Multa GDPR ai dipendenti: cosa rischia chi non risponde alle richieste di accesso

Un ex dipendente chiede di vedere i dati raccolti su di lui tramite GPS. L’azienda non risponde. Risultato: 39.000 euro di multa dal Garante Privacy. E non serve essere una grande corporation per finire nel mirino.

Questo caso riguarda davvero anche la mia azienda, o solo le grandi imprese?

Riguarda qualsiasi azienda con dipendenti, indipendentemente dalle dimensioni. La multa da 39.000 euro è arrivata a una PMI del settore vigilanza, non a una multinazionale.

La società coinvolta è La Patria S.p.A., un’azienda di sicurezza e vigilanza tecnologica con sede a Bologna. Un ex dipendente ha presentato due richieste scritte per accedere ai documenti relativi al procedimento disciplinare che aveva portato al suo licenziamento, inclusi i dati di geolocalizzazione raccolti dal GPS del veicolo aziendale che usava.

L’azienda non ha risposto in modo adeguato. Il Garante Privacy — l’autorità italiana che vigila sul rispetto delle regole sulla protezione dei dati personali — ha avviato un’indagine e ha comminato una sanzione totale di 39.000 euro, come riportato dall’EDPB (il Comitato europeo per la protezione dei dati).

Il punto chiave: non serve essere grandi per essere sanzionati. Serve solo non avere una procedura interna per gestire queste richieste.

Cosa è successo esattamente e quali regole sono state violate?

L’azienda ha commesso tre errori distinti: non ha risposto alle richieste di accesso, non ha informato i dipendenti sul trattamento dei dati GPS, e aveva un’informativa con categorie di dati che non trattava affatto.

Il Garante ha identificato tre violazioni separate, ognuna con la sua sanzione parziale.

Un dettaglio importante: il Garante ha chiarito che un dipendente non deve citare il GDPR per nome perché la sua richiesta valga come esercizio del diritto di accesso. Una semplice email che chiede «voglio vedere i dati che avete su di me» è sufficiente. Se l’azienda non risponde, viola la legge.

L’azienda ha poi corretto le proprie procedure durante l’indagine — e questo ha influito positivamente sulla quantificazione della multa. Il Garante non ha imposto misure correttive aggiuntive proprio perché le violazioni erano già cessate al momento del provvedimento.

I dati GPS dei veicoli aziendali sono davvero dati personali?

Sì. Il Garante ha confermato che la posizione di un veicolo aziendale è un dato personale perché può essere ricondotta indirettamente al dipendente che lo guida.

Molte aziende installano sistemi GPS sui veicoli aziendali per motivi logistici o di sicurezza, senza pensare che stiano raccogliendo dati personali. Ma se il veicolo è assegnato a un dipendente specifico — anche solo per turni — la sua posizione è un dato che lo riguarda direttamente.

Questo significa che si applicano tutte le regole del GDPR: serve un’informativa chiara prima che il dipendente inizi a usare il veicolo, una base giuridica valida per il trattamento, e una risposta adeguata se il dipendente chiede di vedere quei dati.

Lo stesso principio vale per altri strumenti di monitoraggio comuni nelle aziende: badge di accesso, sistemi di videosorveglianza, software di produttività che registrano l’attività sul computer. Il Garante ha già sanzionato casi simili legati alla posta elettronica aziendale — come la multa da 50.000 euro alla Regione Lombardia per la conservazione dei metadati delle email dei dipendenti per 90 giorni, prima applicazione operativa delle Linee guida 2024 sui metadati, documentata dall’Osservatorio Data Protection.

Il Garante sta davvero aumentando i controlli, o questo è un caso isolato?

I controlli sono in aumento costante. Nel 2024 le sanzioni GDPR in Italia sono quasi quintuplicate rispetto all’anno precedente, e il diritto di accesso dei dipendenti è una delle aree più monitorate.

I numeri parlano chiaro. Nel 2024 il Garante ha adottato 835 provvedimenti collegiali, di cui 468 correttivi o sanzionatori, gestendo oltre 4.000 reclami — una media di 11 al giorno, secondo la Relazione annuale 2024 del Garante Privacy. Nel 2025 i provvedimenti sono stati 807, con sanzioni per oltre 37 milioni di euro e 2.415 notifiche di data breach, il 10% in più rispetto all’anno prima, come riporta Ritalia.it.

Sul fronte europeo, lo scorso anno l’EDPB ha coordinato un’azione di enforcement specifica sul diritto di accesso (articolo 15 GDPR) che ha coinvolto 30 autorità nazionali e 1.185 aziende di settori e dimensioni diverse, come documentato nel rapporto EDPB sull’azione coordinata. Il tema non è marginale: è una priorità dichiarata delle autorità europee.

Il caso della multa BBVA da 5,5 milioni di euro — analizzato nell’articolo Multa BBVA: cosa rischia chi ignora l’opt-out — mostra che il Garante non si ferma ai casi piccoli. E il caso Uber da 825 milioni conferma che le decisioni automatizzate sui lavoratori sono un’area ad altissima attenzione regolatoria.

Cosa cambia in pratica: chi fa cosa quando arriva una richiesta di un dipendente?

Serve un processo interno chiaro con ruoli definiti. Senza di esso, il rischio di superare i 30 giorni previsti dalla legge è quasi certo.

Tre scenari concreti: cosa succede in un’azienda manifatturiera, uno studio professionale e un e-commerce?

Il rischio cambia in base agli strumenti usati, ma la struttura del problema è sempre la stessa: dati raccolti senza informativa adeguata e nessuna procedura per rispondere alle richieste.

Esempi illustrativi: i numeri e le situazioni servono a mostrare il ragionamento, non sono dati di clienti reali.

Quali altri casi simili ha già sanzionato il Garante?

Il diritto di accesso dei dipendenti è una delle aree più colpite. I casi recenti mostrano che il Garante interviene su aziende di ogni dimensione e settore.

Il Rapporto annuale 2024 del Garante segnala che i provvedimenti nel contesto lavorativo riguardano soprattutto posta elettronica, videosorveglianza e sistemi basati su intelligenza artificiale. Il rapporto EDPB 2024 sul diritto di accesso ha identificato sette sfide principali per le aziende, tra cui la mancanza di procedure interne documentate e interpretazioni incoerenti dei limiti al diritto di accesso.

Le sanzioni più alte riguardano le violazioni su larga scala, ma i casi come quello di La Patria dimostrano che anche le PMI non sono al riparo. Il tema della compliance digitale si intreccia sempre più con quello dell’AI: come mostra l’articolo AI e compliance nelle campagne ads, le impostazioni predefinite degli strumenti digitali possono generare violazioni senza che l’azienda se ne accorga.

Quali strumenti e approcci esistono per gestire le richieste dei dipendenti in modo sicuro?

Esistono tre livelli di intervento: procedure interne, formazione del personale e supporto esterno. La scelta dipende dalla dimensione dell’azienda e dalla complessità dei trattamenti.

Come si parte concretamente: i passi per mettere in sicurezza la gestione delle richieste dei dipendenti?

Si parte da una mappatura di tutti gli strumenti che raccolgono dati sui dipendenti, poi si costruisce una procedura e si forma chi la deve applicare.

Quali sono gli errori più comuni che portano a sanzioni come questa?

Gli errori più frequenti sono tre: ignorare le richieste perché non citano esplicitamente il GDPR, usare informative generiche copiate da modelli, e non aggiornare la documentazione quando si introducono nuovi strumenti.

• Ignorare la richiesta perché «non è formale». Il Garante ha chiarito che non serve citare il GDPR. Qualsiasi richiesta scritta di un dipendente che riguarda i suoi dati attiva l’obbligo di risposta entro 30 giorni.
• Usare un’informativa privacy generica per tutti i dipendenti. Se usi GPS, videosorveglianza o software di monitoraggio, ogni strumento richiede una sezione dedicata nell’informativa.
• Includere nell’informativa categorie di dati che non tratti. Come nel caso di La Patria, inserire riferimenti a «dati sulla vita sessuale» o «convinzioni filosofiche» quando non li tratti è una violazione autonoma.
• Non designare un responsabile interno. Senza un referente chiaro, le richieste si perdono tra uffici e il termine di 30 giorni scade senza che nessuno se ne accorga.
• Non conservare la documentazione delle richieste gestite. In caso di controllo, la prova della conformità è la documentazione: richiesta ricevuta, risposta inviata, data.

Come capire se la tua procedura sta davvero funzionando?

Ci sono indicatori semplici da monitorare internamente, senza bisogno di strumenti sofisticati.

Allora, ne vale la pena investire in un audit delle procedure GDPR sui dipendenti?

Vale la pena sehai dipendenti con veicoli GPS, badge, videosorveglianza o software di monitoraggio e non hai mai verificato le informative specifiche per questi strumenti. Il rischio di una sanzione è concreto e l’investimento in un audit è di gran lunga inferiore alla multa minima.

Una via di mezzohai già un’informativa ai dipendenti ma non l’hai aggiornata negli ultimi 12 mesi o hai introdotto nuovi strumenti digitali senza aggiornarla. Un controllo interno mirato è sufficiente per ridurre il rischio.

Non ancora sehai un DPO attivo, procedure documentate e aggiornate, e hai già verificato le informative per ogni strumento di raccolta dati. Mantieni il monitoraggio periodico e sei a posto.

Come la vediamo in SHM

Per noi, la compliance GDPR nel rapporto di lavoro non è una questione burocratica: è un segnale di quanto un’azienda conosce davvero i propri processi digitali. Chi non sa quali dati raccoglie sui propri dipendenti — e come — di solito non lo sa nemmeno per i propri clienti.

Abbiamo lavorato con aziende che usavano strumenti digitali complessi (gestionali, piattaforme di monitoraggio, sistemi di accesso) senza mai aver mappato i dati che questi strumenti generavano. Il punto di partenza non era mai la multa: era capire cosa stava davvero succedendo nei processi interni. Da lì, costruire procedure chiare è stato molto più semplice.

Se vuoi capire dove sei esposto, il primo passo è un audit delle procedure esistenti. Possiamo aiutarti a strutturarlo, a formare il team HR e a integrare la gestione delle richieste GDPR nei flussi operativi già in uso. Trovi i nostri servizi di automazione e ottimizzazione dei processi aziendali e di formazione su AI e strumenti digitali per le aziende tra le nostre attività principali. Per un confronto diretto, scrivici.

Puoi approfondire il contesto normativo europeo anche nell’articolo dedicato al tema Project management e tecnologia, dove raccogliamo i casi più rilevanti per le PMI italiane.

Domande frequenti

La multa non arriva perché l’azienda era in malafede: arriva perché nessuno aveva mai scritto chi doveva rispondere, a chi e entro quando.