Il Garante per la Protezione dei Dati Personali ha chiarito in modo netto quando un dipendente ha accesso ai suoi dati personali: la risposta è sempre, senza obbligo di motivazione e senza che il datore di lavoro possa limitare o circoscrivere tale diritto. Comprendere i confini di questa tutela è essenziale tanto per i lavoratori quanto per le imprese che trattano dati personali in ambito lavorativo.
Il diritto di accesso ai dati personali del dipendente: il quadro normativo
Il diritto di accesso ai propri dati personali è sancito dall’art. 15 del Regolamento (UE) 2016/679 (GDPR), che attribuisce a ogni interessato la facoltà di ottenere dal titolare del trattamento la conferma che siano o meno in corso trattamenti di dati che lo riguardano e, in caso affermativo, di accedere a tali dati e alle informazioni correlate. In ambito lavorativo, questo diritto si traduce nella possibilità per il lavoratore dipendente di richiedere all’azienda datrice di lavoro l’accesso all’intera documentazione che lo riguarda: fascicoli disciplinari, comunicazioni interne, registrazioni di presenze, valutazioni delle prestazioni e qualsiasi altro dato personale trattato nel contesto del rapporto di lavoro.
Il legislatore europeo ha concepito il diritto di accesso come uno strumento di controllo effettivo dell’interessato sul proprio patrimonio informativo. Non si tratta, quindi, di una facoltà discrezionale concessa dal datore di lavoro, bensì di un diritto soggettivo azionabile in qualsiasi momento, indipendentemente dalla fase in cui si trova il rapporto lavorativo — sia esso in corso, in fase di contestazione disciplinare o già cessato.
Il caso esaminato dal Garante Privacy: la newsletter GPDP n. 522
Con la newsletter GPDP n. 522, l’Autorità Garante per la Protezione dei Dati Personali ha affrontato un caso emblematico che ha permesso di chiarire con precisione i confini del diritto di accesso del dipendente ai propri dati personali. A far scaturire l’intervento dell’Autorità è stato un caso giudiziario che ha coinvolto una lavoratrice e l’azienda presso la quale prestava la propria attività.
Il reclamo della dipendente e la condotta dell’azienda
La dipendente aveva presentato un reclamo al Garante per la Privacy, richiedendo un controllo sulla possibile violazione dei suoi dati personali. In particolare, aveva chiesto l’accesso alla propria cartella personale a seguito di una sanzione disciplinare che aveva condotto al suo licenziamento. L’azienda, tuttavia, non aveva accordato il permesso, limitandosi a fornire alcuni documenti che, a suo dire, giustificavano la sanzione, ma che la lavoratrice riteneva insufficienti a motivare l’estrema misura espulsiva.
Come evidenziato nella newsletter, solo dopo l’avvio dell’istruttoria da parte dell’Autorità l’azienda aveva acconsentito a trasmettere ulteriore documentazione. Questo comportamento — attendere la pressione dell’organo di controllo prima di adempiere a un obbligo di legge — è stato valutato negativamente dal Garante nella quantificazione della sanzione finale.
👉 Leggi anche: Responsabilità del datore per violazione della privacy del lavoratore: il bilanciamento tra controllo e diritti fondamentali
Le conclusioni del Garante: il diritto di accesso non può essere limitato
Dopo i dovuti accertamenti e gli esami di conferma, il Garante per la Privacy ha ribadito che il diritto di accesso previsto dalla normativa: «Mira a permettere all’interessato, o all’interessata, di avere il pieno controllo sui propri dati personali e di controllarne l’effettiva corrispondenza alla realtà». Di conseguenza, tale diritto non può mai essere né limitato né circoscritto dal titolare del trattamento, a prescindere dalle ragioni che spingono il lavoratore a esercitarlo.
Garante Privacy: quando il dipendente ha accesso ai suoi dati personali?
La risposta che emerge dall’intervento del Garante è inequivoca: il dipendente ha accesso ai propri dati personali sempre, in qualsiasi momento e senza essere tenuto a fornire alcuna spiegazione o giustificazione. Questo principio discende direttamente dall’architettura del GDPR e trova conferma su più livelli:
- Il GDPR (art. 15) non subordina l’esercizio del diritto di accesso ad alcuna condizione soggettiva o oggettiva in capo all’interessato.
- Il titolare del trattamento — nel rapporto di lavoro, il datore di lavoro — non ha il potere di indagare sulle motivazioni della richiesta né di valutarne la legittimità.
- Il lavoratore non è tenuto a indicare le ragioni per cui intende esercitare il diritto, sia che si trovi in un normale contesto lavorativo, sia che stia affrontando un procedimento disciplinare o un contenzioso.
Il ruolo del Comitato Europeo per la Protezione dei Dati (EDPB) e della Corte di Giustizia UE
Il principio affermato dal Garante italiano si inserisce in un quadro sovranazionale coerente. Come chiarisce l’Autorità, la posizione adottata è in linea con le Linee guida sul diritto di accesso elaborate dal Comitato Europeo per la Protezione dei Dati (EDPB), l’organismo che riunisce le autorità di controllo degli Stati membri e garantisce l’applicazione uniforme del GDPR in tutta l’Unione Europea.
Sulla stessa lunghezza d’onda si colloca un consolidato indirizzo giurisprudenziale della Corte di Giustizia dell’Unione Europea, che ha più volte ribadito come il diritto di accesso costituisca un pilastro fondamentale della tutela della persona nel trattamento dei dati, non suscettibile di essere compresso da interessi organizzativi o gestionali del titolare del trattamento.
Questa convergenza tra normativa primaria, linee guida dell’EDPB e giurisprudenza europea rende il diritto di accesso del dipendente ai propri dati personali uno dei diritti più solidi e azionabili dell’intero sistema di protezione dei dati.
La sanzione: 20.000 euro per la violazione del diritto di accesso
All’esito dell’istruttoria, l’Autorità Garante per la Privacy non ha potuto che dare ragione alla dipendente che aveva presentato reclamo. Il Garante ha sanzionato l’azienda con una multa di 20.000 euro, determinata tenendo conto di una pluralità di fattori:
- la gravità della violazione, consistente nel diniego sistematico di un diritto fondamentale;
- la natura della condotta, caratterizzata da una risposta parziale e tardiva;
- la durata della violazione, protrattasi fino all’avvio dell’istruttoria;
- l’assenza di precedenti specifici a carico dell’azienda, che ha inciso in senso attenuante sulla quantificazione finale.
Il caso dimostra che le violazioni del diritto di accesso in ambito lavorativo non sono mere irregolarità formali: espongono il datore di lavoro a sanzioni amministrative significative, oltre che al rischio di aggravare la propria posizione in eventuali contenziosi giuslavoristici.
👉 Leggi anche: Violazione della privacy nel controllo dei dipendenti: videosorveglianza, tracciamento GPS e limiti legali nel 2026
Implicazioni pratiche per datori di lavoro e lavoratori
Per i professionisti HR e i datori di lavoro, il caso esaminato dal Garante suggerisce alcune indicazioni operative imprescindibili. In primo luogo, è necessario predisporre procedure interne che consentano di evadere le richieste di accesso entro il termine di un mese previsto dall’art. 12 GDPR, prorogabile di ulteriori due mesi in casi di particolare complessità. In secondo luogo, occorre formare il personale preposto alla gestione delle risorse umane affinché non opponga resistenze o richieda giustificazioni al lavoratore richiedente. Infine, è opportuno documentare puntualmente ogni fase del riscontro alla richiesta di accesso, così da poter dimostrare la propria conformità in caso di controllo.
Per i lavoratori, invece, è fondamentale sapere che il diritto di accesso può essere esercitato in qualsiasi momento — anche durante un procedimento disciplinare o dopo il licenziamento — e che il rifiuto o l’ostacolo frapposto dal datore di lavoro costituisce una violazione del GDPR sanzionabile dal Garante. In caso di diniego, è possibile presentare un reclamo all’Autorità Garante per la Protezione dei Dati Personali, che avvierà un’istruttoria d’ufficio.
FAQ: domande frequenti sul diritto di accesso ai dati personali in ambito lavorativo
Il dipendente deve motivare la richiesta di accesso ai propri dati?
No. Il GDPR non impone all’interessato di indicare le ragioni per cui esercita il diritto di accesso, e il datore di lavoro non ha il potere di indagare o valutare le motivazioni della richiesta. Il diritto è esercitabile liberamente e senza condizioni.
Il datore di lavoro può rifiutare l’accesso ai dati del dipendente?
In linea di principio, no. Il GDPR prevede alcune eccezioni molto circoscritte (ad esempio, quando la richiesta è manifestamente infondata o eccessiva), ma queste non possono essere invocate per ragioni di opportunità gestionale o per proteggere la strategia difensiva dell’azienda in un contenzioso. Il rifiuto ingiustificato espone il titolare a sanzioni amministrative.
Entro quanto tempo il datore di lavoro deve rispondere alla richiesta di accesso?
Il titolare del trattamento deve fornire riscontro entro un mese dalla ricezione della richiesta. Tale termine può essere prorogato di ulteriori due mesi in casi di particolare complessità o elevato numero di richieste, ma il lavoratore deve essere informato della proroga entro il primo mese.
Il diritto di accesso si applica anche dopo la cessazione del rapporto di lavoro?
Sì. Il diritto di accesso ai propri dati personali non è condizionato alla sussistenza di un rapporto lavorativo in corso. L’ex dipendente può esercitarlo nei confronti dell’ex datore di lavoro per tutto il periodo in cui i propri dati vengono conservati e trattati.
Cosa può fare il lavoratore se l’azienda nega l’accesso ai suoi dati?
Il lavoratore può presentare un reclamo all’Autorità Garante per la Protezione dei Dati Personali, che avvierà un’istruttoria e, in caso di violazione accertata, potrà irrogare sanzioni amministrative al titolare del trattamento. È inoltre possibile adire l’autorità giudiziaria ordinaria per la tutela dei diritti riconosciuti dal GDPR.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
