Premessa

La gestione del personale rappresenta uno degli ambiti più delicati sotto il profilo della protezione dei dati personali. Ogni organizzazione che intenda operare in conformità al Regolamento UE 2016/679 (GDPR) deve, in via preliminare, acquisire piena consapevolezza delle informazioni trattate, delle finalità perseguite, delle modalità operative e degli strumenti utilizzati.

Il principio di accountability, cardine del sistema normativo europeo, impone infatti al Titolare del trattamento di essere in grado di dimostrare, in qualsiasi momento, la conformità delle proprie attività agli obblighi di legge. Ciò presuppone necessariamente lo svolgimento di un’accurata attività di mappatura dei dati, propedeutica alla corretta tenuta del registro dei trattamenti ai sensi dell’art. 30 GDPR.

1. Il contesto normativo e la peculiarità dei trattamenti HR

L’amministrazione del personale comporta, per sua natura, il trattamento di un’ampia gamma di dati personali. Accanto alle informazioni anagrafiche e contrattuali, vengono frequentemente trattate categorie particolari di dati ai sensi dell’art. 9 GDPR: dati relativi alla salute (certificati medici, idoneità alla mansione), all’appartenenza sindacale (trattenute per iscrizione, permessi), alle convinzioni religiose o filosofiche (festività, obiezione di coscienza), nonché, in taluni casi, dati genetici e biometrici.

Tale eterogeneità richiede al Titolare di resistere alla tentazione di effettuare valutazioni approssimative, procedendo invece a una catalogazione puntuale e sistematica di tutti i trattamenti effettuati. Questi ultimi possono essere raggruppati in macro-categorie funzionali:

• ricerca, selezione e assunzione del personale;
• esecuzione del contratto di lavoro e adempimenti retributivi;
• obblighi di legge e contrattuali collettivi;
• organizzazione del lavoro e pianificazione;
• sicurezza sul lavoro e sorveglianza sanitaria;
• cessazione del rapporto e gestione del contenzioso.

2. La mappatura dei trattamenti: una check-list operativa

Per evitare che la ricognizione dei trattamenti si riveli superficiale o incompleta, è opportuno che il Titolare si ponga una serie di quesiti puntuali. Si riportano di seguito alcuni esempi significativi, senza pretesa di esaustività:

Strumenti informatici e controllo: I computer aziendali registrano le attività di navigazione dei dipendenti? Sono installati software in grado di monitorare l’operato dei lavoratori? Tale aspetto assume particolare rilevanza alla luce dell’art. 4 della L. 300/1970 (Statuto dei Lavoratori), come modificato dal D.Lgs. 151/2015, che disciplina gli strumenti di controllo a distanza.

Recruiting e selezione: Le procedure di selezione vengono gestite internamente o affidate a soggetti terzi (agenzie, head hunter, piattaforme online)? Nel sito web aziendale è presente una sezione per la raccolta di candidature spontanee? In tali casi, occorre verificare la corretta informativa ex art. 13 GDPR e l’eventuale nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR.

Servizi cloud e trasferimento dati: L’attività di gestione del personale si avvale di servizi di cloud computing? Le buste paga vengono erogate tramite piattaforme digitali? In presenza di trasferimenti di dati verso Paesi terzi, il Titolare deve verificare l’esistenza di garanzie adeguate ai sensi degli artt. 44-49 GDPR.

Geolocalizzazione e dispositivi elettronici: Sui veicoli aziendali sono installati sistemi GPS o satellitari? I dipendenti sono dotati di dispositivi elettronici (badge intelligenti, rilevatori di presenza, wearable) idonei a localizzarli o a monitorarne i comportamenti? Tali trattamenti richiedono specifica valutazione ai sensi dell’art. 4 Stat. Lav. e, ove necessario, l’esperimento della procedura di accordo sindacale o autorizzazione amministrativa.

Dati biometrici: La rilevazione delle presenze avviene mediante sistemi biometrici (impronta digitale, riconoscimento facciale, iride)? Ai sensi dell’art. 9 GDPR, il trattamento di dati biometrici è consentito solo in presenza di specifiche condizioni di liceità, da valutarsi caso per caso anche alla luce dei provvedimenti del Garante.

Videosorveglianza: All’interno o nelle aree adiacenti al luogo di lavoro sono installate telecamere? Vengono utilizzate tecnologie di riconoscimento facciale? Anche in questo caso, trovano applicazione le disposizioni dell’art. 4 Stat. Lav. e le prescrizioni del Garante in materia.

Valutazione delle performance e rimborsi spese: L’ufficio risorse umane gestisce schede valutative o report sulle prestazioni dei dipendenti? L’azienda rimborsa spese da cui è possibile desumere spostamenti, acquisti e abitudini personali? Ai dipendenti sono state assegnate carte di credito aziendali i cui estratti conto consentono di monitorare le transazioni?

Comunicazioni e uso di strumenti non ufficiali: I dati del personale vengono comunicati esclusivamente tramite canali autorizzati dalla direzione, oppure si utilizzano anche strumenti di messaggistica (WhatsApp, Telegram, Signal) o piattaforme di file sharing (Dropbox, WeTransfer, Google Drive)? L’impiego di tali strumenti solleva questioni in ordine alla sicurezza dei dati e alla loro tracciabilità.

Cessazione del rapporto: Gli account di posta elettronica e i profili utente rimangono attivi anche dopo la cessazione del rapporto di lavoro? La conservazione di tali dati deve essere limitata nel tempo e giustificata da esigenze specifiche, nel rispetto del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR.

3. Il ciclo di vita dei dati personali e le risorse (asset) coinvolte

Un processo di mappatura efficace deve contemplare non soltanto l’identificazione dei trattamenti, ma anche la descrizione del ciclo di vita dei dati: dall’acquisizione alla conservazione, dalla comunicazione all’eventuale cancellazione. In particolare, occorre:

1. identificare le attività di trattamento effettuate e le relative finalità;
2. fornire una descrizione qualitativa e quantitativa delle categorie di dati trattati, con particolare attenzione alle categorie particolari ex art. 9 GDPR;
3. descrivere le modalità di acquisizione, elaborazione, comunicazione e archiviazione;
4. mappare le articolazioni aziendali, le società esterne e i professionisti coinvolti nel trattamento;
5. identificare le interazioni con altri processi aziendali e con ulteriori soggetti destinatari dei dati.

L’individuazione delle risorse (asset) utilizzate nelle operazioni di trattamento completa il quadro: sistemi informativi, applicativi gestionali, archivi cartacei, dispositivi mobili, servizi in outsourcing costituiscono tutti elementi da censire e sottoporre a valutazione sotto il profilo della sicurezza.

4. I trattamenti mediante sistemi di intelligenza artificiale

Un capitolo a parte meritano i trattamenti di dati personali effettuati mediante sistemi di intelligenza artificiale, sempre più diffusi anche nell’ambito della gestione HR. L’impiego di algoritmi per lo screening dei curricula, la valutazione delle performance, la predizione del turnover o la definizione di percorsi di carriera comporta rischi specifici che il Titolare deve attentamente presidiare.

In particolare, l’art. 22 GDPR disciplina le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono significativamente sulla persona interessata. In tali casi, fatte salve le eccezioni previste, l’interessato ha diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione.

Il Regolamento UE 2024/1689 (AI Act), inoltre, classifica i sistemi di IA utilizzati per la gestione dei lavoratori tra quelli ad alto rischio, imponendo obblighi stringenti in termini di trasparenza, documentazione tecnica, supervisione umana e gestione dei rischi. L’interazione tra GDPR e AI Act richiede quindi un approccio integrato alla compliance.

Conclusioni

La gestione dei dati personali nell’ambito delle risorse umane richiede un approccio strutturato e consapevole. La mappatura dei trattamenti non costituisce un mero adempimento formale, ma rappresenta il presupposto indispensabile per garantire la conformità normativa, tutelare i diritti degli interessati e prevenire i rischi sanzionatori.

In un contesto caratterizzato dalla crescente digitalizzazione dei processi e dall’adozione di tecnologie innovative, il Titolare del trattamento deve dotarsi di strumenti adeguati e, ove necessario, avvalersi di competenze specialistiche per presidiare efficacemente questo delicato ambito.

* * *

Il nostro Studio offre assistenza specializzata in materia di protezione dei dati personali e diritto del lavoro. Per una consulenza personalizzata sulla mappatura dei trattamenti, la redazione del registro ex art. 30 GDPR, la valutazione d’impatto (DPIA) o l’adeguamento alla normativa vigente, contattateci per un primo colloquio conoscitivo.