Il provvedimento del 4 dicembre 2025 rappresenta un importante intervento del Garante volto a tutelare i diritti alla privacy nell’ambito dell’adozione di tecnologie di sorveglianza da parte delle forze di polizia locali. La complessità e la delicatezza del trattamento dei dati personali con finalità di polizia richiedono rigorose valutazioni di impatto e misure di sicurezza avanzate, affinché tali strumenti siano utilizzati nel pieno rispetto della normativa e della tutela degli interessati.

Il 4 dicembre 2025, il Garante per la protezione dei dati personali ha emesso il provvedimento n. 743 riguardante la valutazione di impatto sulla protezione dei dati personali (DPIA) relativa al sistema di videocamere operative individuali (body cam) destinato agli agenti della Polizia Locale del Comune di Pescara.

Contesto normativo e oggetto della valutazione

Il provvedimento si basa sul Regolamento UE 2016/679 (GDPR), sul Codice in materia di protezione dei dati personali (D.lgs. 196/2003 e successive modifiche) e sulla direttiva UE 2016/680, recepita dal D.lgs. 51/2018, che disciplina il trattamento dei dati personali da parte delle autorità competenti per finalità di prevenzione, indagine e accertamento di reati.

Il Comune di Pescara aveva presentato al Garante una quarta versione della DPIA, redatta in risposta a precedenti osservazioni, con l’obiettivo di implementare un sistema di body cam per gli agenti della Polizia Locale, finalizzato alla raccolta di prove nell’ambito delle attività di pubblica sicurezza e polizia giudiziaria.

Principali caratteristiche del sistema e trattamento dei dati

Il sistema prevede l’uso di videocamere portatili da parte di agenti specificamente autorizzati, con registrazioni in luoghi pubblici e privati in circostanze legittimate dalla legge, quali situazioni di pericolo, arresti in flagranza, perquisizioni e altre attività di polizia giudiziaria. Le immagini registrate sono destinate ad acquisire prove, proteggere l’incolumità degli operatori e garantire i diritti di difesa.

I dati trattati includono immagini video, dati temporali e geolocalizzazione (GPS), senza l’uso di tecnologie di riconoscimento facciale. Le registrazioni devono essere conservate per un massimo di 24 ore in assenza di fatti criminosi, e fino a 7 giorni o oltre se trasmesse all’Autorità Giudiziaria.

Il trattamento è fondato su basi giuridiche specifiche, tra cui l’articolo 6 del GDPR (interesse pubblico) e il D.lgs. 51/2018, con riferimento anche al decreto-legge n. 14/2017 in materia di sicurezza urbana.

Criticità evidenziate dal Garante

Nonostante l’evoluzione della DPIA, il Garante ha sottolineato numerose criticità persistenti:

• Ambiguità e riferimenti contraddittori alle fonti normative, con confusione tra Regolamento UE e Decreto specifico per finalità di polizia.
• Mancata indicazione della durata di conservazione dei log delle operazioni sul sistema.
• Assenza di spiegazioni riguardo alla presenza di SIM nelle body cam, sollevando dubbi sulla trasmissione e sicurezza dei dati.
• Insufficiente documentazione tecnica e chiarimenti relativi alla sicurezza informatica, in particolare sul sistema cloud utilizzato, la gestione delle chiavi crittografiche e la possibilità di accesso remoto da Paesi terzi, che potrebbe configurare un trasferimento illecito di dati.
• Inadeguatezza delle misure organizzative per la tempestiva cancellazione delle registrazioni non necessarie, con previsione di rinvii per turnazioni o festività ritenuti non giustificati.
• Discrepanze nelle modalità di conservazione dei dati tra DPIA e Disciplinare, con descrizioni generiche e non dettagliate delle misure di sicurezza adottate.

Esito del provvedimento

Alla luce delle persistenti lacune e dei rischi per la protezione dei dati personali degli interessati, il Garante ha espresso parere non favorevole alla DPIA presentata dal Comune di Pescara per il sistema body cam destinato alla Polizia Locale.

Il provvedimento invita pertanto il Comune a fornire ulteriori chiarimenti, documentazioni tecniche e ad adottare misure correttive per garantire la conformità del trattamento alle normative vigenti in materia di privacy e protezione dei dati personali.

✍️ Punti chiave da considerare per i Comuni e gli enti locali:

🔹 Valutazione DPIA rigorosa: trattandosi di trattamento ad alto rischio, la DPIA deve essere redatta con approfondimento tecnico, documentazione puntuale e inviata preventivamente al Garante. Una DPIA incompleta o generica espone l’ente a pareri non favorevoli e quindi a potenziali responsabilità.

🔹 Chiarezza delle basi giuridiche: occorre un’attenta lettura delle norme di riferimento (GDPR art. 6, D.lgs. 51/2018, ecc.) e degli scenari di utilizzo legittimo delle riprese.

🔹 Misure di sicurezza e trasferimenti di dati: il caso ha evidenziato criticità tecniche quali l’assenza di specifiche sulla sicurezza informatica, la gestione delle chiavi crittografiche, la presenza di SIM e la possibilità di accessi da Paesi terzi. Questi aspetti possono determinare un trattamento non conforme e il rigetto della DPIA.

🔹 Conservazione e proporzionalità: è fondamentale definire in modo trasparente i periodi di conservazione e le condizioni di cancellazione dei dati non pertinenti alle finalità istituzionali.

👉 Prima di implementare sistemi di body-cam, è pertanto opportuno:

• verificare i presupposti di liceità e proporzionalità;
• aggiornare i disciplinari interni;
• coinvolgere il Responsabile della protezione dei dati (DPO/RPD) fin dalle fasi progettuali.

---

#Privacy #GarantePrivacy #Bodycam #PoliziaLocale #ComuniMarche #ComuniUmbria #SegretariComunali #GDPR #ProtezioneDeiDati #DPIA #InnovazionePA #DPO

Testo Unico in materia di tutela della salute e della sicurezza sul lavoro – Decreto Legislativo 9 aprile 2008, n. 81

Questo contenuto fa parte di un ebook in corso di pubblicazione, visita la sezione Free-ebook per aggiornamenti.

1. Il lavoratore: la nozione “universale” di creditore di sicurezza

1.1. La definizione normativa

  L’art. 2, comma 1, lett. a), definisce il “lavoratore” come la “persona che, indipendentemente dalla tipologia contrattuale, svolge un’attività lavorativa nell’ambito dell’organizzazione di un datore di lavoro pubblico o privato, con o senza retribuzione, anche al solo fine di apprendere un mestiere, un’arte o una professione, esclusi gli addetti ai servizi domestici e familiari”.

  Tale definizione rappresenta uno dei tratti più innovativi del T.U. rispetto alla normativa previgente, segnando il definitivo superamento dell’ancoraggio della tutela prevenzionistica al solo rapporto di lavoro subordinato. La nozione accolta dal legislatore del 2008 è, infatti, espressamente sganciata dalla tipologia contrattuale e si fonda su un criterio sostanziale: l’inserimento funzionale del prestatore nell’organizzazione del datore di lavoro.

1.2. Gli elementi costitutivi della nozione

  La definizione si articola su alcuni elementi qualificanti:

a) L’indifferenza della tipologia contrattuale. L’inciso “indipendentemente dalla tipologia contrattuale” costituisce il cuore della nozione universalistica di lavoratore. Il legislatore ha inteso ricomprendere nella tutela prevenzionistica ogni forma di integrazione del prestatore nell’organizzazione datoriale, a prescindere dalla qualificazione giuridica del rapporto: lavoro subordinato a tempo indeterminato o determinato, part-time, intermittente, in somministrazione, ma anche lavoro autonomo coordinato, associazione in partecipazione, tirocinio.

b) L’inserimento nell’organizzazione datoriale. Il criterio discretivo è costituito dallo svolgimento dell’attività “nell’ambito dell’organizzazione di un datore di lavoro”. Tale elemento individua il perimetro della tutela: è lavoratore ai fini prevenzionistici chi opera all’interno di un’organizzazione altrui, esponendosi ai rischi che da essa promanano. Il criterio organizzativo sostituisce quello della subordinazione giuridica, tradizionalmente fondato sul potere direttivo e disciplinare del datore di lavoro.

c) L’irrilevanza della retribuzione. La locuzione “con o senza retribuzione” estende la tutela anche a chi presta attività a titolo gratuito, purché nell’ambito di un’organizzazione altrui. Vengono così inclusi i volontari, i tirocinanti non retribuiti, gli allievi in formazione.

d) La finalità formativa. L’inciso “anche al solo fine di apprendere un mestiere, un’arte o una professione” conferma l’inclusione di tutte le forme di apprendimento in contesto lavorativo: dall’apprendistato ai tirocini, dalla formazione professionale all’alternanza scuola-lavoro.

1.3. I soggetti equiparati

  La seconda parte della lett. a) elenca le figure espressamente equiparate al lavoratore ai fini prevenzionistici:

• il socio lavoratore di cooperativa o di società, anche di fatto, che presta la sua attività per conto della società o dell’ente;
• l’associato in partecipazione di cui all’art. 2549 c.c. (figura ora abrogata dal D. Lgs. n. 81/2015 ma rilevante per i rapporti pregressi);
• il tirocinante beneficiario delle iniziative di tirocini formativi e di orientamento;
• l’allievo degli istituti di istruzione e universitari e il partecipante ai corsi di formazione professionale, limitatamente ai periodi di effettivo utilizzo di laboratori, attrezzature, agenti chimici, fisici e biologici;
• il volontario nei limiti di cui all’art. 3-bis;
• il lavoratore socialmente utile di cui al D. Lgs. n. 468/1997.

1.4. L’unica esclusione: i lavoratori domestici

  L’art. 2, comma 1, lett. a), esclude espressamente dalla nozione di lavoratore “gli addetti ai servizi domestici e familiari”. L’esclusione trova giustificazione nella peculiarità del contesto domestico, caratterizzato dalla coincidenza tra ambiente di lavoro e ambiente di vita familiare del datore di lavoro, nonché dalla difficoltà di applicare le ordinarie misure di prevenzione in tale contesto.

  Va tuttavia precisato che l’esclusione riguarda l’applicazione delle disposizioni del T.U., ma non esonera il datore di lavoro domestico dall’obbligo generale di sicurezza di cui all’art. 2087 c.c., che continua a trovare applicazione anche nei confronti dei collaboratori domestici.

1.5. La ratio dell’universalità soggettiva

  La scelta del legislatore di adottare una nozione così ampia di lavoratore risponde a precise esigenze di politica del diritto:

• sul piano costituzionale, essa attua il principio di uguaglianza sostanziale (art. 3, comma 2, Cost.) e il diritto alla salute (art. 32 Cost.), che non tollerano discriminazioni fondate sulla tipologia contrattuale;
• sul piano europeo, essa recepisce l’orientamento della direttiva quadro 89/391/CEE, che adotta una nozione funzionale di lavoratore;
• sul piano sistematico, essa risponde all’evoluzione del mercato del lavoro, caratterizzato dalla proliferazione di forme contrattuali atipiche e dalla crescente difficoltà di tracciare confini netti tra lavoro subordinato e autonomo.

BOX GIURISPRUDENZIALE

La nozione di lavoratore nella giurisprudenza: universalità della tutela e criteri applicativi

La giurisprudenza di legittimità ha costantemente ribadito l’ampiezza della nozione di lavoratore ai fini prevenzionistici, valorizzando il criterio dell’inserimento nell’organizzazione datoriale rispetto alla qualificazione formale del rapporto.

Sul criterio dell’inserimento organizzativo. La Cassazione penale ha affermato che “le norme di prevenzione degli infortuni sul lavoro si applicano a favore di chiunque ponga in essere una prestazione lavorativa in senso lato, sicché la tutela, oltre a riguardare i lavoratori subordinati, si estende a tutte le persone che vengano a trovarsi in situazioni di pericolo connesse all’attività esercitata, a prescindere dall’eventuale mancato perfezionamento di un contratto e dall’episodicità della prestazione” (Cass. pen., Sez. VI, sent. 10 maggio 2011, n. 18078, disponibile su https://olympus.uniurb.it).

Sull’estensione ai terzi. In una pronuncia significativa, la Suprema Corte ha precisato che *”il datore di lavoro ha l’obbligo di garantire la sicurezza sul luogo di lavoro per tutti i soggetti che prestano la loro opera nell’impresa, senza distinguere tra lavoratori subordinati e persone estranee all’ambito imprenditoriale” (Cass. pen., Sez. IV, sent. 16 febbraio 2015, n. 6723, disponibile su https://olympus.uniurb.it.).

Sui tirocinanti. Con riferimento ai soggetti in formazione, la giurisprudenza ha chiarito che “l’equiparazione del tirocinante al lavoratore ai fini della normativa antinfortunistica comporta che il datore di lavoro è tenuto ad adottare tutte le misure di prevenzione e protezione previste dalla legge, compresa la valutazione dei rischi specifici connessi all’attività formativa” (Cass. pen., Sez. IV, sent. 22 ottobre 2004, n. 3444).

Sul lavoro irregolare. Particolarmente rilevante è l’orientamento secondo cui la tutela prevenzionistica prescinde dalla regolarità del rapporto: “l’obbligo di sicurezza grava sul datore di lavoro anche nei confronti dei lavoratori ‘in nero’, atteso che la finalità protettiva della normativa antinfortunistica non può essere vanificata dall’irregolarità del rapporto, che anzi ne aggrava la posizione sotto il profilo della colpa” (Cass. pen., Sez. IV, sent. 16 febbraio 2015, n. 6723, cit.).

Questo contenuto fa parte di un ebook in corso di pubblicazione, visita la sezione Free-ebook per aggiornamenti.

Guida operativa ai procedimenti e alle tutele dell’interessato

Abstract: Il presente contributo analizza in modo sistematico il contenzioso in materia di protezione dei dati personali, esaminando le procedure amministrative davanti al Garante Privacy e il rito del lavoro dinanzi all’Autorità giudiziaria ex art. 10 del D.Lgs. 150/2011. L’analisi tiene conto delle recenti evoluzioni normative, tra cui il Regolamento del Garante n. 1/2019, nonché della giurisprudenza più recente della Cassazione in tema di termini perentori dei procedimenti sanzionatori.

1. INTRODUZIONE

La tutela dei diritti in materia di protezione dei dati personali si articola secondo un sistema bifasico che consente all’interessato di scegliere tra due percorsi procedurali distinti: il ricorso amministrativo (reclamo) al Garante per la protezione dei dati personali, oppure il ricorso all’autorità giudiziaria ordinaria. Tale biforcazione procedurale, codificata dall’art. 140-bis del Codice Privacy (D. Lgs. 196/2003 come modificato dal D. Lgs. 101/2018) e dall’art. 79 del GDPR, rappresenta una peculiarità del sistema italiano che richiede un’attenta valutazione strategica da parte dei professionisti del settore.

È fondamentale sottolineare che i due percorsi sono alternativi ed esclusivi: ai sensi dell’art. 140-bis del Codice, “il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l’autorità giudiziaria”. Tale preclusione opera anche in senso inverso: la presentazione di un reclamo al Garante impedisce il successivo ricorso giudiziario, salvo il decorso infruttuoso dei termini di decisione previsti dalla legge.

2. IL PROCEDIMENTO DAVANTI AL GARANTE PRIVACY

2.1. Il reclamo: natura e presupposti

Il reclamo al Garante, disciplinato dagli artt. 77 del GDPR e 141 ss. del Codice Privacy, nonché dal Regolamento del Garante n. 1/2019, costituisce uno strumento di tutela amministrativa gratuito a disposizione dell’interessato che lamenta una violazione della normativa in materia di protezione dei dati personali.

Secondo quanto previsto dal Regolamento 1/2019 (disponibile sul sito del Garante), il reclamo deve essere presentato in forma scritta e deve contenere una serie di indicazioni essenziali, quali:

• i fatti e le circostanze su cui si fonda il reclamo;

• le disposizioni del GDPR o del Codice che si presumono violate;

• le misure richieste;

• gli estremi identificativi del titolare o del responsabile del trattamento.

2.1.1. L’istruttoria preliminare

Una volta ricevuto il reclamo, il Garante avvia un’istruttoria preliminare che si conclude entro 3 mesi dalla data di ricezione. Durante questa fase, l’Autorità verifica la sussistenza degli elementi costitutivi della presunta violazione e richiede eventuali chiarimenti sia al reclamante che al titolare del trattamento.

È importante evidenziare che l’istruttoria può concludersi con:

a) archiviazione, qualora non ricorrano i presupposti per l’adozione di provvedimenti;

b) avvio del procedimento per l’adozione di provvedimenti correttivi e/o sanzionatori.

2.2. Il procedimento sanzionatorio

Qualora l’istruttoria preliminare evidenzi profili di violazione della disciplina privacy, il Garante comunica formalmente al titolare o al responsabile del trattamento l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del GDPR e/o per l’irrogazione delle sanzioni amministrative di cui all’art. 83 del GDPR.

2.2.1. Il diritto di difesa

La comunicazione di avvio del procedimento contiene:

• i fatti contestati e le presunte violazioni;

• l’indicazione dell’unità organizzativa presso la quale è possibile prendere visione degli atti;

• l’avviso che entro 30 giorni è possibile depositare memorie difensive e/o richiedere l’audizione.

Il termine di 30 giorni può essere prorogato su istanza motivata, di norma per ulteriori 15 giorni, secondo criteri di proporzionalità. L’audizione, ove richiesta, si svolge presso la sede del Garante e consente all’interessato di farsi assistere da un legale o da un consulente tecnico.

2.2.2. Termini di decisione e tutele

Il Garante deve concludere il procedimento entro 9 mesi dalla data di presentazione del reclamo. Qualora entro tale termine l’Autorità non abbia adottato una decisione, l’interessato può proporre ricorso all’autorità giudiziaria entro 30 giorni dalla scadenza, in deroga al principio di alternatività dei rimedi.

Recentemente, la Corte di Cassazione con sentenza n. 759/2025 del 16 dicembre 2025 ha chiarito che anche il termine di 120 giorni per la conclusione del procedimento sanzionatorio, stabilito dal regolamento interno del Garante, ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere sanzionatorio dell’Autorità, determinando l’annullamento del provvedimento adottato oltre il termine.

2.3. I provvedimenti del Garante

All’esito del procedimento, il Garante può adottare diversi tipi di provvedimenti:

Tipologia	Contenuto
Provvedimenti correttivi	Ordine di cessazione del trattamento illecito, cancellazione dei dati, limitazione del trattamento, divieto di ulteriore trattamento (art. 58, par. 2, lett. f, g, h, i GDPR)
Sanzioni pecuniarie	Applicazione delle sanzioni amministrative pecuniarie ex art. 83 GDPR e art. 166 Codice Privacy, con importi fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo
Sanzioni accessorie	Pubblicazione del provvedimento sul sito istituzionale del Garante (art. 166, comma 7, Codice Privacy)
Archiviazione	Dichiarazione di infondatezza del reclamo o insussistenza dei presupposti per l’adozione di provvedimenti

L’ordinanza-ingiunzione che irroga la sanzione pecuniaria è impugnabile dinanzi all’autorità giudiziaria ordinaria secondo le modalità che verranno illustrate nel successivo paragrafo 3.

3. IL CONTENZIOSO GIURISDIZIONALE

3.1. Il ricorso all’autorità giudiziaria

L’interessato può scegliere di rivolgersi direttamente all’autorità giudiziaria ordinaria, senza preventiva presentazione del reclamo al Garante, per far valere le violazioni della disciplina privacy. Tale opzione si rivela particolarmente opportuna quando:

• si intende ottenere il risarcimento del danno patrimoniale e/o non patrimoniale;

• è necessaria una tutela cautelare urgente;

• la controversia presenta profili di particolare complessità tecnica o giuridica;

• si desidera beneficiare di istruttoria probatoria completa.

3.1.1. Il rito del lavoro: disciplina applicabile

L’art. 10 del D. Lgs. 150/2011 stabilisce in modo inequivocabile che le controversie in materia di privacy sono regolate dal rito del lavoro (artt. 409 ss. c.p.c.). Tale previsione costituisce un’importante deroga ai riti ordinari e si applica a tutte le controversie previste dall’art. 152 del Codice Privacy, che comprendono:

• opposizione ai provvedimenti del Garante;

• ricorsi per violazioni della normativa privacy;

• azioni di risarcimento del danno ex art. 82 GDPR;

• qualunque controversia riguardante l’applicazione delle disposizioni in materia di protezione dei dati personali.

Il rito del lavoro si caratterizza per:

• concentrazione processuale: fissazione ravvicinata dell’udienza di discussione;

• poteri officiosi del giudice: il giudice può disporre d’ufficio mezzi di prova;

• limitazione per il contenzioso privacy dei gradi di giudizio: come vedremo, nel contenzioso privacy la sentenza di primo grado è inappellabile;

• esecutività immediata: la sentenza è provvisoriamente esecutiva.

3.1.2. Competenza territoriale

L’art. 10, comma 2, del D. Lgs. 150/2011 prevede una competenza territoriale alternativa. Il ricorso può essere proposto presso:

• il Tribunale del luogo in cui il titolare del trattamento risiede o ha sede; oppure

• il Tribunale del luogo di residenza dell’interessato.

Tale previsione, in linea con l’art. 79, par. 2, del GDPR, consente all’interessato di scegliere il foro più conveniente, facilitando l’accesso alla giustizia.

3.2. L’opposizione ai provvedimenti del garante

Avverso i provvedimenti del Garante (sia correttivi che sanzionatori) è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice Privacy e 10 del D.Lgs. 150/2011. Il procedimento segue il rito del lavoro.

3.2.1. Termini e modalità

Il ricorso deve essere proposto entro 30 giorni dalla comunicazione del provvedimento (60 giorni se il ricorrente risiede all’estero). Il termine è perentorio a pena di inammissibilità del ricorso (art. 10, comma 3, D.Lgs. 150/2011).

Il procedimento si caratterizza per:

• fissazione dell’udienza di comparizione delle parti secondo il rito del lavoro;

• possibilità di disporre misure cautelari e tutela d’urgenza (art. 10, comma 4);

• decisione con sentenza immediatamente esecutiva;

• sentenza non appellabile: è possibile solo il ricorso per Cassazione (art. 10, comma 10, D.Lgs. 150/2011).

3.2.2. Effetti dell’opposizione e poteri del giudice

L’opposizione al provvedimento del Garante:

• non sospende automaticamente l’efficacia del provvedimento impugnato;

• l’interessato può richiedere al giudice la sospensione cautelare dell’esecutività;

• il giudice può confermare, modificare o annullare il provvedimento del Garante.

Importante: l’art. 10, comma 9, del D. Lgs. 150/2011 attribuisce al giudice ampi poteri, consentendogli di prescrivere le misure necessarie anche in deroga al divieto di cui all’art. 4 della legge 20 marzo 1865, n. 2248, allegato E) (divieto per il giudice ordinario di revocare o modificare atti amministrativi). Ciò significa che il giudice può intervenire anche sull’atto del soggetto pubblico titolare o responsabile dei dati.

3.3. L’azione di risarcimento del danno

L’art. 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale causato da una violazione del Regolamento il diritto di ottenere il risarcimento dal titolare del trattamento o dal responsabile. L’azione risarcitoria, anch’essa regolata dal rito del lavoro ex art. 10 D. Lgs. 150/2011, può essere proposta:

a) contestualmente al ricorso per violazione privacy;

b) in via autonoma, anche dopo la conclusione del procedimento davanti al Garante;

c) anche qualora il Garante abbia archiviato il reclamo.

È importante evidenziare che la giurisprudenza riconosce la risarcibilità anche del danno non patrimoniale derivante da violazioni privacy, anche in assenza di conseguenze economiche dirette, qualora sia provato un pregiudizio alla dignità, alla reputazione o alla sfera personale dell’interessato.

4. ASPETTI PROCEDURALI E STRATEGICI

4.1. La scelta del foro: Garante o AGO

La scelta tra il ricorso al Garante e quello all’autorità giudiziaria richiede un’attenta valutazione strategica basata su diversi fattori:

Criterio	Reclamo al Garante	Ricorso all’AGO (rito del lavoro)
Costi	Gratuito	Contributo unificato + spese legali
Tempi	Massimo 9 mesi (termine perentorio)	Tempi del rito del lavoro (generalmente più rapidi del rito ordinario)
Tutele ottenibili	Provvedimenti inibitori, sanzioni amministrative, ordini di cancellazione (NO risarcimento del danno)	Risarcimento del danno, tutela cautelare, provvedimenti d’urgenza, misure inibitorie
Istruttoria	Prevalentemente documentale, con poteri officiosi del Garante	Istruttoria completa con prove testimoniali, CTU, accertamenti tecnici, poteri officiosi del giudice
Impugnabilità	Opposizione dinanzi all’AGO entro 30 giorni	Sentenza NON appellabile – solo ricorso per Cassazione

4.2. La litispendenza e il divieto di cumulo

L’art. 140-bis del Codice Privacy stabilisce un rigido principio di alternatività tra i due rimedi. Tuttavia, la giurisprudenza ha chiarito che la litispendenza opera solo quando sussistono contestualmente:

• identità soggettiva (le stesse parti);

• identità di petitum (la stessa richiesta);

• identità di causa petendi (gli stessi fatti costitutivi della domanda).

Come recentemente confermato dal Garante nel Provvedimento del 21 maggio 2025 (doc. web n. 10143261), non sussiste litispendenza quando il ricorso giudiziario ha ad oggetto questioni diverse (ad esempio, l’impugnazione di un licenziamento) rispetto al reclamo al Garante (ad esempio, la violazione privacy nel procedimento disciplinare). In tali casi, i due procedimenti possono proseguire parallelamente.

4.3. Il rapporto tra procedimento privacy e rito del lavoro

Una questione di particolare rilevanza pratica riguarda il coordinamento tra il contenzioso privacy e le controversie di lavoro. Secondo la giurisprudenza consolidata, il Garante conserva piena competenza ad accertare le violazioni della disciplina privacy anche quando i fatti si inseriscono nel contesto di un rapporto di lavoro già oggetto di giudizio.

Come chiarito nel Provvedimento del 24 aprile 2024 (n. 268, doc. web n. 10021491), costituisce violazione privacy l’utilizzo, nell’ambito di un procedimento disciplinare, di dati relativi alla vita privata del dipendente ottenuti mediante controlli non autorizzati, anche se tali dati sono successivamente utilizzati in un giudizio di impugnazione del licenziamento. L’illiceità del trattamento rimane indipendente dall’esito del giudizio del lavoro.

L’applicazione del rito del lavoro a tutte le controversie privacy (ex art. 10 D. Lgs. 150/2011) garantisce uniformità procedimentale e consente un efficace coordinamento tra le diverse tutele.

5. NOVITÀ NORMATIVE E GIURISPRUDENZIALI RECENTI

5.1. La sentenza della Cassazione sui termini perentori (2025)

La Corte di Cassazione, con la sentenza n. 759/2025 del 16 dicembre 2025, ha affermato un principio di fondamentale importanza: il termine di 120 giorni previsto dal regolamento interno del Garante per la conclusione del procedimento sanzionatorio ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere dell’Autorità e l’annullamento del provvedimento adottato oltre il termine.

Questa pronuncia ha rilevanti implicazioni pratiche:

• i titolari del trattamento possono eccepire l’intempestività del provvedimento sanzionatorio nell’opposizione giurisdizionale;

• il rispetto dei termini diventa requisito di legittimità del provvedimento;

• aumentano le possibilità di successo delle opposizioni fondate su profili procedurali.

5.2. L’inappellabilità della sentenza ex art. 10 d. Lgs. 150/2011

Un aspetto di fondamentale rilevanza è costituito dall’inappellabilità della sentenza emessa all’esito del giudizio in materia privacy. L’art. 10, comma 10, del D. Lgs. 150/2011 stabilisce espressamente che la sentenza che definisce il giudizio non è appellabile, essendo esperibile solo il ricorso per Cassazione per i motivi di cui all’art. 360 c.p.c.

Tale previsione comporta che:

• il giudizio di primo grado assume carattere sostanzialmente definitivo sul merito;

• è fondamentale curare con particolare attenzione la fase di primo grado;

• l’istruttoria probatoria deve essere completa sin dalla prima fase;

• la strategia difensiva deve essere calibrata tenendo conto dell’impossibilità di un riesame nel merito in appello.

5.3. Evoluzione della prassi del Garante

L’analisi dei provvedimenti del Garante pubblicati nel 2024 e 2025 evidenzia alcune tendenze significative:

1. Maggiore rigore nell’accertamento del principio di accountability: il Garante richiede sempre più spesso la dimostrazione documentale delle misure adottate dal titolare per garantire la compliance (cfr. Provv. 4 giugno 2025, doc. web n. 10143278);

2. Attenzione crescente alla gestione dei rapporti con i responsabili del trattamento: viene sanzionata non solo l’assenza di contratti ex art. 28 GDPR, ma anche la loro inadeguatezza e il carente controllo sull’operato dei responsabili;

3. Tutela rafforzata dei minori: particolare severità nelle violazioni che coinvolgono dati di minori, anche in contesti sportivi o associativi (cfr. Provv. 17 luglio 2025, doc. web n. 10172356);

4. Valorizzazione del double opt-in per il marketing digitale: pur non essendo formalmente obbligatorio, viene considerato dal Garante come misura minima di protezione e come elemento di prova della liceità del consenso.

6. CONCLUSIONI E BEST PRACTICES

Il contenzioso in materia di privacy richiede una conoscenza approfondita sia degli strumenti di tutela amministrativa che di quelli giurisdizionali. La scelta del rimedio più appropriato deve tenere conto di molteplici fattori: dalla natura della violazione lamentata, agli obiettivi della tutela, dai tempi processuali ai costi, fino alle peculiarità del caso concreto.

È fondamentale tenere presente che tutte le controversie privacy sono regolate dal rito del lavoro ex art. 10 del D.Lgs. 150/2011, con le conseguenti peculiarità procedimentali (concentrazione, poteri officiosi del giudice, inappellabilità della sentenza).

6.1. Raccomandazioni operative

Per i professionisti del settore (avvocati, DPO, privacy officer) si suggeriscono le seguenti best practices:

Per gli interessati/reclamanti: valutare attentamente la procedura più adeguata prima di agire; conservare tutta la documentazione probatoria fin dall’inizio; esperire sempre l’istanza di esercizio dei diritti prima del reclamo (salvo casi di urgenza); monitorare costantemente i termini processuali, sia amministrativi che giudiziari; tenere presente che la sentenza di primo grado non è appellabile: massima cura nella fase iniziale.

Per i titolari del trattamento: predisporre procedure interne chiare per la gestione di reclami e istanze; mantenere documentazione completa delle misure di sicurezza e delle scelte di compliance (accountability); valutare sempre l’opportunità di una composizione bonaria prima dell’escalation del contenzioso; nei procedimenti davanti al Garante, utilizzare pienamente i 30 giorni per le memorie difensive; verificare costantemente la conformità dei contratti con i responsabili del trattamento; nell’opposizione giurisdizionale, preparare difesa completa considerando l’inappellabilità della sentenza.

Per le PMI: investire in formazione privacy per il personale (prevenzione > contenzioso); affidarsi a consulenti specializzati sin dalle prime fasi di un potenziale contenzioso; considerare l’opportunità di nominare un DPO anche quando non obbligatorio; stipulare polizze assicurative cyber risk che coprano anche il contenzioso privacy.

RIFERIMENTI NORMATIVI E FONTI

Normativa principale:

• Regolamento UE 2016/679 (GDPR)

• D.Lgs. 196/2003 (Codice Privacy), come modificato dal D. Lgs. 101/2018

• D.Lgs. 150/2011 – Art. 10 (Riduzione e semplificazione dei riti civili)

• Regolamento del Garante n. 1/2019

Fonti istituzionali:

• Sito del Garante Privacy: https://www.garanteprivacy.it

• Gazzetta Ufficiale: https://www.gazzettaufficiale.it

• Federprivacy: https://www.federprivacy.org

Giurisprudenza rilevante:

• Cass., sez. I, sent. n. 759/2025 del 16 dicembre 2025 (termini perentori)

• Garante Privacy, Provv. 21 maggio 2025, doc. web n. 10143261 (litispendenza)

• Garante Privacy, Provv. 4 giugno 2025, doc. web n. 10143278 (accountability)

• Garante Privacy, Provv. 24 aprile 2024, n. 268 (privacy e lavoro)

* * *

Articolo redatto a febbraio 2026

Definizioni, ruoli, obblighi e responsabilità

1. Premessa e collocazione sistematica

La presente relazione costituisce il terzo approfondimento di un ciclo dedicato al Regolamento (UE) 2016/679 (GDPR), complementare alle precedenti analisi su accountability, obblighi del titolare e sistema sanzionatorio, nonché sulle basi giuridiche del trattamento. L’obiettivo è fornire una disamina tecnico-giuridica dei soggetti coinvolti nel trattamento dei dati personali, analizzandone definizioni, funzioni, obblighi e reciproche relazioni.

L’articolo 4 del GDPR fornisce le definizioni fondamentali, mentre il Capo IV (artt. 24-43) disciplina gli obblighi specifici dei diversi soggetti. A livello interpretativo, le Linee guida 07/2020 dell’EDPB sui concetti di titolare del trattamento e di responsabile del trattamento (versione 2.0 del 7 luglio 2021) rappresentano il documento di riferimento a livello europeo, sostituendo il precedente Parere 1/2010 del Gruppo di lavoro Articolo 29.

2. Nozioni fondamentali: dato personale e trattamento

2.1 Dato personale

L’articolo 4, punto 1, del GDPR definisce il dato personale come qualsiasi informazione riguardante una persona fisica identificata o identificabile (interessato). La nozione è volutamente ampia e comprende non solo identificatori diretti come nome, codice fiscale o immagine, ma anche informazioni che consentano l’identificazione indiretta attraverso la combinazione con altri dati, quali indirizzi IP, dati di localizzazione, identificativi online o fattori specifici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Le categorie particolari di dati (art. 9 GDPR), precedentemente denominati “dati sensibili” nel Codice Privacy italiano, comprendono dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale. Per questi dati vige un divieto generale di trattamento, salvo le eccezioni tassativamente previste dall’articolo 9, paragrafo 2.

2.2 Trattamento

L’articolo 4, punto 2, definisce il trattamento come qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali. L’elenco fornito dal Regolamento è esemplificativo e comprende: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, raffronto o interconnessione, limitazione, cancellazione o distruzione.

L’ampiezza della definizione implica che qualsiasi contatto con dati personali, anche la mera consultazione occasionale, costituisce trattamento e ricade pertanto nell’ambito applicativo del GDPR.

3. Il titolare del trattamento

3.1 Definizione e natura funzionale

L’articolo 4, punto 7, del GDPR definisce il titolare del trattamento (controller) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. L’elemento caratterizzante è dunque il potere decisionale sugli aspetti essenziali del trattamento: il “perché” (finalità) e il “come” (mezzi).

Le Linee guida EDPB 07/2020 chiariscono che si tratta di un concetto funzionale, non formale: lo status di titolare deriva dall’analisi fattuale delle circostanze concrete, non dalla mera designazione contrattuale. L’EDPB sottolinea che “l’allocazione dei ruoli non è negoziabile tra le parti”: se un soggetto determina di fatto finalità e mezzi, sarà considerato titolare indipendentemente da quanto stabilito contrattualmente.

Il concetto è anche autonomo: la sua interpretazione si basa principalmente sul diritto dell’UE e non deve essere confusa con nozioni analoghe di altri ambiti giuridici (proprietà intellettuale, diritto societario, diritto del lavoro).

3.2 Determinazione delle finalità e dei mezzi

La titolarità può derivare da tre fonti. In primo luogo, da previsione normativa esplicita: quando la legge designa espressamente il titolare o ne stabilisce i criteri di individuazione. In secondo luogo, da competenza implicita: ruoli o funzioni tradizionalmente associati a determinate responsabilità (il datore di lavoro per i dati dei dipendenti, l’ospedale per i dati dei pazienti). Infine, dall’influenza fattuale: il soggetto che concretamente esercita il controllo sulle decisioni relative al trattamento.

L’EDPB distingue tra mezzi essenziali e mezzi non essenziali. I primi (tipo di dati trattati, durata, categorie di destinatari, categorie di interessati) devono essere determinati dal titolare. I secondi (aspetti tecnici come hardware, software, misure di sicurezza specifiche) possono essere delegati al responsabile del trattamento, che gode di un certo margine di autonomia nella loro scelta.

3.3 Obblighi principali del titolare

Il titolare è il principale destinatario degli obblighi previsti dal GDPR. Deve garantire e dimostrare la conformità al Regolamento attraverso misure tecniche e organizzative adeguate (art. 24), implementare la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25), tenere il registro delle attività di trattamento (art. 30), effettuare la valutazione d’impatto quando necessaria (art. 35), notificare le violazioni all’autorità di controllo e comunicarle agli interessati nei casi previsti (artt. 33-34), designare il DPO quando obbligatorio (art. 37) e rispettare i diritti degli interessati (artt. 12-22).

4. La contitolarità del trattamento

4.1 Nozione e presupposti

L’articolo 26 del GDPR disciplina la contitolarità (joint controllership): quando due o più titolari determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari. Non è necessario che la partecipazione sia paritaria: la responsabilità congiunta può derivare da decisioni comuni, da decisioni convergenti o anche dalla mera influenza determinante sugli elementi del trattamento.

Le Linee guida EDPB 07/2020 precisano che la contitolarità può sussistere anche quando i soggetti sono coinvolti in fasi diverse del trattamento o a livelli differenti, purché ciascuno eserciti un’influenza determinante su finalità o mezzi.

4.2 Giurisprudenza della CGUE sulla contitolarità

La Corte di Giustizia dell’Unione Europea ha progressivamente ampliato la nozione di contitolarità attraverso una serie di pronunce fondamentali.

Nella causa C-210/16 Wirtschaftsakademie Schleswig-Holstein (5 giugno 2018), la CGUE ha stabilito che l’amministratore di una fanpage su Facebook è contitolare insieme a Facebook del trattamento dei dati dei visitatori, in quanto la creazione della pagina implica decisioni su categorie di interessati e finalità del trattamento, anche se l’amministratore non ha accesso diretto ai dati.

Nella causa C-40/17 Fashion ID (29 luglio 2019), la Corte ha affermato che il gestore di un sito web che incorpora un plug-in social (come il pulsante “Mi piace” di Facebook) è contitolare limitatamente alle operazioni di raccolta e trasmissione dei dati, anche se non ha alcun controllo sulle successive fasi di trattamento effettuate dal fornitore del plug-in. La sentenza ha introdotto il concetto di contitolarità limitata a specifiche operazioni di trattamento.

4.3 Accordo tra contitolari

L’articolo 26, paragrafo 1, impone ai contitolari di determinare in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi del GDPR, con particolare riguardo all’esercizio dei diritti dell’interessato e agli obblighi informativi. Sebbene il GDPR non specifichi la forma dell’accordo, l’EDPB raccomanda un documento vincolante (contratto o altro atto giuridico) per garantire certezza del diritto.

Il contenuto essenziale dell’accordo deve essere messo a disposizione degli interessati (art. 26, par. 2). Tuttavia, l’accordo non è opponibile all’interessato: indipendentemente dalla ripartizione interna, l’interessato può esercitare i propri diritti nei confronti di ciascun contitolare (art. 26, par. 3).

5. Il responsabile del trattamento

5.1 Definizione e caratteristiche

L’articolo 4, punto 8, definisce il responsabile del trattamento (processor) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare. Elementi caratterizzanti sono la separatezza giuridica dal titolare e l’agire nell’interesse di quest’ultimo secondo le sue istruzioni.

Le Linee guida EDPB 07/2020 chiariscono che agire “per conto di” richiama il concetto giuridico di delega: il responsabile serve gli interessi del titolare e non può trattare i dati per proprie finalità autonome. Se lo fa, diventa titolare autonomo per quel trattamento (art. 28, par. 10) con tutte le conseguenti responsabilità.

Non ogni fornitore esterno è automaticamente responsabile del trattamento. L’EDPB cita l’esempio del consulente IT chiamato a riparare un bug: se l’accesso ai dati è incidentale e non finalizzato al trattamento, il consulente non assume il ruolo di responsabile.

5.2 Il Data Processing Agreement (art. 28 GDPR)

L’articolo 28, paragrafo 3, impone che i trattamenti da parte del responsabile siano disciplinati da un contratto o altro atto giuridico vincolante che preveda contenuti obbligatori: oggetto e durata del trattamento, natura e finalità, tipo di dati e categorie di interessati, obblighi e diritti del titolare. Il contratto deve inoltre prevedere specifici obblighi in capo al responsabile.

Tra questi figurano: trattare i dati solo su istruzione documentata del titolare; garantire che le persone autorizzate si siano impegnate alla riservatezza; adottare misure di sicurezza ai sensi dell’articolo 32; rispettare le condizioni per il ricorso a sub-responsabili; assistere il titolare per l’evasione delle richieste degli interessati; assistere il titolare per gli obblighi degli articoli 32-36 (sicurezza, notifica violazioni, DPIA); cancellare o restituire i dati al termine del rapporto; mettere a disposizione informazioni per dimostrare la conformità e consentire audit.

La Commissione europea ha adottato clausole contrattuali tipo (Standard Contractual Clauses) con la Decisione di esecuzione (UE) 2021/915 del 4 giugno 2021 per facilitare la redazione di DPA conformi.

5.3 Sub-responsabili

L’articolo 28, paragrafo 2, subordina il ricorso a sub-responsabili all’autorizzazione scritta del titolare, che può essere specifica (per ciascun sub-responsabile) o generale (con obbligo di informativa preventiva sulle modifiche e possibilità di opposizione). Il sub-responsabile deve essere vincolato dagli stessi obblighi del responsabile principale, il quale rimane pienamente responsabile nei confronti del titolare per l’operato dei sub-responsabili (art. 28, par. 4).

6. Le persone autorizzate al trattamento

L’articolo 29 del GDPR prevede che il responsabile del trattamento, o chiunque agisca sotto la sua autorità o quella del titolare, non possa trattare dati personali se non è istruito in tal senso dal titolare, salvo obblighi di legge. Questa disposizione riguarda le persone autorizzate al trattamento, definite all’articolo 4, punto 10, come le persone fisiche autorizzate a compiere operazioni di trattamento sotto l’autorità diretta del titolare o del responsabile.

Questa figura sostituisce il precedente “incaricato del trattamento” del Codice Privacy italiano (art. 30 del D.lgs. 196/2003 nella versione ante D.lgs. 101/2018). L’articolo 2-quaterdecies del Codice novellato, introdotto dal D.lgs. 101/2018, prevede che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate.

In un parere del Garante per la protezione dei dati personali del 12 maggio 2020 sugli Organismi di Vigilanza, l’Autorità ha precisato che i membri dell’OdV devono essere designati quali soggetti autorizzati ai sensi degli articoli 4, punto 10, 29 e 32, paragrafo 4, del GDPR, dovendo attenersi alle istruzioni impartite dal titolare. Questa impostazione trova applicazione generale per tutte le figure interne che accedono ai dati nell’ambito delle proprie funzioni.

L’obbligo di designazione e istruzione delle persone autorizzate rientra nelle misure tecniche e organizzative che il titolare deve adottare ai sensi dell’articolo 32, paragrafo 4. La formazione del personale e la definizione di policy interne sul trattamento dei dati costituiscono elementi di accountability valutabili in sede di verifica della conformità.

7. L’interessato e i suoi diritti

7.1 Nozione di interessato

L’interessato (data subject) è la persona fisica identificata o identificabile cui si riferiscono i dati trattati. Il GDPR tutela esclusivamente le persone fisiche: le persone giuridiche, gli enti e le associazioni non rientrano nell’ambito soggettivo di protezione del Regolamento, salvo che il trattamento di dati a essi riferiti comporti indirettamente il trattamento di dati di persone fisiche (es. dati del legale rappresentante).

7.2 Diritti dell’interessato

Il Capo III del GDPR (artt. 12-22) disciplina organicamente i diritti dell’interessato. L’articolo 12 fissa le modalità trasversali per l’esercizio di tutti i diritti: il titolare deve agevolare l’esercizio, rispondere senza ingiustificato ritardo e comunque entro un mese (prorogabile di due mesi per richieste complesse), fornire le informazioni a titolo gratuito salvo richieste manifestamente infondate o eccessive.

I diritti specifici comprendono: il diritto di informazione (artt. 13-14), ossia il diritto a ricevere un’informativa completa al momento della raccolta dei dati (art. 13) o entro un mese se i dati non sono raccolti presso l’interessato (art. 14); il diritto di accesso (art. 15), che consente di ottenere conferma del trattamento, copia dei dati e informazioni su finalità, categorie, destinatari, periodo di conservazione, origine dei dati e logica del trattamento automatizzato;

il diritto di rettifica (art. 16), per ottenere la correzione di dati inesatti o l’integrazione di dati incompleti; il diritto alla cancellazione o diritto all’oblio (art. 17), esercitabile quando i dati non sono più necessari, il consenso è revocato, vi è opposizione accolta, il trattamento è illecito, o sussiste un obbligo legale di cancellazione; il diritto di limitazione (art. 18), che consente di “congelare” il trattamento in determinate situazioni (contestazione dell’esattezza, trattamento illecito ma l’interessato si oppone alla cancellazione, dati necessari per difesa in giudizio, opposizione in attesa di verifica);

il diritto alla portabilità (art. 20), che permette di ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmetterli a un altro titolare, quando il trattamento si basa su consenso o contratto ed è effettuato con mezzi automatizzati; il diritto di opposizione (art. 21), esercitabile per motivi connessi alla situazione particolare dell’interessato quando la base giuridica è il legittimo interesse o l’interesse pubblico, e in modo incondizionato per il marketing diretto; il diritto a non essere sottoposto a decisioni automatizzate (art. 22), inclusa la profilazione, quando producano effetti giuridici significativi, salve le eccezioni previste.

Le Linee guida EDPB 01/2022 sul diritto di accesso (versione adottata il 28 marzo 2023) forniscono indicazioni operative dettagliate su portata del diritto, modalità di risposta, formato delle informazioni e gestione di richieste complesse.

8. Il Responsabile della protezione dei dati (DPO)

8.1 Natura e collocazione sistematica

Il Data Protection Officer (DPO) o Responsabile della protezione dei dati (RPD) è una figura introdotta dal GDPR agli articoli 37-39. A differenza degli altri soggetti analizzati, il DPO non è parte attiva nel trattamento: la sua funzione è di consulenza, sorveglianza e raccordo tra titolare/responsabile, interessati e autorità di controllo. Le Linee guida WP 243 del Gruppo di lavoro Articolo 29, adottate il 13 dicembre 2016 e emendate il 5 aprile 2017, successivamente approvate dall’EDPB, costituiscono il documento interpretativo di riferimento.

8.2 Designazione obbligatoria

L’articolo 37, paragrafo 1, prevede l’obbligatorietà della designazione in tre casi: quando il trattamento è effettuato da autorità o organismo pubblico (eccetto le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali); quando le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Le Linee guida WP 243 chiariscono i concetti indeterminati. Per “attività principali” si intendono le operazioni essenziali per raggiungere gli obiettivi del titolare o del responsabile, incluse quelle in cui il trattamento dei dati è parte ineludibile dell’attività. Per “larga scala” rilevano: volume dei dati, numero di interessati (anche in percentuale sulla popolazione), estensione geografica, durata o permanenza del trattamento. Per “monitoraggio regolare e sistematico” si includono tutte le forme di tracciamento e profilazione, anche online, indipendentemente dal fatto che l’interessato sia cliente del titolare.

8.3 Requisiti, posizione e compiti

Il DPO deve essere designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, par. 5). Può essere un dipendente o un soggetto esterno (art. 37, par. 6). Un gruppo imprenditoriale può nominare un unico DPO, purché facilmente raggiungibile da ciascuno stabilimento.

L’articolo 38 disciplina la posizione del DPO, garantendone l’indipendenza: deve essere coinvolto tempestivamente in tutte le questioni riguardanti la protezione dei dati; non può ricevere istruzioni relative all’esecuzione dei suoi compiti; non può essere rimosso o penalizzato per l’adempimento delle sue funzioni; riferisce direttamente al vertice gerarchico; gli interessati possono contattarlo per tutte le questioni relative al trattamento e all’esercizio dei loro diritti.

L’articolo 39 elenca i compiti minimi del DPO: informare e fornire consulenza al titolare/responsabile e ai dipendenti; sorvegliare l’osservanza del GDPR; fornire parere in merito alla DPIA e sorvegliarne lo svolgimento; cooperare con l’autorità di controllo; fungere da punto di contatto per l’autorità. Il DPO deve svolgere i propri compiti considerando i rischi associati ai trattamenti, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.

8.4 Incompatibilità e conflitto di interessi

L’articolo 38, paragrafo 6, consente al DPO di svolgere altri compiti e funzioni, purché non diano adito a conflitto di interessi. Le Linee guida WP 243 indicano che il DPO non può ricoprire posizioni che comportino la determinazione di finalità e mezzi del trattamento: sono incompatibili ruoli quali amministratore delegato, responsabile operativo, responsabile finanziario, responsabile del personale, responsabile IT e responsabile marketing. L’esistenza di conflitti deve essere valutata caso per caso.

9. Altri soggetti rilevanti

9.1 Destinatario

L’articolo 4, punto 9, definisce il destinatario come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Le autorità pubbliche che ricevono dati nell’ambito di un’indagine specifica non sono considerate destinatari. La nozione rileva ai fini dell’informativa (art. 13, par. 1, lett. e) e art. 14, par. 1, lett. e)) e della comunicazione di rettifiche, cancellazioni e limitazioni (art. 19).

9.2 Terzo

L’articolo 4, punto 10, definisce il terzo come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo diverso dall’interessato, dal titolare, dal responsabile e dalle persone autorizzate al trattamento. La nozione serve a delimitare i soggetti legittimati al trattamento da quelli esterni all’organizzazione privacy.

9.3 Rappresentante

L’articolo 27 impone ai titolari o responsabili non stabiliti nell’Unione che trattano dati di interessati che si trovano nell’UE di designare per iscritto un rappresentante nell’Unione, stabilito in uno degli Stati membri in cui si trovano gli interessati. Il rappresentante funge da interlocutore per le autorità di controllo e gli interessati per tutte le questioni relative al trattamento.

10. Conclusioni

La corretta qualificazione dei soggetti del trattamento costituisce un presupposto indefettibile per l’applicazione del GDPR. L’approccio funzionale adottato dal Regolamento e confermato dalla giurisprudenza della CGUE e dalle Linee guida dell’EDPB impone un’analisi sostanziale delle relazioni e dei poteri effettivi, non limitata alle qualificazioni formali.

La distinzione tra titolare e responsabile determina l’allocazione degli obblighi e delle responsabilità, incluse quelle risarcitorie (art. 82) e sanzionatorie (art. 83). La contitolarità, fenomeno in espansione per effetto della digitalizzazione e dell’interconnessione dei servizi, richiede accordi chiari e trasparenti ma non solleva alcun contitolare dalla responsabilità solidale verso gli interessati.

Il DPO, figura di garanzia e raccordo, deve operare in condizioni di indipendenza effettiva. Le persone autorizzate al trattamento devono essere adeguatamente istruite e la loro designazione documentata ai fini dell’accountability. L’interessato, infine, è titolare di un fascio di diritti azionabili che costituiscono il nucleo della tutela apprestata dal Regolamento.

Riferimenti normativi e documentali

Fonti normative:

– Regolamento (UE) 2016/679 (GDPR)

– D.lgs. 30 giugno 2003, n. 196, come modificato dal D.lgs. 10 agosto 2018, n. 101

– Decisione di esecuzione (UE) 2021/915 della Commissione (clausole contrattuali tipo)

Linee guida e documenti interpretativi:

– EDPB, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento, versione 2.0 del 7 luglio 2021

– Gruppo di lavoro Articolo 29, Linee guida sui responsabili della protezione dei dati (WP 243 rev. 01), 5 aprile 2017

– EDPB, Linee guida 01/2022 sul diritto di accesso, versione adottata il 28 marzo 2023

– Garante per la protezione dei dati personali, Parere sulla qualificazione soggettiva degli OdV, 12 maggio 2020, doc. web n. 9347842

Giurisprudenza CGUE:

– CGUE, causa C-210/16, Wirtschaftsakademie Schleswig-Holstein, 5 giugno 2018

– CGUE, causa C-40/17, Fashion ID, 29 luglio 2019

Nell’esperienza comune, il lavoratore che subisce un infortunio o il “tecnopatico” affetto da malattia professionale tendono a considerare l’indennizzo erogato dall’inail come l’unico ristoro possibile. Si è diffusa l’erronea convinzione che, una volta ottenuta la prestazione dall’istituto, il rapporto risarcitorio sia definitivamente esaurito. In realtà, l’intervento del sistema di protezione sociale non preclude l’accesso alle tutele civilistiche. Esiste un perimetro di responsabilità che va oltre la tutela indennitaria, volto a garantire l’integrale riparazione del pregiudizio subito attraverso il cosiddetto “danno differenziale”, un ambito tecnico-giuridico troppo spesso trascurato.

Il mito dell’esonero: dalla transazione sociale alla funzione prevenzionale

Storicamente, il rapporto tra assicurazione sociale e responsabilità civile poggiava sul concetto di “transazione sociale”: il datore di lavoro, attraverso il versamento dei premi assicurativi, acquistava l’esonero dalla responsabilità civile per gli infortuni dei propri dipendenti. In questo schema, il lavoratore rinunciava a un’incerta azione di risarcimento in cambio di un indennizzo automatico, svincolato dalla prova della colpa.

Oggi, tuttavia, la giurisprudenza ha riletto questa impostazione alla luce dei principi costituzionali di solidarietà. L’assicurazione non è più un mero strumento di gestione del rischio d’impresa, ma una forma di protezione della persona. Come sottolineato dalla dottrina più autorevole:

“l’assicurazione sociale… Non ha (o non ha più) come finalità essenziale quella di garantire il rischio di impresa, ma è volta essenzialmente alla protezione del lavoratore.”

In questa nuova prospettiva, l’esonero non rappresenta un privilegio del datore di lavoro, ma assolve a una finalità prevenzionale: il sistema incoraggia l’adozione di misure di sicurezza, ma cessa di proteggere il patrimonio aziendale non appena emergono violazioni che integrano fattispecie di reato.

Articolo 2087 cc: la “norma di chiusura” e il regime della prova

L’esonero cade integralmente qualora l’evento lesivo derivi da un reato perseguibile d’ufficio addebitabile al datore di lavoro o ai soggetti incaricati della sicurezza. Sotto il profilo tecnico, la soglia di punibilità d’ufficio scatta in presenza di:

• Morte del lavoratore;
• Lesioni volontarie con inabilità temporanea superiore a 20 giorni;
• Lesioni colpose gravi con inabilità superiore a 40 giorni o presenza di postumi permanenti;
• Malattia professionale (tecnopatia).

Il cardine di questo sistema è l’articolo 2087 del codice civile, norma di chiusura del sistema prevenzionistico. Essa impone al datore di lavoro l’adozione di tutte le misure necessarie a tutelare l’integrità fisica e morale dei prestatori di lavoro. Un aspetto fondamentale per il giurista è la natura della responsabilità: si tratta di responsabilità contrattuale ex art. 1218 c.c., che rappresenta un’eccezione favorevole rispetto alla generale responsabilità extracontrattuale (art. 2043 c.c.). Qui l’onere della prova è invertito: spetta al datore di lavoro dimostrare di aver adottato ogni cautela, inclusi gli obblighi di formazione e vigilanza, per evitare il danno. Le controversie contro il datore di lavoro, in virtù della natura del rapporto, rientrano nella competenza funzionale del giudice del lavoro.

L’innocuità della colpa del lavoratore e l’esperienza professionale

Un punto spesso frainteso riguarda il comportamento del danneggiato. La giurisprudenza è costante nell’affermare che la colpa del lavoratore, anche se esperto, non esclude né riduce il risarcimento del danno. Il sistema di protezione è infatti progettato per prevenire anche le disattenzioni o le imprudenze che rientrano nel normale rischio professionale. Il diritto al risarcimento viene meno soltanto dinanzi alla “colpa abnorme, imprevedibile ed esorbitante”: un comportamento del tutto estraneo alle mansioni e alle direttive ricevute, tale da spezzare il nesso di causalità tra l’attività lavorativa e l’evento.

Il danno differenziale: differenza ontologica tra indennizzo e risarcimento

Per comprendere la portata del ristoro integrale, occorre distinguere le due nature giuridiche delle prestazioni:

1. Indennizzo (inail): fondato sull’art. 38 della costituzione, ha la finalità sociale di garantire i “mezzi adeguati alle esigenze di vita”. Non mira alla riparazione totale, ma a una tutela standardizzata basata su tabelle specifiche.
2. Risarcimento (civile): mira alla restitutio in integrum, ovvero al ripristino dello status quo ante attraverso la riparazione di tutte le poste di danno.

Poiché l’inail non copre voci fondamentali come il danno morale o il danno esistenziale (danni complementari), il lavoratore ha diritto di agire civilmente per ottenere il danno differenziale. Questo rappresenta lo scarto tra l’importo liquidato dall’istituto e il danno effettivo calcolato secondo i parametri civilistici, quali le tabelle del tribunale di milano o del tribunale di roma.

Covid-19: la diligenza come argine alla responsabilità oggettiva

L’equiparazione del contagio da sars-cov-2 all’infortunio sul lavoro ha sollevato il timore di una deriva verso la responsabilità oggettiva dell’impresa. La dottrina e la giurisprudenza hanno tuttavia chiarito che l’art. 2087 c.c. non configura una responsabilità automatica. Per andare esente da colpa, al datore di lavoro è stato sufficiente dimostrare l’adempimento diligente dei protocolli sanitari e delle raccomandazioni delle autorità pubbliche, confermando che il “debito di sicurezza” è parametrato alle conoscenze tecniche e scientifiche del momento.

Le azioni di rivalsa: surroga e regresso

L’inail non opera a fondo perduto: qualora sussista una responsabilità civile, l’istituto agisce per recuperare i costi delle prestazioni erogate. È necessario distinguere tra due istituti:

• Surroga (art. 1916 c.c.): si esercita contro terzi estranei al rapporto di lavoro (es. Incidente stradale in itinere causato da altro automobilista). È una successione a titolo particolare nel diritto al risarcimento del lavoratore. Se l’infortunio deriva da circolazione stradale, l’art. 142 del codice delle assicurazioni impone alle compagnie assicurative l’obbligo di accantonare le somme per l’inail prima di pagare il danneggiato. L’istituto ha 45 giorni di tempo dalla comunicazione dell’assicurazione per dichiarare la propria volontà di surrogarsi. Tali azioni sono di competenza del giudice civile.
• Regresso (art. 11 t.u.): è l’azione autonoma esperita dall’inail contro il datore di lavoro o i soggetti responsabili della sicurezza in caso di reato. L’azione è soggetta a termini rigorosi di prescrizione e decadenza (triennali), decorrenti dal passaggio in giudicato della sentenza penale o da altri provvedimenti definitivi.

La guerra dei calcoli: verso un sistema unitario del danno

Il calcolo del danno differenziale è al centro di un aspro dibattito finalizzato a evitare la locupletazione (l’arricchimento ingiustificato del lavoratore tramite la doppia percezione di indennizzo e risarcimento per la medesima voce).

• Criterio “posta per posta”: prevede il confronto solo tra voci omogenee (es. Danno biologico inail vs danno biologico civilistico).
• Criterio del “differenziale puro”: sottrae l’intero valore dell’indennizzo dal complessivo risarcimento civilistico.

Le “sentenze gemelle” della Cassazione (2018) hanno dato impulso al criterio del differenziale puro, ribadendo che il danno alla persona è unitario. La distinzione tra le varie voci ha valore meramente descrittivo; ciò che rileva è che la somma dei ristori non superi l’interesse leso. Nonostante il tentativo della legge di bilancio 2019 (poi abrogata) di imporre criteri intermedi, oggi prevale l’idea che la diversità ontologica tra le prestazioni (previdenziale vs civilistica) consenta comunque un raffronto quantitativo globale per garantire l’equilibrio del sistema.

Premessa

La presente relazione si pone in continuità con l’analisi del principio di accountability e degli obblighi del titolare del trattamento, approfondendo un aspetto fondamentale della disciplina della protezione dei dati personali: le basi giuridiche del trattamento.

La corretta individuazione della base giuridica costituisce il presupposto indefettibile di qualsiasi attività di trattamento e rappresenta una delle scelte più delicate che il titolare è chiamato a compiere nell’esercizio della propria responsabilità.

Il Regolamento (UE) 2016/679 subordina la liceità del trattamento dei dati personali alla sussistenza di una delle condizioni tassativamente elencate all’art. 6, applicando il principio del divieto generale con riserva di autorizzazione.

Non esiste, in altre parole, un diritto generale del titolare a trattare dati personali: ogni trattamento deve trovare fondamento in una specifica base giuridica, la cui scelta deve essere effettuata dal titolare prima dell’inizio del trattamento e deve essere comunicata all’interessato attraverso l’informativa.

Il fondamento di liceità: l’art. 6 del GDPR

L’art. 6 del GDPR costituisce la norma cardine in materia di liceità del trattamento. Il paragrafo 1 elenca sei basi giuridiche alternative, ciascuna delle quali è sufficiente a rendere lecito il trattamento. La Corte di Giustizia dell’Unione Europea ha più volte ribadito che tale elenco è esaustivo e tassativo: per essere considerato legittimo, un trattamento deve rientrare in uno dei casi previsti dalla disposizione (si veda, da ultimo, CGUE, sentenza 4 ottobre 2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, punto 29, disponibile su https://curia.europa.eu).

È importante sottolineare che le sei basi giuridiche hanno pari dignità e forza giuridica. Come chiarito dall’EDPB nelle Linee guida 1/2024 sul trattamento dei dati personali basato sul legittimo interesse (disponibili su https://www.edpb.europa.eu), nessuna base giuridica deve essere considerata di “serie B” o da utilizzarsi solo come ultima risorsa. La scelta spetta al titolare, che deve individuare la base più appropriata in relazione alle finalità del trattamento, nel rispetto del principio di accountability.

Le singole basi giuridiche

Il consenso (art. 6, par. 1, lett. a)

Il consenso dell’interessato rappresenta storicamente la base giuridica più nota e, per certi versi, emblematica del diritto alla protezione dei dati personali. L’art. 4, punto 11, del GDPR lo definisce come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.

Le caratteristiche del consenso sono stringenti. Deve essere libero, il che significa che l’interessato deve poter rifiutare o revocare il consenso senza subire pregiudizio. Deve essere specifico, riferito cioè a finalità determinate: il GDPR vieta il consenso generico o onnicomprensivo. Deve essere informato, presupponendo che l’interessato abbia ricevuto tutte le informazioni necessarie per comprendere a cosa sta acconsentendo. Deve essere inequivocabile, risultando da una dichiarazione o da un comportamento attivo (è quindi escluso il consenso tacito o presunto).

Contrariamente a quanto spesso si ritiene nella prassi, il consenso non è la base giuridica “preferita” dal GDPR, né quella da utilizzare in via prioritaria. Come osservato dalla CGUE nella sentenza del 4 luglio 2023, causa C-252/21, Meta Platforms (disponibile su https://curia.europa.eu), il fatto che un’impresa occupi una posizione dominante sul mercato non impedisce agli utenti di prestare un consenso valido, ma tale posizione costituisce un elemento rilevante per valutare se il consenso sia stato effettivamente libero. La Corte ha evidenziato che quando esiste uno squilibrio evidente tra l’interessato e il titolare del trattamento, diventa più difficile dimostrare che il consenso sia stato prestato liberamente.

Il consenso presenta inoltre un’intrinseca fragilità: è revocabile in qualsiasi momento, con effetto per il futuro. Se l’interessato revoca il consenso, il titolare deve interrompere il trattamento, il che può risultare problematico in contesti in cui il trattamento è strutturale all’attività svolta. Per questa ragione, ove possibile, è preferibile fondare il trattamento su basi giuridiche più stabili.

Il consenso diviene tuttavia obbligatorio in specifici contesti: per il trattamento delle categorie particolari di dati (art. 9), per le attività di profilazione con effetti significativi, per il trattamento di dati biometrici a fini di identificazione univoca, e in tutti i casi in cui nessun’altra base giuridica sia applicabile.

L’esecuzione di un contratto (art. 6, par. 1, lett. b)

Il trattamento è lecito quando è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso. Questa base giuridica si applica quando il trattamento dei dati è strettamente funzionale all’adempimento delle obbligazioni contrattuali.

Il concetto di “necessità” deve essere interpretato in senso rigoroso. Come chiarito dalla CGUE nella sentenza Meta Platforms del 4 luglio 2023, il trattamento può essere giustificato dalla necessità contrattuale solo a condizione che sia oggettivamente indispensabile, cosicché l’oggetto principale del contratto non potrebbe essere conseguito in assenza di tale trattamento. La Corte ha espresso dubbi significativi sulla possibilità che la personalizzazione dei contenuti o la pubblicità mirata possano soddisfare tale criterio nel contesto dei social network.

Quando si fa affidamento su questa base giuridica, il consenso al trattamento può considerarsi implicito nella conclusione del contratto stesso: sottoscrivendo il contratto, l’interessato accetta che i suoi dati siano trattati per le finalità contrattuali. Resta tuttavia obbligatoria la fornitura dell’informativa, che deve essere resa prima della conclusione del contratto.

L’adempimento di un obbligo legale (art. 6, par. 1, lett. c)

Il trattamento è lecito quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. In questo caso, la liceità del trattamento deriva direttamente dalla legge e non richiede il consenso dell’interessato.

Numerose disposizioni normative impongono ai titolari obblighi che comportano necessariamente il trattamento di dati personali: gli obblighi fiscali e contabili, gli obblighi in materia di sicurezza sul lavoro, gli obblighi di conservazione documentale, gli obblighi di comunicazione alle autorità pubbliche. In tutti questi casi, il titolare non ha discrezionalità: deve trattare i dati per conformarsi alla legge.

L’obbligo legale deve derivare dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare. Il Regolamento precisa che la base giuridica per i trattamenti fondati su obblighi legali non deve essere necessariamente una legge in senso formale, ma deve comunque essere chiara e precisa e la sua applicazione prevedibile per i destinatari.

La salvaguardia di interessi vitali (art. 6, par. 1, lett. d)

Il trattamento è lecito quando è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica. Questa base giuridica ha carattere residuale e trova applicazione principalmente in situazioni di emergenza, quando l’interessato non è in grado di prestare il proprio consenso.

L’espressione “interessi vitali” deve essere interpretata in senso restrittivo, con riferimento a situazioni che mettono a rischio la vita o l’incolumità fisica della persona. Il considerando 46 del GDPR chiarisce che questa base giuridica dovrebbe costituire il fondamento del trattamento solo qualora lo stesso non possa manifestamente fondarsi su altra base giuridica.

L’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. e)

Il trattamento è lecito quando è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Questa base giuridica trova applicazione principalmente nel settore pubblico, ma può riguardare anche soggetti privati investiti di funzioni pubbliche.

La base giuridica per il trattamento deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve determinare anche le finalità del trattamento. Il diritto nazionale può inoltre specificare le condizioni generali per la liceità del trattamento, i tipi di dati oggetto del trattamento, gli interessati coinvolti, i soggetti cui possono essere comunicati i dati e le relative finalità, la limitazione della finalità, il periodo di conservazione e altre misure per garantire un trattamento lecito e corretto.

Il legittimo interesse (art. 6, par. 1, lett. f)

Il trattamento è lecito quando è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.

Il legittimo interesse rappresenta la base giuridica più flessibile ma anche la più complessa da applicare correttamente. A differenza delle altre basi giuridiche, richiede al titolare di effettuare un giudizio di bilanciamento tra il proprio interesse e i diritti dell’interessato, documentando tale valutazione.

Le Linee guida 1/2024 dell’EDPB (disponibili su https://www.edpb.europa.eu) individuano tre condizioni cumulative che devono essere soddisfatte per poter fondare il trattamento sul legittimo interesse. La prima condizione è l’esistenza di un interesse legittimo del titolare o di terzi. L’interesse deve essere lecito (non contrario al diritto dell’Unione o degli Stati membri), articolato in modo chiaro e preciso, e reale e attuale (non speculativo o ipotetico).

La seconda condizione è la necessità del trattamento per il perseguimento di tale interesse. Ciò significa che il titolare deve verificare se l’interesse perseguito non possa essere ragionevolmente conseguito con mezzi altrettanto efficaci ma meno invasivi per i diritti e le libertà degli interessati.

La terza condizione richiede che gli interessi, i diritti e le libertà fondamentali dell’interessato non prevalgano sull’interesse legittimo del titolare. Questa valutazione, nota come test di bilanciamento o Legitimate Interest Assessment (LIA), deve considerare la natura dei dati trattati, le ragionevoli aspettative dell’interessato, l’impatto del trattamento sui diritti fondamentali e l’esistenza di garanzie aggiuntive.

La giurisprudenza recente della CGUE ha fornito importanti chiarimenti sull’applicazione di questa base giuridica. Nella sentenza del 4 ottobre 2024, causa C-621/22, Koninklijke Nederlandse Lawn Tennisbond (disponibile su https://curia.europa.eu), la Corte ha affrontato il caso di una federazione sportiva olandese che aveva ceduto a titolo oneroso i dati dei propri iscritti a sponsor commerciali, tra cui un operatore di giochi d’azzardo, fondando il trattamento sul legittimo interesse.

La CGUE ha chiarito che un interesse meramente commerciale può in linea di principio costituire un legittimo interesse, non essendo richiesto che l’interesse sia previsto o riconosciuto dalla legge. Tuttavia, la Corte ha evidenziato che nel caso specifico l’interesse del titolare poteva essere perseguito con modalità meno invasive, ad esempio chiedendo preventivamente ai soci se desiderassero che i loro dati fossero trasmessi a terzi per finalità di marketing. La Corte ha inoltre sottolineato che i soci non potevano ragionevolmente attendersi che i loro dati fossero ceduti a un operatore di giochi d’azzardo, attività che potrebbe esporli a rischi connessi allo sviluppo di ludopatie.

È importante ricordare che il legittimo interesse non può essere invocato dalle autorità pubbliche nell’esecuzione dei loro compiti istituzionali. Inoltre, non può essere utilizzato per trattamenti che richiedono il consenso in base a normative speciali, come nel caso del tracciamento online disciplinato dalla Direttiva ePrivacy (2002/58/CE).

Le basi giuridiche per le categorie particolari di dati (art. 9)

L’art. 9 del GDPR disciplina il trattamento delle cosiddette “categorie particolari di dati personali”, che nella terminologia previgente erano denominate “dati sensibili”. Si tratta di dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

Il paragrafo 1 dell’art. 9 stabilisce un divieto generale di trattamento di tali categorie di dati. Il divieto trova giustificazione nel fatto che questi dati, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali (considerando 51).

Il paragrafo 2 elenca dieci eccezioni al divieto, che consentono il trattamento in presenza di specifiche condizioni. È importante sottolineare che tali eccezioni devono essere interpretate in senso restrittivo.

Il consenso esplicito dell’interessato (lett. a) consente il trattamento quando l’interessato ha prestato il proprio consenso esplicito per una o più finalità specifiche. Il consenso richiesto per le categorie particolari è più stringente rispetto a quello previsto dall’art. 6: deve essere esplicito, escludendosi quindi forme di consenso implicito o desumibile da comportamenti concludenti. Gli Stati membri possono tuttavia prevedere che l’interessato non possa revocare il divieto generale in determinati settori.

Gli obblighi in materia di diritto del lavoro (lett. b) legittimano il trattamento necessario per assolvere obblighi ed esercitare diritti specifici del titolare o dell’interessato in materia di diritto del lavoro, sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo. Questa eccezione copre, ad esempio, il trattamento di dati sanitari per la gestione delle assenze per malattia o di dati relativi all’appartenenza sindacale per le trattenute sulla retribuzione.

La tutela degli interessi vitali (lett. c) consente il trattamento quando è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso.

Il trattamento da parte di organismi senza scopo di lucro (lett. d) è consentito quando è effettuato, nell’ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con l’organismo e che i dati non siano comunicati all’esterno senza il consenso dell’interessato.

I dati resi manifestamente pubblici (lett. e) possono essere trattati quando l’interessato li ha resi manifestamente pubblici. La CGUE ha chiarito nella sentenza del 4 ottobre 2024, causa C-446/21, Schrems c. Meta (disponibile su https://curia.europa.eu), che il fatto di menzionare pubblicamente un’informazione che rientra nelle categorie particolari non equivale automaticamente a renderla “manifestamente pubblica” ai fini dell’art. 9, e che tale circostanza non può retroattivamente giustificare trattamenti precedenti.

L’accertamento, esercizio o difesa di un diritto in sede giudiziaria (lett. f) consente il trattamento necessario per tali finalità o quando le autorità giurisdizionali esercitino le loro funzioni giurisdizionali.

Motivi di interesse pubblico rilevante (lett. g) legittimano il trattamento sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate per tutelare i diritti fondamentali e gli interessi dell’interessato.

Finalità di medicina preventiva o del lavoro (lett. h) consentono il trattamento per finalità di medicina preventiva o del lavoro, valutazione della capacità lavorativa, diagnosi, assistenza o terapia sanitaria o sociale, o gestione dei sistemi e servizi sanitari o sociali. Il trattamento deve essere effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale.

Motivi di interesse pubblico nel settore della sanità pubblica (lett. i), quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria, consentono il trattamento sulla base del diritto dell’Unione o degli Stati membri.

Infine, i fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (lett. j) legittimano il trattamento in conformità all’art. 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale proporzionato alla finalità perseguita.

È opportuno segnalare che l’art. 9 non prevede eccezioni equivalenti a tutte le basi giuridiche dell’art. 6. In particolare, non è prevista un’eccezione generale per l’esecuzione di un contratto o per l’adempimento di obblighi legali generici. Questa asimmetria può creare difficoltà applicative in alcuni contesti, come evidenziato dalla dottrina e dalla prassi.

La scelta della base giuridica: profili operativi

La scelta della base giuridica non è una mera formalità documentale, ma una decisione che produce conseguenze significative sui diritti dell’interessato e sugli obblighi del titolare.

Se il trattamento è fondato sul consenso, l’interessato ha il diritto di revocarlo in qualsiasi momento e ha diritto alla portabilità dei dati (art. 20). Se il trattamento è fondato sull’esecuzione di un contratto, l’interessato ha parimenti diritto alla portabilità. Se il trattamento è fondato sul legittimo interesse, l’interessato ha il diritto di opporsi in qualsiasi momento per motivi connessi alla sua situazione particolare (art. 21, par. 1), e il titolare deve astenersi dal trattamento a meno che dimostri l’esistenza di motivi legittimi cogenti che prevalgono sugli interessi dell’interessato.

La base giuridica deve essere individuata prima dell’inizio del trattamento e deve essere indicata nell’informativa resa all’interessato ai sensi degli artt. 13 e 14 del GDPR. Non è possibile modificare la base giuridica in corso di trattamento se non in presenza di specifiche condizioni, e la modifica deve essere comunicata all’interessato.

Nella scelta della base giuridica, il titolare deve applicare il principio di accountability documentando le valutazioni effettuate. Nel caso del legittimo interesse, la documentazione del test di bilanciamento costituisce una best practice raccomandata dalle autorità di controllo e può essere rilevante in caso di verifica da parte dell’autorità garante.

Conclusioni

La corretta individuazione della base giuridica rappresenta uno degli aspetti più qualificanti della compliance al GDPR. Non si tratta di un adempimento formale, ma di una scelta sostanziale che definisce il perimetro del trattamento, i diritti dell’interessato e le responsabilità del titolare.

Il principio di accountability impone al titolare non solo di scegliere correttamente la base giuridica, ma anche di essere in grado di dimostrare tale scelta e le valutazioni che l’hanno supportata. Le recenti Linee guida dell’EDPB e la giurisprudenza della CGUE forniscono criteri sempre più definiti per orientare tale scelta, con particolare attenzione al legittimo interesse quale base giuridica che richiede una valutazione articolata e documentata.

La tendenza emergente dalla giurisprudenza europea è quella di valorizzare le ragionevoli aspettative dell’interessato come criterio guida: se l’interessato non può ragionevolmente attendersi un determinato trattamento, sarà difficile per il titolare fondarlo su basi diverse dal consenso esplicito. Questo orientamento, che pone l’interessato al centro del sistema di protezione, costituisce la migliore traduzione operativa del principio di trasparenza che permea l’intero Regolamento.

Premessa

La gestione del personale rappresenta uno degli ambiti più delicati sotto il profilo della protezione dei dati personali. Ogni organizzazione che intenda operare in conformità al Regolamento UE 2016/679 (GDPR) deve, in via preliminare, acquisire piena consapevolezza delle informazioni trattate, delle finalità perseguite, delle modalità operative e degli strumenti utilizzati.

Il principio di accountability, cardine del sistema normativo europeo, impone infatti al Titolare del trattamento di essere in grado di dimostrare, in qualsiasi momento, la conformità delle proprie attività agli obblighi di legge. Ciò presuppone necessariamente lo svolgimento di un’accurata attività di mappatura dei dati, propedeutica alla corretta tenuta del registro dei trattamenti ai sensi dell’art. 30 GDPR.

1. Il contesto normativo e la peculiarità dei trattamenti HR

L’amministrazione del personale comporta, per sua natura, il trattamento di un’ampia gamma di dati personali. Accanto alle informazioni anagrafiche e contrattuali, vengono frequentemente trattate categorie particolari di dati ai sensi dell’art. 9 GDPR: dati relativi alla salute (certificati medici, idoneità alla mansione), all’appartenenza sindacale (trattenute per iscrizione, permessi), alle convinzioni religiose o filosofiche (festività, obiezione di coscienza), nonché, in taluni casi, dati genetici e biometrici.

Tale eterogeneità richiede al Titolare di resistere alla tentazione di effettuare valutazioni approssimative, procedendo invece a una catalogazione puntuale e sistematica di tutti i trattamenti effettuati. Questi ultimi possono essere raggruppati in macro-categorie funzionali:

• ricerca, selezione e assunzione del personale;
• esecuzione del contratto di lavoro e adempimenti retributivi;
• obblighi di legge e contrattuali collettivi;
• organizzazione del lavoro e pianificazione;
• sicurezza sul lavoro e sorveglianza sanitaria;
• cessazione del rapporto e gestione del contenzioso.

2. La mappatura dei trattamenti: una check-list operativa

Per evitare che la ricognizione dei trattamenti si riveli superficiale o incompleta, è opportuno che il Titolare si ponga una serie di quesiti puntuali. Si riportano di seguito alcuni esempi significativi, senza pretesa di esaustività:

Strumenti informatici e controllo: I computer aziendali registrano le attività di navigazione dei dipendenti? Sono installati software in grado di monitorare l’operato dei lavoratori? Tale aspetto assume particolare rilevanza alla luce dell’art. 4 della L. 300/1970 (Statuto dei Lavoratori), come modificato dal D.Lgs. 151/2015, che disciplina gli strumenti di controllo a distanza.

Recruiting e selezione: Le procedure di selezione vengono gestite internamente o affidate a soggetti terzi (agenzie, head hunter, piattaforme online)? Nel sito web aziendale è presente una sezione per la raccolta di candidature spontanee? In tali casi, occorre verificare la corretta informativa ex art. 13 GDPR e l’eventuale nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR.

Servizi cloud e trasferimento dati: L’attività di gestione del personale si avvale di servizi di cloud computing? Le buste paga vengono erogate tramite piattaforme digitali? In presenza di trasferimenti di dati verso Paesi terzi, il Titolare deve verificare l’esistenza di garanzie adeguate ai sensi degli artt. 44-49 GDPR.

Geolocalizzazione e dispositivi elettronici: Sui veicoli aziendali sono installati sistemi GPS o satellitari? I dipendenti sono dotati di dispositivi elettronici (badge intelligenti, rilevatori di presenza, wearable) idonei a localizzarli o a monitorarne i comportamenti? Tali trattamenti richiedono specifica valutazione ai sensi dell’art. 4 Stat. Lav. e, ove necessario, l’esperimento della procedura di accordo sindacale o autorizzazione amministrativa.

Dati biometrici: La rilevazione delle presenze avviene mediante sistemi biometrici (impronta digitale, riconoscimento facciale, iride)? Ai sensi dell’art. 9 GDPR, il trattamento di dati biometrici è consentito solo in presenza di specifiche condizioni di liceità, da valutarsi caso per caso anche alla luce dei provvedimenti del Garante.

Videosorveglianza: All’interno o nelle aree adiacenti al luogo di lavoro sono installate telecamere? Vengono utilizzate tecnologie di riconoscimento facciale? Anche in questo caso, trovano applicazione le disposizioni dell’art. 4 Stat. Lav. e le prescrizioni del Garante in materia.

Valutazione delle performance e rimborsi spese: L’ufficio risorse umane gestisce schede valutative o report sulle prestazioni dei dipendenti? L’azienda rimborsa spese da cui è possibile desumere spostamenti, acquisti e abitudini personali? Ai dipendenti sono state assegnate carte di credito aziendali i cui estratti conto consentono di monitorare le transazioni?

Comunicazioni e uso di strumenti non ufficiali: I dati del personale vengono comunicati esclusivamente tramite canali autorizzati dalla direzione, oppure si utilizzano anche strumenti di messaggistica (WhatsApp, Telegram, Signal) o piattaforme di file sharing (Dropbox, WeTransfer, Google Drive)? L’impiego di tali strumenti solleva questioni in ordine alla sicurezza dei dati e alla loro tracciabilità.

Cessazione del rapporto: Gli account di posta elettronica e i profili utente rimangono attivi anche dopo la cessazione del rapporto di lavoro? La conservazione di tali dati deve essere limitata nel tempo e giustificata da esigenze specifiche, nel rispetto del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR.

3. Il ciclo di vita dei dati personali e le risorse (asset) coinvolte

Un processo di mappatura efficace deve contemplare non soltanto l’identificazione dei trattamenti, ma anche la descrizione del ciclo di vita dei dati: dall’acquisizione alla conservazione, dalla comunicazione all’eventuale cancellazione. In particolare, occorre:

1. identificare le attività di trattamento effettuate e le relative finalità;
2. fornire una descrizione qualitativa e quantitativa delle categorie di dati trattati, con particolare attenzione alle categorie particolari ex art. 9 GDPR;
3. descrivere le modalità di acquisizione, elaborazione, comunicazione e archiviazione;
4. mappare le articolazioni aziendali, le società esterne e i professionisti coinvolti nel trattamento;
5. identificare le interazioni con altri processi aziendali e con ulteriori soggetti destinatari dei dati.

L’individuazione delle risorse (asset) utilizzate nelle operazioni di trattamento completa il quadro: sistemi informativi, applicativi gestionali, archivi cartacei, dispositivi mobili, servizi in outsourcing costituiscono tutti elementi da censire e sottoporre a valutazione sotto il profilo della sicurezza.

4. I trattamenti mediante sistemi di intelligenza artificiale

Un capitolo a parte meritano i trattamenti di dati personali effettuati mediante sistemi di intelligenza artificiale, sempre più diffusi anche nell’ambito della gestione HR. L’impiego di algoritmi per lo screening dei curricula, la valutazione delle performance, la predizione del turnover o la definizione di percorsi di carriera comporta rischi specifici che il Titolare deve attentamente presidiare.

In particolare, l’art. 22 GDPR disciplina le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono significativamente sulla persona interessata. In tali casi, fatte salve le eccezioni previste, l’interessato ha diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione.

Il Regolamento UE 2024/1689 (AI Act), inoltre, classifica i sistemi di IA utilizzati per la gestione dei lavoratori tra quelli ad alto rischio, imponendo obblighi stringenti in termini di trasparenza, documentazione tecnica, supervisione umana e gestione dei rischi. L’interazione tra GDPR e AI Act richiede quindi un approccio integrato alla compliance.

Conclusioni

La gestione dei dati personali nell’ambito delle risorse umane richiede un approccio strutturato e consapevole. La mappatura dei trattamenti non costituisce un mero adempimento formale, ma rappresenta il presupposto indispensabile per garantire la conformità normativa, tutelare i diritti degli interessati e prevenire i rischi sanzionatori.

In un contesto caratterizzato dalla crescente digitalizzazione dei processi e dall’adozione di tecnologie innovative, il Titolare del trattamento deve dotarsi di strumenti adeguati e, ove necessario, avvalersi di competenze specialistiche per presidiare efficacemente questo delicato ambito.

* * *

Il nostro Studio offre assistenza specializzata in materia di protezione dei dati personali e diritto del lavoro. Per una consulenza personalizzata sulla mappatura dei trattamenti, la redazione del registro ex art. 30 GDPR, la valutazione d’impatto (DPIA) o l’adeguamento alla normativa vigente, contattateci per un primo colloquio conoscitivo.