Una guida pratica al trattamento conforme alla legge dei dati, ai dati sensibili dei dipendenti, alle richieste di informazioni, alla conservazione dei dati e alla scelta dei fornitori di servizi per le risorse umane.
I dati relativi ai dipendenti richiedono regole chiare: cosa raccogliere, chi può accedervi e quando devono essere cancellati. Si inizi definendo la finalità di ciascun dato, piuttosto che stilare un elenco di informazioni che potrebbero rivelarsi utili in futuro.
Informazioni verificate il 21 settembre 2026. Anche le normative nazionali in materia di lavoro e le circostanze del trattamento dei dati sono rilevanti.
I dati di contatto, le informazioni relative alle retribuzioni, gli orari di lavoro e i dati sulle prestazioni hanno finalità diverse. Si raccomanda di registrare la finalità, le persone che necessitano di accesso e la norma di conservazione applicabile per ciascuna categoria. Un sistema gestionale delle risorse umane dovrebbe aiutare a mantenere chiare queste distinzioni.
Il GDPR richiede la minimizzazione dei dati. Il fatto di essere un datore di lavoro non costituisce un’autorizzazione generale a raccogliere informazioni private relative a un dipendente. I dati relativi alle condanne penali e ai reati sono disciplinati dall’articolo 10, separatamente dalle categorie particolari di cui all’articolo 9. GDPR, articoli 5, 9 e 10
Le informazioni sanitarie, l’appartenenza sindacale e i dati biometrici utilizzati per l’identificazione univoca richiedono particolare attenzione. Per il trattamento delle categorie speciali, occorre identificare sia una base giuridica ai sensi dell’articolo 6 sia una condizione applicabile ai sensi dell’articolo 9. La necessità prevista dal diritto del lavoro ai sensi dell’articolo 9, paragrafo 2, lettera b), dipende dall’autorizzazione prevista dal diritto dell’Unione o dal diritto nazionale, oppure da un contratto collettivo idoneo, corredato di garanzie. EDPB: trattamento lecito e dati sensibili
La necessità contrattuale, l’obbligo legale e gli interessi legittimi sono concetti comuni nel contesto lavorativo, ma la base giuridica appropriata dipende dall’attività svolta. La presenza di una clausola contrattuale non rende necessario ogni utilizzo dei dati ad essa correlato. Gli interessi legittimi richiedono una valutazione della necessità e un bilanciamento degli interessi; al monitoraggio possono applicarsi ulteriori norme nazionali.
Il consenso è spesso inadeguato nei casi in cui il rapporto di lavoro impedisca una libera scelta. Laddove venga utilizzato, il rifiuto e la revoca devono essere possibili senza conseguenze negative. Documentare la base giuridica prima dell’inizio del trattamento. EDPB: basi giuridiche
Per le informazioni raccolte direttamente dal dipendente, l’articolo 13 prevede normalmente che l’informativa sulla privacy venga fornita al momento dell’acquisizione dei dati. I dati ottenuti da altre fonti rientrano nell’ambito di applicazione dell’articolo 14, che prevede tempistiche ed eccezioni specifiche. Si devono indicare le finalità, le basi giuridiche, i destinatari, i periodi di conservazione, gli eventuali trasferimenti e i diritti applicabili. La presa d’atto di un’informativa non costituisce consenso a tutte le attività in essa descritte. GDPR, articoli 13 e 14
Assicuratevi che l’informativa sia facilmente reperibile dopo l’inserimento in azienda. Se il dipendente dovesse chiedere chiarimenti su un particolare utilizzo dei propri dati, qualcuno dovrebbe essere in grado di spiegargli il processo effettivo che si cela dietro la formulazione.
I dipendenti possono richiedere l’accesso e la rettifica dei propri dati e, a seconda delle circostanze, possono avvalersi dei diritti alla cancellazione, alla limitazione del trattamento, alla portabilità o all’opposizione. La cancellazione non è incondizionata: gli obblighi di conservazione previsti dalla legge e le azioni legali in corso possono giustificare la conservazione di alcuni dati. Anche la limitazione del trattamento non costituisce un divieto assoluto di qualsiasi utilizzo delle informazioni conservate.
La portabilità riguarda i dati forniti dall’interessato, trattati con mezzi automatizzati sulla base del consenso o di un rapporto contrattuale. Non copre tutti i dati relativi alle risorse umane. Le richieste richiedono normalmente una risposta entro un mese; un’eventuale proroga autorizzata deve essere motivata entro tale primo mese. Le rettifiche, le cancellazioni e le limitazioni potrebbero dover essere comunicate ai destinatari, fatte salve le eccezioni di cui all’articolo 19. EDPB: diritti degli interessati
Un utile flusso di lavoro interno consiste nel:
Non esiste un’unica tabella di conservazione a livello UE valida per tutti i dati dei dipendenti. La documentazione relativa alle buste paga, i fascicoli dei candidati e le cartelle cliniche sul lavoro possono essere soggetti a requisiti diversi. Si raccomanda di registrare il motivo di ciascun periodo, la data di inizio, eventuali fasi di archiviazione con restrizioni e le operazioni previste al termine del periodo.
La CNIL francese pubblica linee guida sulla conservazione dei dati in ambito risorse umane, ma i periodi specifici per quel Paese non devono essere presentati come norme valide a livello dell’Unione Europea. Gli obblighi di conservazione legali e i periodi di conservazione previsti dalla legge possono variare a seconda dei casi in cui sia opportuno procedere alla cancellazione. CNIL: periodi di conservazione
Un’impostazione predefinita del software è un parametro da valutare, non una prova della legittimità del periodo prescelto. Includete nel vostro processo le esportazioni, i servizi collegati e la gestione dei backup.
Un registro delle attività di trattamento descrive operazioni quali la gestione delle buste paga o le assunzioni. Non si tratta di una riga separata per ogni nuovo dipendente. Non si deve presumere che il fatto di avere meno di 250 dipendenti esoneri dall’obbligo: l’esenzione è limitata e il trattamento delle risorse umane in corso non è occasionale. EDPB: registri e responsabilità
Qualora un fornitore tratti i dati per vostro conto, è necessario stipulare un contratto di incarico ai sensi dell’articolo 28. Altri destinatari possono agire in qualità di titolari del trattamento indipendenti o congiunti e richiedono una valutazione diversa; non ogni divulgazione costituisce un rapporto di incarico. GDPR, articoli 26 e 28
Per i trasferimenti al di fuori del SEE, si prega di verificare la decisione di adeguatezza o le garanzie applicabili, nonché il contratto di servizio. La costituzione della società nell’UE e l’ubicazione del server non determinano da sole l’intero flusso dei dati. EDPB: trasferimenti internazionali
PersoHR offre funzionalità di esportazione dei dati, flussi di lavoro per la cancellazione e registri di audit a supporto di tali processi. La Sua organizzazione dovrà comunque stabilire quali norme siano applicabili, configurare il servizio di conseguenza ed esaminare le richieste prima di darvi seguito.
Prova PersoHR gratuitamente per 30 giorni. Nessuna carta di credito richiesta.
Inizia la tua prova gratuita di 30 giorni