Il titolare del trattamento non può lasciare senza risposta una richiesta con cui il lavoratore chiede di accedere ai propri dati personali. Anche quando ritiene che l’istanza sia infondata, ecceda il perimetro del diritto di accesso, oppure sia formulata nell’ambito di un procedimento disciplinare, deve comunque prenderla in carico, rispondere nei termini previsti dal Gdpr e, in caso di diniego, spiegare le ragioni della propria decisione e indicare all’interessato i rimedi esperibili. È questo uno dei principi più rilevanti che emerge dal provvedimento del Garante privacy del 6 agosto 2026, con il quale è stata sanzionata una società per 39mila euro a fronte di diverse violazioni della disciplina sulla protezione dei dati personali. La vicenda nasce da due contestazioni disciplinari. Il lavoratore, nel predisporre le proprie difese, aveva chiesto di prendere visione e ottenere copia della documentazione utilizzata dalla società, compresi alcuni dati ricavati dal dispositivo Gps installato sull’autovettura aziendale. L’impresa aveva letto queste richieste soltanto nella prospettiva dell’articolo 7 dello Statuto dei lavoratori, ritenendo di non essere obbligata a consegnare preventivamente al dipendente le fonti di prova poste a fondamento della contestazione. Il Garante sposta invece il problema su un piano diverso. Quando una richiesta ha ad oggetto dati personali, il titolare deve valutarla anche come possibile esercizio del diritto di accesso previsto dall’articolo 15 del Gdpr. Non è decisivo la terminologia utilizzata dall’interessato, né il fatto che la richiesta sia contenuta in una memoria difensiva o collegata a un procedimento disciplinare. Da qui discende soprattutto un preciso obbligo procedurale. Il titolare deve esaminare l’istanza e fornire un riscontro. Se ritiene di non poterla accogliere, non può semplicemente omettere la risposta: deve comunicare all’interessato i motivi per i quali non dà seguito alla richiesta e informarlo della possibilità di proporre reclamo all’Autorità di controllo o ricorso giurisdizionale. Il principio ha una rilevanza pratica evidente per le aziende. Le richieste formulate dai dipendenti non possono essere valutate soltanto secondo le categorie del diritto del lavoro. Una domanda che non comporti necessariamente un obbligo di esibizione nell’ambito del procedimento disciplinare può comunque integrare un’istanza di accesso ai dati personali e attivare gli obblighi previsti dagli articoli 12 e 15 del Gdpr. Il provvedimento affronta anche il tema della geolocalizzazione. La società aveva installato dispositivi Gps sui veicoli aziendali sulla base di un accordo sindacale stipulato in base all’articolo 4 dello Statuto dei lavoratori, senza però fornire ai dipendenti una specifica informativa privacy. Secondo il Garante, la circostanza che il sistema non associasse automaticamente il tracciato al nome del dipendente non escludeva il trattamento di dati personali, essendo comunque possibile collegare il veicolo al lavoratore che lo utilizzava. Anche su questo versante i due piani restano distinti. L’accordo sindacale può rendere legittima l’installazione dello strumento sotto il profilo lavoristico, ma non sostituisce gli adempimenti richiesti dal Gdpr. Un doppio binario di tutele e adempimenti che troppo spesso viene gestito in maniera imprecisa. Infine, il Garante richiama l’esigenza di precisione delle informative. Non è corretto indicare, per cautela, categorie di dati che in concreto non vengono trattate. La trasparenza richiede che l’informativa descriva in modo fedele e specifico i trattamenti effettivamente svolti. La decisione fornisce quindi un’indicazione molto concreta: le richieste dei lavoratori che coinvolgono dati personali devono essere intercettate e gestite con una procedura autonoma, anche quando nascono dentro un contenzioso o un procedimento disciplinare. Il rischio, altrimenti, è che un problema gestito correttamente sul piano lavoristico produca comunque una violazione della disciplina privacy.

Fonte: SOLE24ORE