto fra i due binari — che si concentrano le contestazioni.

Il momento in cui il problema esplode

C’è una regolarità che vale la pena segnalare a chi gestisce una flotta. Finché il sistema registra e nessuno lo guarda, il problema resta latente. Diventa un procedimento sanzionatorio quando i dati vengono tirati fuori per sostenere qualcosa: una contestazione disciplinare, un licenziamento, la ricostruzione di una giornata di lavoro.

In quel momento il lavoratore chiede di accedere ai dati che lo riguardano, e da quella richiesta deriva a cascata tutto il resto: se l’informativa era stata resa, se esisteva l’accordo o l’autorizzazione, se era stata fatta la valutazione d’impatto, per quanto tempo i dati venivano conservati, chi poteva consultarli. Il procedimento disciplinare che doveva chiudere una questione ne apre una molto più grande.

Quanto si rischia

I 6.000 euro del provvedimento ligure non sono il metro di misura. L’art. 83 del GDPR costruisce un sistema sanzionatorio che arriva a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo per le violazioni più gravi, e nel quantificare la sanzione l’Autorità tiene conto della natura dell’ente, del numero di interessati, della gravità, della durata e della condotta tenuta.

Ma la sanzione pecuniaria è spesso la conseguenza meno costosa. Un trattamento dichiarato illecito mette in discussione l’utilizzabilità dei dati nei procedimenti in cui sono stati impiegati, con effetti che si propagano al contenzioso di lavoro; e la misura correttiva che accompagna la sanzione può imporre di modificare o sospendere il sistema.

Prima che il problema diventi un procedimento

Chi ha installato un sistema di localizzazione sui mezzi aziendali, o sta per farlo, dovrebbe considerare che il momento utile per verificarne l’impianto è adesso, non quando un reclamo è già stato presentato. Il controllo sulla posta elettronica segue una logica analoga, come abbiamo visto a proposito dei metadati della posta elettronica dei dipendenti, e altrettanto vale per la videosorveglianza sul luogo di lavoro. Il quadro generale delle sanzioni è ricostruito nell’articolo su quanto costa davvero una violazione del GDPR.

Lo studio assiste aziende ed enti pubblici nella valutazione dei sistemi di controllo già in uso e nella gestione dei procedimenti davanti all’Autorità: il servizio è descritto nella pagina sulla consulenza e compliance privacy. Per il contenzioso amministrativo e giuslavoristico collegato si rimanda allo studio legale dell’avv. Elio Errichiello.

Se hai un sistema di geolocalizzazione attivo e vuoi capire a che punto sei, scrivici dalla pagina contatti: faremo un esame preliminare della documentazione esistente e dei profili di rischio.

Avv. Elio Errichiello

Parlare di whistleblowing e sanzioni significa parlare di una doppia esposizione che quasi nessuna organizzazione ha messo a fuoco per intero. Da un lato c’è l’ANAC, che vigila sull’attuazione del d.lgs. 24/2023 e ha poteri sanzionatori propri. Dall’altro c’è il Garante per la protezione dei dati personali, perché una segnalazione è per definizione un trattamento di dati personali particolarmente delicato: riguarda il segnalante, il segnalato e i terzi coinvolti, e tocca dati che possono avere natura giudiziaria.

La conseguenza pratica è che un canale di segnalazione attivato male espone due volte. E, nella nostra esperienza, il canale attivato male è la regola: la piattaforma è stata acquistata, il link è sull’intranet, l’adempimento risulta fatto. È quando si va a guardare come funziona che il quadro cambia.

Chi è obbligato, e chi scopre di esserlo

Il decreto impone i canali interni a tutte le amministrazioni pubbliche e, nel settore privato, ai soggetti che hanno impiegato nell’ultimo anno una media di almeno cinquanta lavoratori subordinati, oltre ai soggetti che operano in settori regolati e a quelli che adottano modelli di organizzazione e gestione ai sensi del d.lgs. 231/2001, per i quali la soglia dimensionale non è determinante.

La verifica della soglia è il primo punto su cui vediamo errori: si guarda l’organico attuale invece della media dell’ultimo anno, oppure non si considerano le società del gruppo che hanno obblighi autonomi. È un calcolo che conviene documentare, perché in caso di contestazione sarà l’organizzazione a doverlo dimostrare.

Le sanzioni ANAC

Qui i numeri sono precisi. L’Autorità nazionale anticorruzione può applicare sanzioni amministrative pecuniarie da 10.000 a 50.000 euro quando accerta che sono state commesse ritorsioni, che qualcuno ha ostacolato o tentato di ostacolare la segnalazione, o che è stato violato l’obbligo di riservatezza.

La stessa forbice, da 10.000 a 50.000 euro, si applica quando si accerta che i canali di segnalazione non sono stati istituiti, oppure che non sono state adottate procedure per l’effettuazione e la gestione delle segnalazioni, o che quelle adottate non sono conformi alla legge, o ancora che l’attività di verifica e analisi delle segnalazioni ricevute non è stata svolta.

Vale la pena rileggere quell’elenco, perché è più ampio di come viene di solito percepito. Non sanziona solo chi il canale non lo ha: sanziona anche chi lo ha, ma con procedure non conformi, e chi lo ha ma non istruisce le segnalazioni che arrivano. Un canale che raccoglie e non risponde è, ai fini della norma, un canale che non funziona.

Una sanzione più contenuta, da 500 a 2.500 euro, è prevista a carico del segnalante nel caso in cui venga accertata la perdita delle tutele, salvo che sia intervenuta condanna per diffamazione o calunnia.

Le linee guida ANAC, aggiornate

Il quadro regolatorio si è mosso di recente: con la delibera n. 478 del 26 novembre 2025 l’ANAC ha adottato le linee guida sui canali interni di segnalazione, mentre le linee guida sul canale esterno, adottate con delibera n. 311 del 12 luglio 2023, sono state modificate con la delibera n. 479 del 26 novembre 2025.

Chi ha impostato la propria procedura nel 2023 e non l’ha più toccata dovrebbe, quantomeno, verificarne l’allineamento: le procedure adottate e mai riviste sono esattamente la fattispecie che la norma descrive come non conforme.

Il versante privacy, che è quello meno presidiato

L’obbligo di riservatezza sull’identità del segnalante non è un principio etico: è una regola la cui violazione è sanzionata dall’ANAC e, sul piano del trattamento dei dati, dal Garante.

I punti critici sono ricorrenti. La piattaforma è fornita da un terzo, che tratta dati per conto dell’organizzazione e va nominato responsabile del trattamento con un contratto che regga: sui difetti tipici di quella catena abbiamo scritto parlando della nomina del responsabile ex art. 28. La segnalazione va conservata per il tempo necessario e non oltre, con un criterio scritto: il tema è quello dei tempi di conservazione dei dati personali. Il trattamento va censito nel registro delle attività di trattamento, dove nella maggior parte dei casi manca del tutto. E, per la natura dei dati e la posizione degli interessati, va valutata la necessità di una valutazione d’impatto sulla protezione dei dati.

C’è poi un aspetto che tocca il vertice dell’organizzazione: chi gestisce le segnalazioni deve essere autonomo e non trovarsi in conflitto di interessi. Affidare il canale alla stessa funzione che potrebbe essere oggetto di segnalazione è un vizio strutturale, e non si corregge con una dichiarazione.

Il sommerso

L’esposizione più concreta, in molte organizzazioni, non è la sanzione: è la segnalazione già arrivata e gestita informalmente, magari via email al responsabile del personale, prima ancora che il canale fosse attivo. Quel materiale esiste, è conservato da qualche parte e contiene dati che non avrebbero dovuto circolare così. È il punto da cui conviene partire, perché è il più difficile da sistemare a posteriori.

Lo studio assiste aziende, enti pubblici e Ordini professionali in tutta Italia, con sede a Napoli, in materia di protezione dei dati personali, compliance privacy e incarichi di DPO esterno, e segue anche la formazione del personale coinvolto nella gestione delle segnalazioni. Per le questioni di diritto amministrativo connesse al rapporto con le autorità di vigilanza è disponibile il sito dello studio legale dell’avv. Elio Errichiello.

Ci scriva dalla pagina contatti se vuole che guardiamo la sua procedura e il contratto con il fornitore della piattaforma: un esame preliminare della documentazione dice in poche righe dove si è esposti e su quale dei due fronti.

Avv. Elio Errichiello

Il controllo della posta elettronica dei dipendenti in azienda avviene quasi sempre senza che nessuno abbia deciso di controllare nulla. Il server di posta registra chi ha scritto a chi, quando, da quale indirizzo IP, con quale oggetto, e conserva questi dati per mesi o anni perché così è configurato di fabbrica. Nessuno ha letto un’email. Eppure il trattamento c’è, ed è esattamente quello che il Garante guarda.

I metadati non sono il contenuto, e proprio per questo sono il problema

La distinzione che le aziende fanno abitualmente — noi non leggiamo le email dei dipendenti — è corretta e insufficiente. I metadati della posta elettronica sono le informazioni che descrivono l’invio e la ricezione: mittente, destinatari, orari, dimensioni, indirizzi dei server coinvolti. Presi uno per uno non dicono nulla. Conservati per mesi e incrociati, ricostruiscono con precisione la giornata lavorativa di una persona: con chi comunica, quando lavora, quanto lavora, quando si ferma.

È un trattamento di dati personali a tutti gli effetti e, nel contesto lavorativo, è anche qualcosa di più: può integrare un controllo a distanza dell’attività dei lavoratori, con tutto quello che ne consegue sul piano dello Statuto dei lavoratori.

Il documento di indirizzo del Garante

Con il provvedimento n. 364 del 6 giugno 2024, il Garante per la protezione dei dati personali ha adottato un documento di indirizzo dedicato proprio ai programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e al trattamento dei metadati.

Il punto che ha fatto discutere è la durata. Il Garante indica che la raccolta e la conservazione dei metadati necessari ad assicurare il funzionamento delle infrastrutture di posta dovrebbe avvenire, di norma, per un periodo limitato a pochi giorni, e a titolo orientativo non dovrebbe comunque superare i ventuno giorni. Oltre quel termine, la conservazione richiede giustificazioni tecniche specifiche, documentate secondo il principio di responsabilizzazione.

Ventuno giorni. È utile confrontare quel numero con la configurazione reale della maggior parte dei sistemi aziendali italiani, dove i log di posta restano per sei mesi, un anno, o semplicemente finché c’è spazio su disco perché nessuno ha mai impostato una cancellazione.

Che cosa viene contestato, in concreto

Le contestazioni che nascono da questo ambito seguono uno schema ricorrente.

La prima riguarda l’assenza di base giuridica per la conservazione prolungata: il datore di lavoro conserva perché il sistema conserva, senza aver individuato né documentato la finalità che lo giustifica.

La seconda riguarda l’informativa. Il lavoratore deve sapere quali dati vengono raccolti dal sistema di posta, per quanto tempo e con quali finalità. Un’informativa generica sul trattamento dei dati del personale, che non dice nulla dei metadati, non assolve l’obbligo: sui difetti tipici delle informative ci siamo soffermati parlando dell’informativa privacy.

La terza riguarda il registro delle attività di trattamento, che spesso non contiene alcuna voce riferita alla posta elettronica del personale, con tempi di conservazione indicati o indicati in modo palesemente scollegato dalla realtà tecnica. È il primo documento richiesto in una verifica, come abbiamo scritto a proposito del registro dei trattamenti.

La quarta, e la più delicata, riguarda il rapporto con la disciplina dei controlli a distanza. Quando la conservazione dei metadati eccede quanto serve al funzionamento del servizio, il sistema smette di essere uno strumento di lavoro e diventa potenzialmente uno strumento di controllo: la base giuridica va cercata altrove, e la sua assenza è una violazione autonoma. Un tema analogo si è posto in materia di videosorveglianza sul luogo di lavoro, dove il Garante ha già sanzionato più volte.

Il caso dell’account del dipendente che se n’è andato

Merita una menzione separata perché è la fattispecie che genera il maggior numero di reclami. Il dipendente lascia l’azienda; il suo account resta attivo, magari con un inoltro automatico verso il responsabile, e continua a ricevere corrispondenza per mesi. È una prassi diffusa, comoda e regolarmente contestata: il Garante è intervenuto ripetutamente sulla mancata disattivazione degli account di posta dei dipendenti cessati e sull’accesso ai messaggi ivi contenuti.

La comodità operativa, in questi casi, si paga per intero in sede di reclamo, perché è proprio l’ex dipendente a segnalare.

Quanto costa

Le violazioni riguardanti i principi applicabili al trattamento e le condizioni di liceità rientrano nella fascia più elevata dell’art. 83 del Regolamento: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. A questo si aggiunge, sul piano interno, il rischio che i dati raccolti in violazione della disciplina sui controlli a distanza risultino inutilizzabili proprio quando servirebbero, cioè in un contenzioso di lavoro.

Sull’ordine di grandezza delle sanzioni abbiamo scritto più in generale parlando di quanto costa una violazione del GDPR.

La verifica che conviene fare prima

Nessuna azienda conosce davvero i tempi di conservazione del proprio sistema di posta finché non li chiede a chi lo amministra, e la risposta sorprende quasi sempre chi si occupa di compliance. Le impostazioni effettive, i backup, gli archivi di sicurezza e gli strumenti antispam vivono spesso di vita propria, decisi in sede tecnica anni prima e mai più rivisti.

Capire quale configurazione sia difendibile, e come documentarla, richiede di guardare insieme il sistema reale e gli assetti contrattuali con chi lo gestisce: è una valutazione che si fa sui documenti di quella specifica organizzazione. Lo studio assiste aziende ed enti in tutta Italia, con sede a Napoli, in materia di protezione dei dati personali, consulenza e compliance privacy e incarichi di DPO esterno. Chi si trovi a gestire anche contenzioso amministrativo connesso può trovare materiali utili sul sito dello studio legale dell’avv. Elio Errichiello.

Se vuole sapere per quanto tempo il suo sistema di posta sta effettivamente conservando i metadati, e se quella configurazione regge a una verifica, ci scriva dalla pagina contatti: un esame preliminare della documentazione è il punto di partenza.

Avv. Elio Errichiello

 

In un’epoca in cui i dati personali sono diventati una risorsa cruciale per le aziende, la protezione della privacy ha assunto un ruolo di primaria importanza.

La formazione del personale in ambito privacy non è solo una questione di conformità normativa, ma anche una strategia fondamentale per proteggere l’azienda e i suoi clienti.

Comprendere l’importanza della formazione in materia di protezione dei dati personali è essenziale per garantire un trattamento responsabile degli stessi e creare una cultura aziendale attenta alla protezione delle informazioni.

 

1. Conformità Normativa

Uno degli aspetti principali della formazione sulla privacy è il rispetto delle normative vigenti, come il Regolamento Generale sulla Protezione dei Dati (GDPR).

Le aziende sono obbligate a garantire che il personale sia adeguatamente informato sui requisiti legali riguardanti la gestione dei dati personali.

Invero, con riferimento alle “misure tecniche e organizzative adeguate” da adottare, l’art. 32 (“Sicurezza del trattamento”) introduce obbligo per il titolare del trattamento di istruire tutti coloro che abbiano accesso ai dati personali al corretto trattamento degli stessi.

La formazione aiuta a ridurre il rischio di violazioni, che possono portare a sanzioni significative e a danni reputazionali. Investire nella formazione significa, quindi, evitare costi futuri legati a possibili infrazioni.

 

2. Sensibilizzazione e Cultura della Privacy

La formazione sulla privacy non deve essere vista come un semplice adempimento normativo, ma come un’opportunità per creare una cultura aziendale incentrata sulla protezione dei dati.

Quando il personale è consapevole dell’importanza della privacy, è più incline a comportarsi responsabilmente nel trattamento delle informazioni.

Creare una cultura della privacy significa che ogni dipendente, a qualsiasi livello, riconosce il valore dei dati e agisce di conseguenza, contribuendo a proteggere l’azienda e i suoi clienti.

 

3. Riduzione del Rischio di Violazioni

Le violazioni dei dati possono avere conseguenze devastanti per le aziende. Non solo possono portare a sanzioni (il Regolamento Europeo prevede sanzioni sono a 20.000.000 di euro o 4% del fatturato mondiale annuo per le imprese), ma possono anche danneggiare irreparabilmente la fiducia dei clienti.

Una formazione adeguata fornisce ai dipendenti gli strumenti necessari per identificare e prevenire comportamenti rischiosi, come la condivisione involontaria di informazioni sensibili o l’accesso non autorizzato a dati riservati.

I dipendenti devono essere in grado di riconoscere segnali di allerta, come phishing o tentativi di accesso non autorizzato, e sapere come reagire in tali situazioni.

 

4. Abilitazione dei Diritti degli Interessati

La formazione del personale deve anche includere un focus sui diritti degli interessati, come il diritto di accesso, rettifica, cancellazione e portabilità dei dati.

I dipendenti devono essere in grado di gestire le richieste degli utenti in modo appropriato e tempestivo.

Comprendere questi diritti non solo aiuta a garantire la conformità, ma dimostra anche l’impegno dell’azienda nei confronti della trasparenza e della responsabilità nei confronti dei clienti.

 

5. Aggiornamenti Continui

Il panorama della privacy è in continua evoluzione, con nuove normative e pratiche emergenti. Pertanto, la formazione non dovrebbe essere un’attività isolata, ma un processo continuo. Le aziende devono pianificare sessioni di aggiornamento regolari per garantire che il personale sia sempre informato sulle ultime novità. Questo approccio non solo migliora la conoscenza, ma rinforza anche l’importanza della privacy come valore aziendale.

 

Il nostro studio legale offre percorsi di formazione su misura per il tuo personale.

 

Contattaci per ricevere tutte le informazioni ed un preventivo che rispetti le tue esigenze.