Dati personali e fine del rapporto di lavoro. Posizioni asimmetriche tra lavoratori e aziende

Il Garante per la protezione dei dati personali, con due recenti provvedimenti (il n. 121 del 26 febbraio 2026 e n. 165 del 12 marzo 2026) è tornato a occuparsi della gestione dei dati personali al momento della cessazione del rapporto.

La prima decisione traeva origine dall’iniziativa di una collaboratrice che, dopo la conclusione del rapporto, aveva formalmente richiesto alla società committente la rimozione dei propri dati personali dal sito aziendale (in particolare dalla sezione “Chi siamo”).

I dati della collaboratrice, comprensivi di fotografia e recapiti professionali, erano rimasti on line ben oltre la cessazione del rapporto e persino dopo l’istanza formale di cancellazione.

A seguito del reclamo presentato al Garante, la società ha tentato di giustificare il ritardo nella rimozione richiamando difficoltà organizzative interne, legate a una fase di riorganizzazione aziendale e al cambio dei fornitori incaricati della gestione del sito web.

Con riferimento a tale profilo, riconducibile al cosiddetto “diritto all’oblio”, l’Authority ha affermato che, una volta cessato il rapporto di lavoro, viene meno la finalità che legittima la pubblicazione dei dati personali, con la conseguenza che la loro permanenza on line deve considerarsi priva di base giuridica.

Il Garante ha altresì precisato che il mantenimento di dati non aggiornati integra una violazione del principio di esattezza sancito dal Regolamento generale sulla protezione dei dati, in quanto un sito aziendale che continui a rappresentare come attuale una collaborazione ormai conclusa diffonde un’informazione inesatta e fuorviante.

Inoltre, ha sottolineato che le difficoltà organizzative interne, quali riorganizzazioni, criticità tecniche o avvicendamenti nella gestione dei fornitori, non possono esonerare il titolare del trattamento dagli obblighi di riscontro nei confronti dell’interessato, né dall’adozione delle misure necessarie all’aggiornamento o alla cancellazione dei dati.

Tale decisione si inserisce nel solco di un rigoroso orientamento del Garante della protezione dei dati personali, volto a garantire un’effettiva e tempestiva tutela dei diritti degli interessati anche nella fase successiva alla cessazione del rapporto di lavoro che si traduce in un aggravio (alcune volte ingiustificato) degli oneri gestionali, soprattutto in contesti aziendali complessi o interessati da processi di riorganizzazione interna.

In tale prospettiva, sarebbe auspicabile un approccio maggiormente equilibrato, capace di coniugare l’effettività delle garanzie previste dal GDPR con una più attenta considerazione delle esigenze organizzative delle aziende, assicurando anche a queste ultime, con la stessa attenzione prestata ai lavoratori, adeguate tutele sul fronte del rispetto della privacy.

Questa necessità risulta ancora più evidente alla luce del provvedimento del 12 marzo 2026, con cui il Garante ha confermato il diritto del lavoratore ad accedere ai messaggi della propria e-mail aziendale e ai documenti presenti nel personal computer anche dopo la cessazione del rapporto di lavoro, escludendo la possibilità per il datore di lavoro di selezionare preventivamente i contenuti da fornire o di limitarli sulla base della distinzione tra ambito personale e professionale, non consentendo così di evitare che informazioni societarie riservate siano conosciute da soggetti ormai estranei all’organizzazione aziendale. La palese asimmetria nell’applicazione della disciplina in materia di protezione dei dati personali rende sempre più impellente la necessità di un intervento interpretativo o regolatorio che, nel solco dei principi del GDPR, promuova un più equilibrato contemperamento tra i diritti dei lavoratori e le esigenze, anch’esse meritevoli di tutela, dei datori di lavoro.