Cos'è l'informativa privacy per il lavoratore dipendente?
L’informativa privacy per il lavoratore dipendente è il documento attraverso il quale il datore di lavoro, in qualità di titolare del trattamento, informa il personale sulle modalità di raccolta, utilizzo, conservazione e protezione dei dati personali nell’ambito del rapporto di lavoro. Il fondamento normativo risiede negli articoli 13 e 14 del GDPR, integrati in Italia dal D.Lgs. 196/2003 (Codice Privacy, come modificato dal D.Lgs. 101/2018) e dal D.Lgs. 152/1997, aggiornato dal cosiddetto Decreto Trasparenza.
L’informativa privacy del datore di lavoro deve essere redatta in modo chiaro, conciso e facilmente comprensibile per il lavoratore, indipendentemente dalla sua funzione o livello di istruzione. Non si tratta di un semplice modulo da far firmare, ma di uno strumento che garantisce il principio di trasparenza sancito dall’articolo 12 del GDPR. Attraverso questo documento, il dipendente viene messo nelle condizioni di conoscere i propri diritti e le modalità per esercitarli, nonché di comprendere le basi giuridiche che legittimano il trattamento dei suoi dati.
È importante sottolineare che, nel contesto del rapporto di lavoro, il consenso del dipendente non rappresenta generalmente una base giuridica valida per il trattamento dei dati, poiché il rapporto tra lavoratore e datore di lavoro non è caratterizzato da un equilibrio pienamente libero tra le parti. Le basi giuridiche più appropriate sono l’esecuzione del contratto di lavoro, l’adempimento di obblighi di legge e, in casi specifici, il legittimo interesse del titolare.
Consiglio dell’esperto:
Non confondere la firma dell’informativa con il consenso al trattamento. L’informativa privacy in un contratto di lavoro è un atto dovuto dal datore di lavoro a prescindere dalla volontà del dipendente: la firma del lavoratore attesta solo la presa visione del documento, non autorizza il trattamento. Fondare il trattamento dei dati sul consenso anziché sulle corrette basi giuridiche è uno degli errori più frequenti e può esporre l’azienda a contestazioni e sanzioni.
Quando deve essere consegnata l’informativa privacy al dipendente?
1. All'assunzione del lavoratore
Il momento principale in cui l’informativa privacy del rapporto di lavoro deve essere consegnata è la fase di assunzione. Il datore di lavoro è tenuto a fornire il documento prima di procedere al trattamento dei dati personali del neoassunto, idealmente contestualmente alla sottoscrizione del contratto di lavoro o della lettera di assunzione. Questo significa che il lavoratore deve ricevere l’informativa prima che i suoi dati vengano inseriti nei sistemi aziendali per la gestione delle presenze, l’elaborazione delle buste paga, la comunicazione agli enti previdenziali e fiscali o qualsiasi altra finalità connessa al rapporto di lavoro. Il Decreto Trasparenza (D.Lgs. 104/2022) ha rafforzato ulteriormente questo obbligo, imponendo al datore di lavoro di informare il lavoratore anche sull’eventuale utilizzo di sistemi decisionali o di monitoraggio automatizzati.
2. In caso di modifica delle modalità di trattamento dei dati
L’informativa non è un documento statico: ogni volta che cambiano le finalità, le modalità o le categorie di dati trattati, il datore di lavoro è tenuto ad aggiornare il documento e a comunicare tempestivamente le modifiche al dipendente. Questo accade, ad esempio, quando l’azienda adotta un nuovo software gestionale, esternalizza l’elaborazione delle buste paga a un fornitore esterno, introduce nuove politiche di gestione delle risorse umane o modifica i tempi di conservazione dei dati. L’aggiornamento deve essere effettuato prima che le nuove modalità di trattamento entrino in vigore, garantendo al lavoratore la possibilità di conoscere in anticipo come verranno utilizzati i suoi dati.
3. Prima dell’attivazione di strumenti di controllo o monitoraggio
Un momento particolarmente delicato è l’introduzione di sistemi di videosorveglianza, geolocalizzazione, monitoraggio della posta elettronica o di qualsiasi altro strumento che possa comportare un controllo, anche indiretto, sull’attività del lavoratore. In questi casi, l’informativa privacy del datore di lavoro deve essere fornita preventivamente e deve descrivere con chiarezza le finalità del controllo, i dati raccolti, i tempi di conservazione e le modalità di accesso. L’articolo 4 dello Statuto dei Lavoratori (L. 300/1970, come modificato dal Jobs Act) impone inoltre che l’installazione di impianti audiovisivi e altri strumenti di controllo sia preceduta da un accordo sindacale o da un’autorizzazione dell’Ispettorato del Lavoro.
Consiglio dell’esperto:
Se la tua azienda utilizza strumenti come software di monitoraggio delle presenze, GPS sui veicoli aziendali, telecamere o sistemi di filtraggio della navigazione internet, verifica che l’informativa includa una sezione specifica per ciascuno di questi strumenti. Un’informativa generica che non menzioni i sistemi effettivamente in uso può essere considerata inadeguata dal Garante, con il rischio concreto di sanzioni e dell’inutilizzabilità delle eventuali prove raccolte.
4. In caso di trasferimento di dati a soggetti terzi o fuori dall’UE
Se i dati del dipendente vengono comunicati a soggetti terzi (consulenti del lavoro, studi paghe, società di formazione, enti previdenziali) o trasferiti al di fuori dell’Unione Europea, ad esempio nel caso di aziende appartenenti a gruppi multinazionali, il lavoratore deve esserne informato. L’informativa deve specificare i destinatari dei dati, le finalità della comunicazione e, nel caso di trasferimenti extra-UE, le garanzie adottate per la protezione dei dati (clausole contrattuali standard, decisioni di adeguatezza, norme vincolanti d’impresa).
Come redigere l’informativa privacy per i dipendenti?
1. Indicare titolare e responsabile del trattamento
La prima sezione dell’informativa privacy dipendenti GDPR deve identificare il titolare del trattamento, ossia il datore di lavoro (persona fisica o giuridica), indicando denominazione, sede legale, partita IVA e recapiti di contatto. Se è stato nominato un Responsabile della Protezione dei Dati (DPO), devono essere riportati anche i suoi dati di contatto, affinché il dipendente sappia a chi rivolgersi per esercitare i propri diritti o per qualsiasi domanda relativa al trattamento. In presenza di responsabili del trattamento esterni (ad esempio lo studio paghe, il consulente del lavoro, il fornitore del software gestionale), è opportuno indicarne almeno le categorie, specificando il ruolo che svolgono nel trattamento dei dati del dipendente.
2. Descrivere le finalità e la base giuridica del trattamento
Per ogni categoria di dati trattati, l’informativa deve indicare la finalità specifica e la corrispondente base giuridica ai sensi dell’articolo 6 del GDPR. Nel rapporto di lavoro le basi giuridiche più ricorrenti sono l’esecuzione del contratto (per la gestione delle presenze, l’elaborazione della retribuzione, l’organizzazione del lavoro), l’adempimento di obblighi di legge (comunicazioni a enti previdenziali, fiscali e assicurativi, tenuta del Libro Unico del Lavoro) e il legittimo interesse del titolare (per la protezione del patrimonio aziendale, la prevenzione di illeciti, la gestione del contenzioso). Per i dati appartenenti a categorie particolari, come quelli relativi alla salute, all’appartenenza sindacale o alle convinzioni religiose, la base giuridica è individuata dall’art. 9, par. 2, lett. b) del GDPR (necessità per l’esecuzione di obblighi in materia di diritto del lavoro e della sicurezza sociale).
3. Informare sui diritti dell’interessato
L’informativa deve elencare con chiarezza i diritti riconosciuti al lavoratore dal GDPR: diritto di accesso ai propri dati (art. 15), diritto di rettifica (art. 16), diritto alla cancellazione (art. 17), diritto alla limitazione del trattamento (art. 18), diritto alla portabilità dei dati (art. 20), diritto di opposizione (art. 21) e diritto di proporre reclamo al Garante per la protezione dei dati personali. Per ciascun diritto è necessario indicare le modalità di esercizio (chi contattare, attraverso quale canale, entro quali tempi il titolare è tenuto a rispondere) e le eventuali limitazioni previste dalla legge.
Consiglio dell’esperto:
Per garantire la piena conformità al GDPR, l’informativa privacy del rapporto di lavoro non deve limitarsi a elencare genericamente i diritti del lavoratore, ma deve indicare un recapito specifico (email, PEC o indirizzo fisico) al quale il dipendente possa inviare le proprie richieste. Il Garante ha più volte rilevato che l’assenza di un canale chiaro per l’esercizio dei diritti costituisce una violazione del principio di trasparenza.
4. Specificare tempi di conservazione e misure di sicurezza
L’informativa deve indicare per quanto tempo i dati verranno conservati, evitando formule generiche come “per il tempo strettamente necessario”. Il Garante ha espressamente censurato questo tipo di formulazione nel Provvedimento del 10 giugno 2021, qualificandola come una violazione dei principi di limitazione della conservazione e di trasparenza. I tempi devono essere indicati con riferimento alle singole categorie di dati: ad esempio, i dati contenuti nel Libro Unico del Lavoro devono essere conservati per almeno cinque anni dall'ultima registrazione, i dati relativi alla sicurezza sul lavoro per un periodo variabile in base alla normativa specifica, i dati sanitari secondo i termini previsti dalla legislazione in materia. L’informativa deve anche menzionare le misure di sicurezza adottate per proteggere i dati, in conformità al principio di integrità e riservatezza.
Cosa deve contenere l’informativa privacy del lavoratore?
- Identità del titolare e del DPO. Il documento deve indicare con precisione chi è il titolare del trattamento (il datore di lavoro) e, se nominato, il Responsabile della Protezione dei Dati, con i relativi recapiti. In strutture organizzative complesse o con attività dislocate sul territorio, è opportuno indicare anche eventuali responsabili interni al trattamento, affinché il dipendente sappia a chi rivolgersi concretamente.
- Categorie di dati trattati e periodo di conservazione. L’informativa deve specificare quali categorie di dati vengono raccolte: dati anagrafici, dati di contatto, dati fiscali e previdenziali, dati bancari, dati relativi alla salute (certificati di malattia, idoneità lavorativa), dati relativi a presenze e orari, dati relativi alla valutazione delle prestazioni. Per ciascuna categoria deve essere indicato il periodo di conservazione, con riferimenti normativi precisi.
- Finalità e basi giuridiche del trattamento. Per ogni finalità (gestione del rapporto contrattuale, adempimento di obblighi di legge, tutela della sicurezza aziendale, formazione professionale) deve essere indicata la corrispondente base giuridica. Questo permette al lavoratore di comprendere perché i suoi dati vengono trattati e su quale fondamento giuridico.
- Destinatari e trasferimenti dei dati. L’informativa deve indicare a chi i dati possono essere comunicati (enti previdenziali, fiscali, assicurativi, consulenti del lavoro, fornitori di servizi IT, società del gruppo) e se è previsto un trasferimento di dati verso paesi terzi, specificando le garanzie adottate.
- Diritti dell’interessato e modalità di esercizio. La sezione dedicata ai diritti deve descrivere in modo chiaro e operativo come il dipendente può esercitarli, includendo i recapiti a cui inviare le richieste e i tempi di risposta del titolare.
- Informazioni su processi decisionali automatizzati. Se l’azienda utilizza algoritmi o sistemi automatizzati che incidono sul rapporto di lavoro (valutazione delle prestazioni, assegnazione dei turni, selezione del personale), il dipendente deve essere informato della logica utilizzata, della portata e delle conseguenze previste di tali trattamenti, come richiesto dall’articolo 22 del GDPR e dal Decreto Trasparenza.
Consigli pratici per l’informativa privacy ai dipendenti
- Aggiornare l'informativa ad ogni variazione del trattamento. L’informativa privacy dipendenti GDPR non è un documento che si redige una volta e si archivia. Ogni modifica nelle finalità, nei sistemi utilizzati, nei destinatari dei dati o nei tempi di conservazione richiede un aggiornamento tempestivo del documento e una nuova comunicazione al personale. Mantenere un registro delle versioni dell’informativa, con data e motivo dell’aggiornamento, è una buona prassi che dimostra l'attenzione dell'azienda alla conformità e facilita le verifiche in caso di ispezione.
- Far firmare la ricevuta di presa visione al dipendente. Anche se la firma del dipendente non equivale al consenso al trattamento, è fondamentale far sottoscrivere una ricevuta che attesti la presa visione dell'informativa. Questo documento costituisce la prova che il datore di lavoro ha adempiuto al proprio obbligo informativo. In caso di rifiuto da parte del lavoratore, è consigliabile annotare la circostanza su un verbale interno, alla presenza di un testimone, e inviare l’informativa anche tramite PEC o posta raccomandata.
- Conservare la documentazione per almeno cinque anni. Il Decreto Trasparenza prevede espressamente che le informazioni fornite al dipendente siano conservate e rese accessibili dal datore di lavoro, il quale deve conservare la prova della trasmissione o della ricezione per cinque anni dalla cessazione del rapporto di lavoro. È consigliabile archiviare le informative, le ricevute di presa visione e le eventuali comunicazioni di aggiornamento in un fascicolo dedicato per ciascun dipendente, sia in formato cartaceo che digitale.
Consiglio dell’esperto:
Non utilizzare modelli generici scaricati da internet senza adattarli alla realtà della tua organizzazione. Un modello di informativa privacy per dipendenti conforme al GDPR deve riflettere le effettive modalità di trattamento dei dati nella tua azienda: i software utilizzati, i fornitori coinvolti, i tempi di conservazione reali, gli eventuali strumenti di monitoraggio attivi. Un’informativa copia-incolla, non calibrata sulla tua attività, rischia di essere considerata inadeguata in sede di ispezione e di non proteggere l’azienda in caso di contenzioso.
- Integrare l'informativa con le policy aziendali. L’informativa è il documento cardine, ma la conformità al GDPR richiede anche la predisposizione di policy complementari: il regolamento per l’uso degli strumenti informatici aziendali, le procedure per la gestione dei data breach, le istruzioni operative per gli autorizzati al trattamento. Questi documenti devono essere coerenti tra loro e con l’informativa, creando un sistema documentale organico che tuteli sia il datore di lavoro che il lavoratore.
Conclusioni
L’informativa privacy del lavoratore dipendente è un obbligo fondamentale per ogni datore di lavoro, non solo come adempimento formale al GDPR, ma come strumento di trasparenza e di tutela reciproca nel rapporto di lavoro. Deve essere consegnata all’assunzione e aggiornata a ogni variazione del trattamento, deve contenere tutti gli elementi previsti dall’articolo 13 del GDPR: dal titolare del trattamento ai tempi di conservazione, dalle finalità ai diritti dell’interessato, e deve essere redatta in modo chiaro, specifico e coerente con la realtà organizzativa dell’azienda. Conservare la prova della consegna e mantenere il documento sempre aggiornato sono le due azioni più efficaci per dimostrare la conformità e ridurre il rischio di sanzioni.
