Privacy GDPR sul lavoro: obblighi, videosorveglianza e data breach

La privacy sul luogo di lavoro è uno degli ambiti più sottovalutati e contemporaneamente più rischiosi della normativa aziendale italiana. Dall’entrata in vigore del GDPR — Regolamento UE 2016/679 nel maggio 2018, le aziende italiane hanno dovuto adeguarsi a un quadro normativo articolato che impatta sulla gestione dei dati dei lavoratori, dei clienti, dei fornitori. Le sanzioni del GDPR possono arrivare al 4% del fatturato annuo globale o a 20 milioni di euro — cifre che, anche se applicate in misura ridotta dalle autorità italiane, restano significative anche per le PMI.

In questa guida vengono illustrati gli obblighi privacy specifici nei rapporti di lavoro, le informative da consegnare ai lavoratori, la gestione del personale (curricula, anagrafica, sorveglianza sanitaria, dati biometrici), la videosorveglianza, il controllo delle attività lavorative, l’utilizzo di strumenti tecnologici e gli aspetti relativi allo smart working.

Indice dei contenuti

• Perché la privacy sul lavoro è un tema strategico
• Il quadro normativo
• I ruoli privacy in azienda
• L’informativa privacy ai lavoratori
• Dati particolari: salute, sindacale, biometrici
• Videosorveglianza sul lavoro
• Controllo degli strumenti di lavoro
• Privacy e smart working
• Data breach: cosa fare
• Sanzioni del Garante

Perché la privacy sul lavoro è un tema strategico

Ogni azienda, anche la più piccola, tratta quotidianamente una quantità rilevante di dati personali dei propri lavoratori: anagrafica, contatti, dati bancari, stato di salute, presenze, retribuzioni, comunicazioni email, eventuali appartenenze sindacali. Questi dati richiedono trattamento conforme al GDPR, con misure tecniche e organizzative adeguate al rischio.

Le aziende italiane si trovano spesso esposte a tre categorie di rischio privacy:

• Sanzioni del Garante per la Protezione dei Dati Personali a seguito di reclami dei lavoratori o controlli
• Cause civili per danno da illecito trattamento dei dati
• Responsabilità penale in casi gravi di trattamento illecito o di diffusione non autorizzata

Il quadro normativo

Il sistema privacy nei rapporti di lavoro attinge a fonti multiple, che vanno coordinate.

• Regolamento UE 2016/679 (GDPR): la fonte primaria della disciplina privacy europea
• D.Lgs 196/2003 (Codice Privacy): il Codice italiano, modificato dal D.Lgs 101/2018 per essere coerente con il GDPR
• Statuto dei Lavoratori (L. 300/1970): in particolare l’art. 4 sulla videosorveglianza e il controllo a distanza
• Disposizioni del Garante: linee guida, provvedimenti, FAQ e pareri specifici
• Codici di condotta di settore
• D.Lgs 81/2008 per gli aspetti di sicurezza che intersecano la privacy (sorveglianza sanitaria, gestione dati infortuni)

I ruoli privacy in azienda

Il GDPR introduce una struttura di ruoli privacy che ogni azienda deve definire.

Titolare del trattamento

È il soggetto (azienda, ente, professionista) che determina le finalità e i mezzi del trattamento dei dati personali. Nel caso dell’azienda, di norma è la persona giuridica stessa, rappresentata dal legale rappresentante o dal datore di lavoro.

Responsabile del trattamento

Sono i soggetti esterni che trattano dati personali per conto del titolare (consulenti del lavoro, commercialisti, software house, cloud provider, agenzie di marketing). Vanno nominati con atto formale ai sensi dell’art. 28 GDPR, che disciplina i loro obblighi.

DPO – Data Protection Officer

Il Responsabile della Protezione dei Dati è una figura specialistica obbligatoria in alcuni casi:

• Soggetti pubblici (comuni, scuole, ASL)
• Aziende che effettuano monitoraggio sistematico su larga scala (es. catene di vendita al dettaglio, servizi sanitari)
• Aziende che trattano su larga scala dati particolari (categorie speciali) o relativi a reati

Per le PMI standard, in molti casi il DPO non è obbligatorio, ma è comunque buona prassi avere un referente privacy interno formato.

Persone autorizzate al trattamento

I lavoratori dell’azienda che, per le proprie mansioni, accedono a dati personali (HR, amministrazione, marketing, IT) devono essere formalmente autorizzati al trattamento con specifiche istruzioni operative e formazione adeguata.

L’informativa privacy ai lavoratori

Ogni lavoratore deve ricevere — al momento dell’assunzione e in ogni caso prima dell’avvio di nuovi trattamenti — un’informativa privacy completa ai sensi degli artt. 13-14 del GDPR. L’informativa deve essere chiara, concisa, accessibile.

Contenuti minimi dell’informativa lavoratori

• Identità e dati di contatto del titolare del trattamento
• Dati di contatto del DPO (se nominato)
• Finalità del trattamento: gestione del rapporto di lavoro, paghe e contributi, sorveglianza sanitaria, sicurezza, eventuali finalità di marketing interno
• Base giuridica di ciascun trattamento (esecuzione del contratto, adempimento di obblighi legali, legittimo interesse, consenso)
• Categorie di dati trattati
• Destinatari dei dati (Enti previdenziali, assistenziali, fiscali, consulenti esterni, banche)
• Eventuali trasferimenti extra-UE
• Periodo di conservazione dei dati
• Diritti dell’interessato (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità)
• Diritto di reclamo al Garante Privacy
• Eventuale processo decisionale automatizzato (es. valutazioni performance algoritmiche)

📌 Consegna formale: l’informativa va consegnata per iscritto, con sottoscrizione del lavoratore per ricevuta. La sottoscrizione non è “consenso al trattamento” ma acknowledgment dell’avvenuta ricezione. Il consenso non è la base giuridica principale nei rapporti di lavoro (vedi paragrafo successivo).

Il consenso non è la base giuridica principale

Un equivoco diffuso: nei rapporti di lavoro, il consenso del lavoratore al trattamento è una base giuridica residuale. La maggior parte dei trattamenti si basa su:

• Esecuzione del contratto (art. 6.1.b GDPR): gestione paghe, presenze, ferie, comunicazioni
• Obbligo legale (art. 6.1.c): adempimenti fiscali, previdenziali, sicurezza sul lavoro
• Legittimo interesse (art. 6.1.f): organizzazione aziendale, sicurezza informatica

Il consenso ha senso solo per trattamenti realmente facoltativi (es. fotografia su sito aziendale, partecipazione a eventi).

Dati particolari: salute, sindacale, biometrici

Le categorie particolari di dati (art. 9 GDPR) — origine razziale ed etnica, opinioni politiche, religiose, appartenenza sindacale, dati biometrici, genetici, salute, vita sessuale — richiedono tutele rafforzate e basi giuridiche specifiche.

Dati sanitari dei lavoratori

I dati relativi alla salute dei lavoratori (certificati di malattia, idoneità alla mansione del medico competente, eventuali patologie) richiedono massima riservatezza:

• Conservazione separata dal fascicolo personale ordinario
• Accesso limitato al personale strettamente necessario (HR e medico competente)
• Comunicazione minima al datore di lavoro: solo l’idoneità o le eventuali limitazioni, non la diagnosi specifica
• Conservazione per il tempo strettamente necessario

Appartenenza sindacale

Quando l’azienda tratta dati relativi all’appartenenza sindacale (es. trattenute sindacali in busta paga, RSU eletti), il trattamento è ammesso ma deve essere riservato e limitato al solo personale autorizzato.

Dati biometrici

L’utilizzo di sistemi biometrici per il controllo accessi o rilevazione presenze (impronte digitali, riconoscimento facciale) è particolarmente regolato. Il Garante ha più volte sancito che il dato biometrico va trattato solo in presenza di specifiche esigenze di sicurezza e con misure proporzionate. Per la rilevazione presenze, salvo casi particolari, badge tradizionali o sistemi non biometrici sono preferibili e meno problematici.

Videosorveglianza sul lavoro

La videosorveglianza è l’area più frequentemente sanzionata dal Garante. La sua installazione è regolata sia dal GDPR sia dall’articolo 4 dello Statuto dei Lavoratori.

L’art. 4 dello Statuto dei Lavoratori

L’installazione di impianti di videosorveglianza (e di altri sistemi di controllo a distanza dei lavoratori) è ammessa solo per:

• Esigenze organizzative e produttive
• Sicurezza del lavoro
• Tutela del patrimonio aziendale

Procedura di installazione

La videosorveglianza richiede:

1. Accordo con le RSU/RSA aziendali, oppure
2. In mancanza di accordo, autorizzazione dell’Ispettorato Territoriale del Lavoro
3. Informativa specifica ai lavoratori
4. Cartellonistica visibile che segnala la videosorveglianza
5. Periodo di conservazione delle immagini limitato (in genere 24-72 ore, salvo specifiche esigenze)
6. Sistema di accesso alle registrazioni con tracciatura

Cosa è vietato

• Riprese fisse e continue dei lavoratori sul posto di lavoro
• Riprese di aree di pertinenza esclusiva del personale (spogliatoi, bagni, sale relax)
• Sistemi che permettano di seguire il singolo lavoratore in modo sistematico
• Riprese audio non strettamente necessarie
• Diffusione delle immagini

Controllo degli strumenti di lavoro

Il controllo dell’utilizzo di strumenti aziendali (PC, email, smartphone, dispositivi GPS, internet) è uno dei terreni più delicati del rapporto tra privacy e potere di controllo del datore di lavoro.

Principi generali

• Gli strumenti aziendali appartengono all’azienda, ma il loro utilizzo coinvolge la sfera privata del lavoratore
• L’azienda deve informare preventivamente i lavoratori sulle modalità di utilizzo consentite e sulle eventuali verifiche
• I controlli devono essere proporzionati alla finalità
• I controlli devono essere non personalizzati: rivolti all’attività complessiva, non al singolo
• Filtri preventivi sono preferibili a controlli successivi

Regolamento aziendale

Ogni azienda dovrebbe dotarsi di un regolamento sull’uso degli strumenti aziendali, che specifichi:

• Quali strumenti aziendali possono essere utilizzati per finalità private (di norma è ammesso un uso “modesto e personale” delle email e di internet, in pause)
• Cosa è vietato (siti pericolosi, scaricamento materiale illegale, partecipazione a chat illecite)
• Modalità di gestione dell’email aziendale durante e dopo il rapporto di lavoro
• Eventuali sistemi di monitoraggio del traffico (firewall, antivirus) e finalità

Privacy e smart working

Lo smart working (lavoro agile) introduce nuove sfide privacy: l’attività lavorativa esce dai confini fisici dell’azienda, i dispositivi sono utilizzati in contesti familiari, le reti utilizzate sono spesso domestiche.

Misure tipiche per lo smart working

• VPN per l’accesso ai sistemi aziendali
• Crittografia dei dispositivi mobili
• Autenticazione a doppio fattore per accessi sensibili
• Cloud sicuro con tracciatura degli accessi
• Policy specifiche sul lavoro da casa con istruzioni operative
• Formazione sulla sicurezza informatica
• Eventuale verifica periodica dell’ambiente di lavoro

Diritto alla disconnessione

La legge sul lavoro agile e i CCNL successivi hanno introdotto il diritto alla disconnessione: il lavoratore in smart working ha diritto a periodi di non reperibilità, durante i quali non possono essere richieste prestazioni lavorative. La gestione delle comunicazioni aziendali fuori orario è anche un tema privacy.

Data breach: cosa fare

Il data breach è una violazione dei dati personali che produce perdita, alterazione, divulgazione non autorizzata. Può essere accidentale (errore umano, malfunzionamento) o doloso (hacker, dipendente infedele).

Procedura in caso di data breach

1. Identificazione e contenimento dell’evento (entro le prime ore)
2. Valutazione della gravità: dati coinvolti, persone interessate, conseguenze potenziali
3. Notifica al Garante entro 72 ore se il rischio per gli interessati è elevato
4. Comunicazione agli interessati in caso di rischio elevato per i loro diritti e libertà
5. Documentazione dell’evento e delle azioni intraprese
6. Revisione delle misure di sicurezza per evitare ricorrenza

Esempi tipici di data breach

• Email inviata per errore a destinatari sbagliati con dati personali
• Smarrimento di PC, smartphone, chiavette USB con dati aziendali
• Attacco informatico (ransomware, phishing) con esfiltrazione di dati
• Documenti cartacei smarriti o trafugati
• Accesso non autorizzato di un dipendente a dati di colleghi

Sanzioni del Garante

Le sanzioni del GDPR sono di due fasce, in funzione della gravità della violazione.

Fascia	Massimo edittale	Esempio di violazione
Prima fascia (art. 83.4 GDPR)	Fino a €10 milioni o 2% del fatturato annuo globale	Mancata tenuta registro trattamenti, mancato accordo con responsabili esterni
Seconda fascia (art. 83.5 GDPR)	Fino a €20 milioni o 4% del fatturato annuo globale	Trattamento senza base giuridica, violazione diritti degli interessati, trasferimenti illeciti extra-UE

Nella pratica italiana, le sanzioni del Garante per le PMI variano in genere tra 5.000 e 50.000 euro per violazioni di media gravità. Per violazioni rilevanti possono raggiungere centinaia di migliaia di euro o, nei casi più gravi, milioni.

Criteri di determinazione della sanzione

• Natura, gravità e durata della violazione
• Carattere doloso o colposo della violazione
• Azioni intraprese per attenuare il danno
• Eventuali precedenti violazioni
• Categorie di dati interessati
• Modalità di conoscenza della violazione (segnalazione, controllo, autodenuncia)
• Grado di cooperazione con l’autorità

Conclusioni

La privacy sul lavoro non è un tema “ulteriore” rispetto alla sicurezza e alla gestione del personale: è una delle aree centrali della gestione aziendale moderna, con impatti potenzialmente significativi in termini di sanzioni, contenzioso e reputazione. Le PMI italiane sono spesso in ritardo nell’adeguamento privacy, talvolta perché percepiscono il GDPR come “roba per le grandi aziende”. È un errore: i controlli del Garante e i reclami dei lavoratori non si fermano davanti alle dimensioni dell’organizzazione.

Le aziende dovrebbero verificare oggi tre elementi: tutti i lavoratori hanno ricevuto l’informativa privacy aggiornata, l’eventuale videosorveglianza è autorizzata e segnalata correttamente, esiste una procedura scritta in caso di data breach. Anche solo una verifica negativa è il segnale di una vulnerabilità da sanare prima del prossimo controllo o reclamo.