L’informativa privacy ai dipendenti descrive, in termini comprensibili, come il datore di lavoro tratta i dati delle persone che lavorano per lui. L’articolo 13 del GDPR richiede di fornire le informazioni quando i dati sono raccolti presso l’interessato; se arrivano da un’altra fonte occorre verificare l’articolo 14 e le sue eccezioni. Il documento non autorizza da solo ogni trattamento: finalità, base giuridica, necessità, proporzionalità e regole del lavoro devono essere verificati prima. Lo schema in questa pagina serve per impostare il lavoro; i campi vanno completati con i trattamenti effettivi dell’organizzazione.
Per esempio, elaborare la busta paga, gestire un badge e conservare i log della posta aziendale sono attività diverse. Metterle sotto la formula unica «gestione del personale» impedisce al lavoratore di capire quali dati siano necessari, chi li riceva e quanto rimangano disponibili. Un’informativa utile separa questi casi e rimanda, dove serve, a una policy operativa più dettagliata.
Punti chiave
- Il datore informa il lavoratore al momento della raccolta dei dati, prima di avviare finalità ulteriori non già comunicate.
- Contratto, obbligo legale e interesse legittimo sono basi possibili secondo il trattamento concreto; il consenso nel rapporto di lavoro richiede un’attenta verifica della libertà effettiva.
- L’articolo 4 dello Statuto dei lavoratori aggiunge garanzie per gli strumenti dai quali può derivare un controllo a distanza; l’informativa non sostituisce tali garanzie.
- Lo schema va completato con tempi di conservazione o criteri, trasferimenti, destinatari e modalità di esercizio dei diritti, non solo con un elenco di finalità.
Prima di scrivere: costruire la mappa dei trattamenti HR
Partite dal registro dei trattamenti, dagli applicativi realmente usati e dai contratti con i fornitori. Per ogni attività annotate chi decide finalità e mezzi, da dove arrivano i dati, chi vi accede, la base dell’articolo 6, l’eventuale condizione dell’articolo 9 e la durata della conservazione. Questo lavoro evita che una bozza generica menzioni trattamenti inesistenti o ometta strumenti introdotti in seguito. La guida su GDPR e risorse umane aiuta a distinguere le fasi del ciclo HR, ma l’informativa deve descrivere la realtà del singolo datore.
Considerate separatamente candidati, dipendenti, collaboratori e lavoratori cessati: le informazioni pertinenti possono cambiare. I dati di candidatura ricevuti direttamente seguono, in linea di principio, la trasparenza dell’articolo 13, con la particolarità prevista dal Codice privacy italiano per i curriculum spontanei. Dati ricevuti da agenzie, referenze o altre fonti richiedono un controllo specifico dell’articolo 14. La stessa informativa può coprire più gruppi soltanto se resta chiaro quali paragrafi li riguardano.
Una tabella di lavoro può associare «presenze» al sistema badge, «paghe» al gestionale, «sicurezza IT» ai log e «sorveglianza sanitaria» ai soli flussi cui il datore può legittimamente accedere. Non confondete la documentazione sanitaria custodita dal medico competente con le informazioni che il datore è autorizzato a conoscere. Evitate inoltre formule come «tutti i dati necessari» senza categorie, destinatari e scopi: il lettore non riesce a prevedere l’uso delle proprie informazioni.
Scegliere la base giuridica per ciascuna finalità
L’esecuzione del contratto dell’articolo 6, paragrafo 1, lettera b), riguarda il trattamento oggettivamente necessario per il rapporto contrattuale con il lavoratore; non copre ogni attività che il datore trova comoda. Gli obblighi fiscali, previdenziali o di sicurezza possono fondarsi sulla lettera c), identificando la norma pertinente. Per un trattamento fondato sull’interesse legittimo, lettera f), serve verificare necessità e bilanciamento con diritti e aspettative del lavoratore. La guida alle basi giuridiche permette di documentare la scelta senza trasformare una base in un’etichetta universale.
I dati sulla salute, l’appartenenza sindacale o altre categorie particolari richiedono anche una condizione dell’articolo 9, paragrafo 2, e le pertinenti garanzie nazionali. Scrivere «articolo 9» nella bozza non è sufficiente: occorre individuare il dato, lo scopo e la condizione effettivamente applicabile. Per la sorveglianza sanitaria il datore deve rispettare anche la ripartizione dei ruoli con il medico competente. Dati relativi a condanne o reati richiedono la verifica dell’articolo 10 e del diritto nazionale.
Il consenso non è la scorciatoia per trattamenti necessari al rapporto. Lo squilibrio tra datore e lavoratore può impedirne la libertà. Un uso genuinamente facoltativo dell’immagine per una campagna può essere valutato separatamente, purché rifiuto e revoca non producano conseguenze sfavorevoli e l’informativa distingua nettamente questo uso dagli obblighi contrattuali. Il provvedimento del Garante del 14 luglio 2026 mostra il problema di moduli con caselle di consenso già selezionate e trattamenti obbligatori mescolati a quelli accessori. Per il quadro pratico, vedi gli esempi di consenso GDPR.
Schema adattabile di informativa
Il testo seguente è una traccia editoriale, non un documento pronto all’uso. Inserite soltanto finalità reali, distinguete quelle facoltative e completate ogni campo dopo aver verificato sistemi, contratti e norme applicabili. Se una policy separata spiega i controlli sugli strumenti, indicatene titolo e modo di accesso.
Informazioni sul trattamento dei dati del personale — articoli 12 e 13 GDPR
Titolare e contatti: [denominazione, sede, recapito dedicato]. RPD, se designato: [contatti].
Finalità e basi: [attività effettiva; categorie di dati; base dell’articolo 6; eventuale condizione dell’articolo 9 o 10; interesse legittimo specifico, se applicabile]. Ripetere per ogni finalità distinta.
Destinatari: [uffici autorizzati, enti destinatari, categorie di fornitori e relativi ruoli]. Trasferimenti fuori SEE: [se previsti, destinazione e garanzia applicabile; altrimenti indicare la situazione verificata].
Conservazione: [termine o criterio distinto per buste paga, presenze, log, candidature e altri dati]. Conferimento: [quali dati sono richiesti da contratto o legge e conseguenze della mancata comunicazione].
Diritti: [accesso, rettifica, cancellazione, limitazione, opposizione, portabilità quando applicabile, eventuale revoca del consenso e modalità di richiesta]; reclamo al Garante. Decisioni automatizzate dell’articolo 22: [indicare se presenti e, in tal caso, informazioni richieste dall’articolo 13].
Non aggiungete un periodo fisso «cinque o dieci anni per tutti i dati». I termini dipendono dal documento e dall’obbligo o interesse residuo; i log tecnici hanno un’altra funzione rispetto agli atti retributivi. Per ciascuna categoria individuate il punto da cui decorre il periodo, chi dispone la cancellazione e quali copie di backup restano temporaneamente accessibili. Se un contenzioso impone una conservazione ulteriore, registratene motivo, perimetro e revisione. Questa distinzione rende il campo sulla conservazione davvero informativo.
Controlli a distanza: informazione e garanzie del lavoro
L’articolo 4 della legge 300/1970 disciplina gli impianti audiovisivi e gli altri strumenti dai quali può derivare controllo a distanza dell’attività dei lavoratori. Per gli strumenti del comma 1 servono le finalità ammesse dalla norma e un accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato competente. Il comma 2 riguarda gli strumenti usati dal lavoratore per rendere la prestazione e quelli di registrazione di accessi e presenze. Non basta tuttavia chiamare «strumento di lavoro» un software di monitoraggio per sottrarlo automaticamente al comma 1: occorre esaminarne funzioni e uso concreto.
Il comma 3 condiziona l’utilizzabilità delle informazioni raccolte a un’adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli, nonché al rispetto della disciplina privacy. L’informativa dell’articolo 13 e la policy su email, Internet e dispositivi devono quindi essere coerenti: una può riassumere finalità e diritti, l’altra può spiegare eventi registrati, accessi amministrativi e controlli. Nessuna delle due sostituisce l’accordo o l’autorizzazione quando richiesti.
Un esempio: se il sistema di assistenza IT registra l’ora di accesso per risolvere guasti, spiegate questa finalità e fissate accessi e tempi proporzionati. Se successivamente il datore intende usare gli stessi dati per analizzare la produttività individuale, non può farlo silenziosamente invocando la vecchia informativa. Deve rivalutare finalità, base, garanzie del lavoro, proporzionalità e trasparenza prima del nuovo uso. La scheda MDM e privacy aiuta a fare lo stesso esercizio per telefoni e tablet.
Sui metadati della posta elettronica, il Garante ha pubblicato un documento di indirizzo nel 2024 e ribadito in un provvedimento del luglio 2026 che raccolta e conservazione generalizzate possono consentire un controllo indiretto. Il periodo indicato dall’Autorità per i soli metadati necessari al funzionamento e alla sicurezza essenziale, nel quadro del comma 2, è di norma limitato a pochi giorni e comunque non superiore a 21, salvo particolari condizioni concrete adeguatamente comprovate. Non è una licenza generale a conservare per 21 giorni qualsiasi log o contenuto: finalità e assetto tecnico richiedono una valutazione specifica; conservazioni più estese possono richiedere le garanzie del comma 1.
Destinatari, fornitori e aggiornamenti
Nell’informativa, «destinatari» non significa solo soggetti esterni. Può essere utile spiegare quali funzioni interne sono autorizzate ad accedere ai dati, pur senza trasformare l’elenco dei singoli dipendenti in un allegato pubblico. Il consulente paghe, il fornitore cloud e la banca non hanno necessariamente lo stesso ruolo: distinguete responsabili ai sensi dell’articolo 28, titolari autonomi e altri destinatari secondo il servizio effettivo. Una qualifica non deriva automaticamente dall’etichetta «fornitore»; leggete il contratto e il potere decisionale sul trattamento. La guida alla nomina del responsabile aiuta a completare questa verifica.
Per i fornitori che accedono ai dati dall’estero, controllate se vi siano trasferimenti verso paesi terzi e quali garanzie e informazioni richiedano gli articoli 13 e 44 e seguenti. Non promettete che «i dati non escono dall’UE» senza verificare assistenza, subfornitori e backup. Per i destinatari previsti dalla legge, indicate categorie comprensibili e, quando utile, esempi pertinenti. Per i sistemi di whistleblowing o di welfare, predisponete un’informazione specifica se finalità, accessi o tempi sono diversi da quelli della gestione ordinaria del personale.
L’informativa va aggiornata quando cambia un elemento materiale del trattamento: nuovo strumento, finalità, destinatario, trasferimento o periodo di conservazione. Conservate la versione comunicata e la data di distribuzione; la firma «per presa visione» può aiutare a dimostrare la consegna, ma non equivale a un consenso e non sana contenuti inesatti. Se cambia una finalità, fornite le nuove informazioni prima di iniziare quel trattamento, secondo l’articolo 13, paragrafo 3. Il RPD, ove designato, può consigliare sulla revisione; la responsabilità della conformità resta del titolare.
Una verifica per tre situazioni frequenti
Nuovo software presenze. Prima di importare i dipendenti, confrontate le funzioni disponibili con quelle che userete davvero. La raccolta dell’ora di ingresso può servire alla gestione del rapporto; la geolocalizzazione continua o l’analisi delle pause richiede una valutazione autonoma. Chiedete chi può vedere i report, se il fornitore accede da remoto, quali dati restano dopo la cessazione e se l’applicativo consente esportazione e cancellazione. Poi aggiornate il registro, le istruzioni al personale autorizzato e l’informativa. Non copiate nell’avviso tutte le funzioni pubblicizzate dal venditore: descrivete quelle attive e verificate.
Casella email dopo l’uscita. La necessità di ricevere messaggi aziendali non autorizza a mantenere indefinitamente attivo un account nominativo dell’ex dipendente o a leggere liberamente i messaggi pregressi. Progettate prima una risposta automatica, un indirizzo alternativo di servizio e la gestione dei documenti aziendali. Informate lavoratori e interlocutori delle regole applicate, stabilite chi può accedere per esigenze specifiche e quando il conto sarà chiuso. Il Garante ha trattato in più provvedimenti l’uso delle caselle nominative dopo il rapporto: la soluzione concreta dipende dal contesto, ma l’informativa non deve promettere una cancellazione immediata se il sistema segue un processo diverso.
Welfare e iniziative facoltative. Un programma che offre servizi opzionali può coinvolgere piattaforme esterne e dati ulteriori rispetto alle paghe. Separate l’eventuale adesione al beneficio dall’autorizzazione a trattare qualunque informazione. Verificate quale ente decide gli scopi, che cosa riceve il datore e che cosa resta presso il fornitore. Se è richiesto un consenso, chi non aderisce deve poter proseguire il rapporto senza svantaggi ingiustificati. La comunicazione di dati di salute al datore va valutata con particolare rigore; un interesse organizzativo non rende necessaria la conoscenza della diagnosi.
Come controllare la qualità della bozza prima della consegna
Fate leggere il testo a una persona che non ha partecipato alla mappatura. Se non riesce a dire se i dati di accesso vengono usati per sicurezza o valutazione delle prestazioni, la finalità è troppo vaga. Se trova la parola «consenso» vicino a paghe e adempimenti previdenziali, controllate che non sia stata copiata da un fac-simile commerciale. Se la sezione conservazione ripete lo stesso periodo per ogni categoria, chiedete al responsabile dell’archivio quali norme o necessità lo sostengono. Questa revisione evita di affidarsi alla sola firma di presa visione come prova di trasparenza.
Controllate infine che la versione diffusa sia facilmente accessibile a chi non usa il portale aziendale, per esempio personale sul campo o in congedo. La modalità di consegna deve permettere di consultare le informazioni quando servono e di trovare il canale dei diritti. Una panoramica dei software GDPR può aiutare a valutare strumenti per mantenere collegati registro e versioni, ma nessun prodotto sostituisce la verifica umana delle basi e del contenuto dell’informativa.
Domande frequenti
Serve il consenso del dipendente per i dati necessari al rapporto?
Di norma no: scegliete la base corrispondente a ciascuna operazione, per esempio contratto quando il trattamento è oggettivamente necessario per il rapporto, oppure obbligo legale quando una norma lo impone. Il consenso richiede una scelta realmente libera e separata; un modulo precompilato per paghe o adempimenti obbligatori è fuorviante. Un uso accessorio dell’immagine può essere valutato caso per caso, senza conseguenze per chi rifiuta.
Quando va fornita l’informativa?
Quando i dati sono raccolti presso il lavoratore, l’articolo 13 richiede di fornire le informazioni in quel momento. Spesso ciò avviene prima o all’avvio del rapporto, ma non riducete la regola alla sola data di assunzione: nuove raccolte e finalità possono richiedere ulteriori informazioni. Se i dati provengono da terzi, verificate le condizioni e i tempi dell’articolo 14.
Basta informare i lavoratori per usare telecamere o software di controllo?
No. Occorre prima classificare lo strumento ai sensi dell’articolo 4 dello Statuto, rispettarne eventuali accordi o autorizzazioni e applicare necessità, minimizzazione e sicurezza. L’informazione adeguata sulle modalità d’uso e dei controlli resta necessaria; non sostituisce gli altri presupposti. Un semplice PC o badge non rende lecito ogni successivo uso dei dati registrati.
Quanto tempo si conservano i dati dopo la cessazione?
Non esiste un unico termine per l’intero fascicolo del dipendente. Distinguete obblighi di legge, prescrizione di pretese concretamente rilevanti e periodi necessari per log, email e sistemi di accesso. Inserite nell’informativa termini o criteri distinti e riesaminateli quando cambia il trattamento. Anche i metadati email seguono una valutazione specifica, non il periodo di conservazione dei documenti paghe.
La qualità dell’informativa si vede nelle domande a cui il lavoratore può rispondere: perché questo dato, perché ora, chi può vederlo, fino a quando e come esercitare un diritto. Partendo dalla mappa dei trattamenti, è possibile fornire risposte precise senza trasformare il documento in un elenco di formule standard. Per i dati ricevuti da altre fonti, leggi anche la guida sull’informativa dell’articolo 14.