Richiesta di accesso ai dati dei dipendenti: chi risponde? Un flusso in cinque passaggi

Blog ProSaber · Privacy e lavoro

Un ex dipendente chiede due volte di accedere alla documentazione del procedimento disciplinare che lo riguarda, compresi i dati del GPS installato sull'auto aziendale. L'azienda non fornisce un riscontro adeguato. Il caso arriva al Garante per la protezione dei dati personali.

Il caso descritto dalle Autorità

Con il provvedimento n. 585 del 6 agosto 2026, il Garante ha sanzionato una società di vigilanza di Bologna per violazione degli articoli 12, 13 e 15 del GDPR. La notizia è stata diffusa con la newsletter n. 552 del 30 settembre 2026 e ripresa dal Comitato europeo per la protezione dei dati (EDPB) il 9 ottobre 2026.

Tre punti emergono dalle sintesi ufficiali:

• La richiesta non deve citare il GDPR. Secondo la sintesi dell'EDPB, il Garante ha chiarito che una domanda vale come esercizio del diritto di accesso anche senza riferimenti espliciti al Regolamento.
• Anche il rifiuto richiede una risposta. Se il titolare decide di non dare seguito alla richiesta, deve comunicare i motivi e indicare la possibilità di reclamo al Garante o di ricorso al giudice.
• I dati GPS sono dati personali. La posizione del veicolo è riconducibile, anche indirettamente, al dipendente che lo guida. Mancava un'informativa adeguata su questo trattamento.

Nel determinare la sanzione, il Garante ha considerato le misure correttive adottate dalla società durante l'istruttoria. Esito e importo riguardano questo caso specifico e non vanno letti come regola generale.

Un problema di organizzazione, non di modulistica

Avere un modulo per l'esercizio dei diritti non basta: serve aver deciso chi lo gestisce. Le richieste reali raramente arrivano nel formato previsto: compaiono nella casella email generale, in un messaggio al responsabile, in una lettera dell'avvocato o in una frase dentro una contestazione disciplinare.

Se nessuno sa riconoscerle, restano ferme. Se nessuno sa dove cercare i dati, la risposta arriva incompleta. Se nessuno conserva traccia di cosa è stato inviato, diventa difficile dimostrarlo in seguito. Il punto debole non è il documento: è il percorso interno.

Il flusso in cinque passaggi

La proposta che segue è un'elaborazione organizzativa di ProSaber, non una procedura indicata dalle Autorità. Va adattata alle dimensioni e ai sistemi di ciascuna organizzazione.

1. Ricezione

Chiunque riceva una richiesta sui dati di un dipendente, anche informale, la inoltra a un punto unico: un indirizzo dedicato o una persona designata. Si annotano subito data di arrivo e canale. Da quella data decorrono i termini: di norma un mese, prorogabile di due mesi nei casi complessi, con comunicazione della proroga entro il primo mese (art. 12, par. 3, GDPR).

2. Assegnazione

Un responsabile prende in carico la richiesta e ne diventa il riferimento fino alla chiusura. Se l'organizzazione ha nominato un Responsabile della protezione dei dati (DPO), è il momento di coinvolgerlo.

3. Ricerca

Si individuano tutti i luoghi in cui possono trovarsi i dati: fascicolo del personale, gestionale paghe, email, sistemi di geolocalizzazione, videosorveglianza, documenti del procedimento disciplinare. Una mappa dei sistemi preparata in anticipo riduce i tempi di questa fase.

4. Verifica

Prima di rispondere si controllano tre aspetti: l'identità del richiedente, la completezza dei dati raccolti e l'eventuale presenza di informazioni su altre persone da tutelare. Se si decide di non accogliere la richiesta, in tutto o in parte, la risposta indica i motivi e la possibilità di reclamo al Garante o di ricorso al giudice (art. 12, par. 4, GDPR).

5. Traccia della risposta

Si conserva copia di quanto inviato, la data e il canale usato. Un semplice registro delle richieste permette di dimostrare cosa è stato fatto e di individuare i passaggi che rallentano.

Prova il percorso con un caso fittizio

Una procedura si verifica solo mettendola alla prova. Prima di gestire un caso reale, simula una richiesta con dati inventati.

Esempio di esercitazione

Un "dipendente" fittizio scrive alla casella email generale: "Vorrei avere copia dei dati sui miei spostamenti con l'auto aziendale degli ultimi tre mesi." La frase non cita il GDPR e non usa il modulo previsto. Cronometra il percorso e annota le risposte a queste domande:

• Chi ha riconosciuto la richiesta e dopo quanto tempo?
• A chi è stata assegnata?
• In quanti sistemi è stato necessario cercare i dati?
• Chi ha verificato la risposta prima dell'invio?
• Dove è rimasta traccia di quanto inviato?

Ogni domanda senza risposta indica il passaggio da sistemare.

Checklist

• Esiste un punto unico di ricezione, noto a tutto il personale.
• È indicato chi prende in carico le richieste e chi lo sostituisce.
• Le date di arrivo e di scadenza vengono registrate.
• Esiste una mappa dei sistemi che contengono dati dei dipendenti, GPS compreso.
• L'informativa ai dipendenti descrive i trattamenti effettivamente svolti.
• È pronto un modello di risposta anche per il diniego, con motivi e indicazione di reclamo e ricorso.
• Le risposte inviate vengono archiviate in un registro.
• La procedura è stata provata almeno una volta con dati fittizi.

Confrontiamoci sui tuoi processi privacy

ProSaber affianca aziende e studi professionali nella revisione dei processi privacy: mappatura dei trattamenti, informative per i dipendenti, procedure per le richieste degli interessati e, se serve, incarico di DPO.

Vuoi verificare come la tua organizzazione gestirebbe una richiesta di accesso? Scopri il servizio Privacy e DPO e richiedi un confronto.