Risposta rapida
Il GDPR (Reg. UE 2016/679) si interseca con la sicurezza sul lavoro in numerosi punti critici: i dati trattati dal medico competente nell'ambito della sorveglianza sanitaria sono dati particolari ex art. 9 GDPR; la videosorveglianza nei luoghi di lavoro richiede accordo sindacale (art. 4 L. 300/1970); la geolocalizzazione dei veicoli aziendali è sottoposta a stringenti requisiti. Il datore di lavoro è titolare del trattamento e deve bilanciare sicurezza del lavoro e privacy dei lavoratori.
Contenuti revisionati da consulenti tecnici
Verificati da professionisti del settore
Copertura nazionale con consulenti sul territorio
Presenti in tutta Italia
Fonti normative tracciate e aggiornate
Riferimenti sempre verificabili
Documenti adattati alla tua attività
Personalizzati sul caso specifico
Il datore di lavoro come titolare del trattamento
- Il datore di lavoro è titolare del trattamento ai sensi dell'art. 4 n. 7 GDPR.
- Deve adottare Registro dei Trattamenti (art. 30 GDPR) — obbligatorio per organizzazioni con > 250 dipendenti o trattanti dati particolari (sanitari).
- Il responsabile della protezione dei dati (DPO — Data Protection Officer) non è sempre obbligatorio nelle PMI, ma è utile per gestire i trattamenti legati alla sicurezza.
- Base giuridica per i trattamenti legati alla sicurezza: art. 9 co. 2 lett. b GDPR (obblighi di diritto del lavoro) e lett. h (finalità di medicina del lavoro).
Dati della sorveglianza sanitaria
- Il medico competente tratta dati sanitari (art. 9 GDPR: “categorie particolari di dati”) dei lavoratori.
- Il datore di lavoro NON ha accesso alla cartella sanitaria individuale né ai risultati delle visite: riceve solo il giudizio di idoneità (idoneo/idoneo con limitazioni/inidoneo temporaneo/inidoneo).
- Il medico competente è designato responsabile del trattamento per i dati sanitari che tratta per conto del datore di lavoro ex art. 28 GDPR, oppure (tesi alternativa) è titolare autonomo.
- Data retention: le cartelle sanitarie devono essere conservate per almeno 10 anni dopo la cessazione del rapporto di lavoro (art. 25 D.Lgs. 81/08); per agenti cancerogeni almeno 40 anni.
Videosorveglianza nei luoghi di lavoro
- La videosorveglianza nei luoghi di lavoro è soggetta al doppio regime: art. 4 L. 300/1970 (Statuto Lavoratori) — accordo sindacale o autorizzazione ITL obbligatoria — e GDPR.
- Telecamere consentite SOLO se giustificate da esigenze organizzative, produttive, di sicurezza o tutela del patrimonio (non per controllo a distanza dell'attività lavorativa).
- Obblighi GDPR: informativa ex art. 13 GDPR (cartello video), DPIA (Valutazione di Impatto ex art. 35 GDPR) per sistemi avanzati (riconoscimento facciale, analisi comportamentale).
- Conservazione immagini: massimo 24h, salvo specifiche esigenze di sicurezza (possibile accordo sindacale per periodi maggiori — Provvedimento Garante 08/04/2010).
Geolocalizzazione veicoli aziendali
- La geolocalizzazione GPS dei veicoli aziendali è considerata “strumento di controllo a distanza” ai sensi dell'art. 4 L. 300/1970.
- Richiede: accordo sindacale con RSA/RSU (o in mancanza autorizzazione ITL) + informativa GDPR specifica ai lavoratori (art. 13 GDPR) + comunicazione scritta delle finalità (sicurezza del veicolo, ottimizzazione percorsi, rendicontazione trasferte).
- Dato del Garante Privacy: il tracciamento real-time continuo è sproporzionato; i dati di posizione non devono essere conservati oltre le finalità dichiarate (generalmente 7 giorni per sicurezza, più a lungo solo per finalità contrattuali documentate).
Domande frequenti su GDPR e sicurezza sul lavoroFAQ
Il datore di lavoro può sapere i risultati degli esami del medico competente?
No. Il datore di lavoro non ha accesso ai risultati degli esami clinici e alle diagnosi contenute nella cartella sanitaria dei dipendenti. Il D.Lgs. 81/08 all’art. 25 co. 1 lett. c stabilisce che il medico competente istituisce e aggiorna la cartella sanitaria e di rischio custodita sotto la propria responsabilità. Il datore di lavoro riceve esclusivamente il giudizio di idoneità alla mansione (idoneo, idoneo con prescrizioni/limitazioni, inidoneo temporaneo, inidoneo) senza informazioni sulle patologie accertate. Questo principio è rafforzato dal GDPR che classifica i dati sanitari come “categorie particolari” protette.
I dati del test antidroga/alcol dei dipendenti sono coperti dal GDPR?
Sì. I risultati dei test tossicologici (stupefacenti e alcol) sono dati sanitari ai sensi dell’art. 9 GDPR e del D.Lgs. 196/2003 (Codice Privacy). La base giuridica per il trattamento è l’art. 9 co. 2 lett. b GDPR (obblighi di diritto del lavoro) e il Provvedimento del Garante Privacy 30/10/2008 sui test antidroga. Solo il medico competente è legittimato a eseguire i test e a comunicare l’esito al datore di lavoro esclusivamente in termini di idoneità/non idoneità. I risultati analitici dettagliati non possono essere comunicati al datore di lavoro.
Serve il DPO (Data Protection Officer) in un’azienda con 50 dipendenti?
Per una PMI con 50 dipendenti, il DPO non è obbligatorio per il solo fatto della dimensione aziendale (l’art. 37 GDPR prevede l’obbligo solo per autorità pubbliche, aziende che trattano dati su larga scala o dati di categorie particolari su larga scala). Tuttavia, un’azienda con 50 dipendenti che tratta dati sanitari nell’ambito della sorveglianza sanitaria sta trattando dati particolari, e la nomina volontaria di un DPO o di un consulente privacy è fortemente raccomandata per gestire correttamente i trattamenti ex D.Lgs. 81/08.
L’informativa GDPR sul luogo di lavoro copre anche la sicurezza sul lavoro?
Sì. L’informativa all’interessato ex art. 13 GDPR che il datore di lavoro fornisce ai dipendenti deve coprire tutti i trattamenti effettuati, inclusi quelli legati alla sicurezza sul lavoro: trasmissione dei dati al medico competente, archiviazione dei giudizi di idoneità, eventuale videosorveglianza, geolocalizzazione, gestione delle segnalazioni di infortunio/quasi-infortunio, registro infortuni. L’informativa deve indicare le finalità, le basi giuridiche, i destinatari e i tempi di conservazione per ciascuna categoria di dati.
Come si gestisce la privacy in caso di whistleblowing aziendale?
Il D.Lgs. 10 marzo 2023 n. 24 (attuazione Direttiva UE 2019/1937) impone alle aziende con ≥ 50 dipendenti di dotarsi di canali di segnalazione interna sicuri e confidenziali. Il segnalante gode di protezione dell’identità: il gestore del canale non può rivelare l’identità del segnalante senza il suo consenso. Le segnalazioni che riguardano violazioni di sicurezza sul lavoro (infortuni non denunciati, DVR falsificato, mancata formazione) rientrano nell’ambito del D.Lgs. 24/2023. I dati del segnalante sono dati particolari e devono essere trattati con massima riservatezza e cancellati al termine del procedimento (max 5 anni).
I registri infortuni aziendali sono soggetti al GDPR?
Sì. Il registro infortuni contiene dati personali (nome, cognome, età, mansione, circostanze dell’infortunio) e in alcuni casi dati sanitari (natura dell’infortunio, diagnosi presunta) del lavoratore infortunato. Il trattamento è lecito sulla base dell’obbligo legale (art. 6 co. 1 lett. c GDPR: D.Lgs. 81/08 art. 18 co. 1 lett. r, obbligo di tenuta del registro). I dati devono essere conservati per 10 anni. L’accesso è limitato ai soggetti autorizzati (datore, RSPP, RLS, organi di vigilanza) e non può essere divulgato a terzi non autorizzati.
Un’azienda può usare le immagini della videosorveglianza per contestare un dipendente?
Le immagini della videosorveglianza installata lecitamente (con accordo sindacale/autorizzazione ITL e informativa GDPR) possono essere utilizzate come elemento probatorio in un procedimento disciplinare, a condizione che: l’impianto sia stato installato per finalità lecite (sicurezza, organizzativa, tutela patrimonio) e non per controllo dell’attività lavorativa; le immagini siano relative a comportamenti avvenuti in aree coperte (non bagni, spogliatoi); siano state rispettate le regole sulla conservazione (max 24h, salvo diverso accordo). La Cassazione ha confermato più volte che le riprese di telecamere lecitamente installate sono utilizzabili a fini disciplinari.
I dati di formazione sicurezza dei dipendenti sono soggetti al GDPR?
Sì. I registri di presenze ai corsi di formazione sicurezza, gli attestati di partecipazione e i risultati dei test di verifica apprendimento sono dati personali soggetti al GDPR. Il trattamento è lecito (base: obbligo legale ex D.Lgs. 81/08 + art. 6 co. 1 lett. c GDPR). I dati devono essere conservati per il periodo necessario a dimostrare l’adempimento degli obblighi di formazione (in genere per tutta la durata del rapporto di lavoro + 10 anni successivi). Gli attestati degli enti formativi accreditati hanno validità legale solo se correttamente conservati e trasmessi all’interessato.
Approfondisci
Domande frequentiFAQ
Il datore di lavoro può sapere i risultati degli esami del medico competente?
No. Il datore di lavoro non ha accesso ai risultati degli esami clinici e alle diagnosi contenute nella cartella sanitaria dei dipendenti. Il D.Lgs. 81/08 all’art. 25 co. 1 lett. c stabilisce che il medico competente istituisce e aggiorna la cartella sanitaria e di rischio custodita sotto la propria responsabilità. Il datore di lavoro riceve esclusivamente il giudizio di idoneità alla mansione (idoneo, idoneo con prescrizioni/limitazioni, inidoneo temporaneo, inidoneo) senza informazioni sulle patologie accertate. Questo principio è rafforzato dal GDPR che classifica i dati sanitari come “categorie particolari” protette.
I dati del test antidroga/alcol dei dipendenti sono coperti dal GDPR?
Sì. I risultati dei test tossicologici (stupefacenti e alcol) sono dati sanitari ai sensi dell’art. 9 GDPR e del D.Lgs. 196/2003 (Codice Privacy). La base giuridica per il trattamento è l’art. 9 co. 2 lett. b GDPR (obblighi di diritto del lavoro) e il Provvedimento del Garante Privacy 30/10/2008 sui test antidroga. Solo il medico competente è legittimato a eseguire i test e a comunicare l’esito al datore di lavoro esclusivamente in termini di idoneità/non idoneità. I risultati analitici dettagliati non possono essere comunicati al datore di lavoro.
Serve il DPO (Data Protection Officer) in un’azienda con 50 dipendenti?
Per una PMI con 50 dipendenti, il DPO non è obbligatorio per il solo fatto della dimensione aziendale (l’art. 37 GDPR prevede l’obbligo solo per autorità pubbliche, aziende che trattano dati su larga scala o dati di categorie particolari su larga scala). Tuttavia, un’azienda con 50 dipendenti che tratta dati sanitari nell’ambito della sorveglianza sanitaria sta trattando dati particolari, e la nomina volontaria di un DPO o di un consulente privacy è fortemente raccomandata per gestire correttamente i trattamenti ex D.Lgs. 81/08.
L’informativa GDPR sul luogo di lavoro copre anche la sicurezza sul lavoro?
Sì. L’informativa all’interessato ex art. 13 GDPR che il datore di lavoro fornisce ai dipendenti deve coprire tutti i trattamenti effettuati, inclusi quelli legati alla sicurezza sul lavoro: trasmissione dei dati al medico competente, archiviazione dei giudizi di idoneità, eventuale videosorveglianza, geolocalizzazione, gestione delle segnalazioni di infortunio/quasi-infortunio, registro infortuni. L’informativa deve indicare le finalità, le basi giuridiche, i destinatari e i tempi di conservazione per ciascuna categoria di dati.
Come si gestisce la privacy in caso di whistleblowing aziendale?
Il D.Lgs. 10 marzo 2023 n. 24 (attuazione Direttiva UE 2019/1937) impone alle aziende con ≥ 50 dipendenti di dotarsi di canali di segnalazione interna sicuri e confidenziali. Il segnalante gode di protezione dell’identità: il gestore del canale non può rivelare l’identità del segnalante senza il suo consenso. Le segnalazioni che riguardano violazioni di sicurezza sul lavoro (infortuni non denunciati, DVR falsificato, mancata formazione) rientrano nell’ambito del D.Lgs. 24/2023. I dati del segnalante sono dati particolari e devono essere trattati con massima riservatezza e cancellati al termine del procedimento (max 5 anni).
I registri infortuni aziendali sono soggetti al GDPR?
Sì. Il registro infortuni contiene dati personali (nome, cognome, età, mansione, circostanze dell’infortunio) e in alcuni casi dati sanitari (natura dell’infortunio, diagnosi presunta) del lavoratore infortunato. Il trattamento è lecito sulla base dell’obbligo legale (art. 6 co. 1 lett. c GDPR: D.Lgs. 81/08 art. 18 co. 1 lett. r, obbligo di tenuta del registro). I dati devono essere conservati per 10 anni. L’accesso è limitato ai soggetti autorizzati (datore, RSPP, RLS, organi di vigilanza) e non può essere divulgato a terzi non autorizzati.
Un’azienda può usare le immagini della videosorveglianza per contestare un dipendente?
Le immagini della videosorveglianza installata lecitamente (con accordo sindacale/autorizzazione ITL e informativa GDPR) possono essere utilizzate come elemento probatorio in un procedimento disciplinare, a condizione che: l’impianto sia stato installato per finalità lecite (sicurezza, organizzativa, tutela patrimonio) e non per controllo dell’attività lavorativa; le immagini siano relative a comportamenti avvenuti in aree coperte (non bagni, spogliatoi); siano state rispettate le regole sulla conservazione (max 24h, salvo diverso accordo). La Cassazione ha confermato più volte che le riprese di telecamere lecitamente installate sono utilizzabili a fini disciplinari.
I dati di formazione sicurezza dei dipendenti sono soggetti al GDPR?
Sì. I registri di presenze ai corsi di formazione sicurezza, gli attestati di partecipazione e i risultati dei test di verifica apprendimento sono dati personali soggetti al GDPR. Il trattamento è lecito (base: obbligo legale ex D.Lgs. 81/08 + art. 6 co. 1 lett. c GDPR). I dati devono essere conservati per il periodo necessario a dimostrare l’adempimento degli obblighi di formazione (in genere per tutta la durata del rapporto di lavoro + 10 anni successivi). Gli attestati degli enti formativi accreditati hanno validità legale solo se correttamente conservati e trasmessi all’interessato.
Fonti normative
- Regolamento (UE) 2016/679 — GDPR (artt. 4, 9, 13, 30, 35, 37)
- D.Lgs. 30 giugno 2003 n. 196 — Codice in materia di protezione dei dati personali (Codice Privacy, come modificato da D.Lgs. 101/2018)
- L. 20 maggio 1970 n. 300 — Statuto dei Lavoratori, art. 4 (impianti di controllo a distanza)
- Provvedimento Garante Privacy 8 aprile 2010 — Videosorveglianza
- Provvedimento Garante Privacy 30 ottobre 2008 — Test tossicologici nei luoghi di lavoro
- D.Lgs. 9 aprile 2008 n. 81 — artt. 18, 25 (medico competente e cartella sanitaria)
- D.Lgs. 10 marzo 2023 n. 24 — Whistleblowing
Ti serve un preventivo per GDPR e Sicurezza sul Lavoro?
Ti aiutiamo a verificare gli obblighi applicabili e a impostare i documenti necessari.