In breve: Il datore di lavoro, titolare del trattamento, deve autorizzare per iscritto e formare i dipendenti che trattano dati personali (artt. 29 e 32 GDPR, art. 2-quaterdecies del Codice privacy). Il lavoratore che viola le istruzioni ricevute sulla protezione dei dati commette un inadempimento contrattuale e può essere sanzionato disciplinarmente, secondo la procedura dell’art. 7 dello Statuto dei lavoratori.
Gli adempimenti privacy del datore di lavoro come titolare del trattamento
L’introduzione della nuova normativa europea sulla Privacy (Reg UE 679/2016) nonché le modifiche apportate dal D.lgs 101/2018 al vecchio Codice Privacy impongono una serie di adempimenti al titolare del trattamento;, ossia la “persona fisica o giuridica che stabilisce le finalità e le modalità del trattamento dei dati personali.”
Gli adempimenti cui il titolare è chiamato sono diversi e riguardano non solo la predisposizione di documentazione ed evidenze ma soprattutto, lo sviluppo di procedure e modelli finalizzati alla corretta implementazione dei principi di accountability, privacy by design e privacy by default.
Il titolare potrà gestire autonomamente i trattamenti dei dati personali relativi alla propria attività, oppure, come nella stragrande maggioranza dei casi, condividere la gestione con altre persone fisiche o giuridiche che assumeranno, a seconda dei casi, il ruolo di titolati autonomi, contitolari, responsabili oppure incaricati del trattamento.
Il dipendente come persona autorizzata al trattamento
Quando il titolare vieni coadiuvato nella sua attività da personale dipendente, per il quale riveste anche il ruolo di datore di lavoro, ai fini del regolamento il personale subordinato assume il ruole di incaricato del trattamento.
Nel Reg. UE 679/2016 in verità, coerentemente con la natura non formalistica della norma, non troviamo espressa definizione di incaricato; infatti contrariamente al vecchio Codice Privacy D.lgs. 196/2003 che all’art. 30 citava testualmente “Incaricati al trattamento” nel Regolamento Europeo troviamo riferimenti a questa figura in modo indiretto: infatti all’art. 29 che cita testualmente: “Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati Membri”.
La normativa nazionale inoltre ribadisci quanto stabilito dal Regolamento Europeo prevedendo all’art. 2 – quaterdecies D.lgs. 101/2018 che: “Il titolare o responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità.
Il titolare o il responsabile del trattamento individuano le modalità più opportune per autorizzare al trattamento dei dati personali le persone che operano sotto la propria autorità diretta”.
Se hai un documento in mano e devi decidere come muoverti, il tema è trattato nel dettaglio nella pagina dedicata a sanzioni e contestazioni disciplinari. Lo Studio Legale Lombardo assiste dirigenti, quadri e professionisti a Roma, Milano e in tutta Italia: il primo colloquio si svolge in videoconsulenza, a costo fisso.
Il doppio ruolo del lavoratore: interessato e autorizzato
Il lavoratore subordinato pertanto assume il duplice ruolo di interessato, e quindi soggetto di tutela in riferimento ai propri dati personali trattati dal titolare/datore di lavoro per adempiere a tutte le obbligazioni previsti per l’esecuzione del contratto di lavoro, e delegato dal titolare del trattamento allorquando per eseguire le mansioni affidate debba trattare dati personali di altri interessati (clienti, fornitori, dipendenti) per conto del titolare.
Formazione e istruzioni: gli obblighi del titolare
Per potere legittimamente delegare alcune attività di trattamento ai propri dipendenti il titolare dovrà, obbligatoriamente autorizzarle, formarle ed istruirle in modo specifico così come previsto dagli art 29, “Trattamento sotto l’autorità del titolare” e art 32 “Misure di sicurezza” per non incorrere nelle sanzioni previste dall’art 83 del regolamento stesso.
Il contenuto delle formazioni può spaziare dalla generica descrizione delle norme applicabili (Regolamento europeo, normativa nazionale, provvedimenti specifici del Garante privacy), a direttive riguardanti il corretto utilizzo degli strumenti di lavoro (gestionali, posta elettronica, internet, etc) ad istruzioni specifiche riguardanti la singola funzione attribuita al lavoratore che vanno ad integrare il mansionario.
Violazione delle istruzioni privacy e sanzioni disciplinari
Il lavoratore, una volta legittimato a trattare dati personali, ed opportunamente istruito circa le modalità con cui svolgere detti trattamenti nel rispetto della normativa vigente, tutelando i diritti e le libertà degli interessati, sarà tenuto a assumere comportamenti conformi alle direttive impartite; il rispetto delle istruzioni finalizzate alla protezione dei dati infatti diverrà parte integrante della prestazione lavorativa.
Per questo motivo, comportamenti non conformi alle direttive impartite relative alla protezione dei dati possono determinare una violazione degli obblighi lavorativi con conseguente irrogazione di sanzioni disciplinari nei confronti del dipendente da parte del datore di lavoro; la gravità della sanzione sarà commisurata a quella dell’addebito tenendo conto dell’oggettività del fatto e dell’intensità dell’elemento intenzionale, potendo nei casi più gravi, arrivare al licenziamento disciplinare per giusta causa.
Autore: Dott. Claudio Terlizzi, Consulente dello Studio Legale Lombardo. Ultima revisione: 29 agosto 2026.
Studio Legale Lombardo — avvocati giuslavoristi al fianco di lavoratori, dirigenti e quadri. Primo colloquio in videoconferenza, in tutta Italia.
