Il diritto all’oblio GDPR per i dipendenti è uno degli aspetti più delicati della gestione dei dati personali in ambito HR. Non riguarda solo la cancellazione dei dati online, ma anche il modo in cui le aziende trattano, conservano ed eliminano informazioni relative a ex dipendenti, candidati e collaboratori.
Nel contesto lavorativo, questo diritto si intreccia con obblighi legali di conservazione, esigenze amministrative e normative fiscali e previdenziali. Il risultato è un equilibrio complesso: da un lato il diritto dell’interessato a richiedere la cancellazione dei propri dati, dall’altro gli obblighi dell’azienda di mantenere determinate informazioni per legge.
INDICE DEI CONTENUTI
Il diritto alla cancellazione nel contesto lavorativo
Il diritto alla cancellazione dei dati personali, comunemente definito “diritto all’oblio”, è disciplinato dall’articolo 17 del GDPR. In ambito lavorativo, questo diritto si applica a ex dipendenti, candidati non selezionati e collaboratori, ma non è assoluto.
Le aziende devono valutare ogni richiesta caso per caso, verificando se esistono basi giuridiche che giustificano la conservazione dei dati. Il GDPR stabilisce che la cancellazione è possibile quando i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti, oppure quando l’interessato revoca il consenso e non esistono altri fondamenti giuridici.
Tuttavia, nel contesto HR, molte informazioni sono legate a obblighi legali o contrattuali che impediscono la cancellazione immediata.
Cosa prevede l’art 17 del GDPR per ex dipendenti e candidati
L’articolo 17 del GDPR stabilisce che l’interessato ha il diritto di ottenere la cancellazione dei propri dati personali senza ingiustificato ritardo quando si verificano specifiche condizioni, tra cui la mancanza di necessità del trattamento o il ritiro del consenso.
Nel contesto dei candidati, ad esempio, un CV non selezionato può essere soggetto a richiesta di cancellazione immediata, salvo il caso in cui l’azienda dimostri la necessità di conservazione per future procedure selettive (con consenso esplicito).
Per gli ex dipendenti, invece, la situazione è più complessa, poiché i dati relativi al rapporto di lavoro possono essere necessari per obblighi fiscali, previdenziali e legali.
Quando prevale l’obbligo di conservazione dei dati contabili e previdenziali
Il diritto alla cancellazione non prevale quando esistono obblighi di legge che impongono la conservazione dei dati. In ambito HR, questi includono documenti contabili, buste paga, contributi previdenziali e registri fiscali.
In Italia, tali obblighi derivano da normative fiscali e previdenziali che impongono tempi di conservazione pluriennali. Questo significa che anche in presenza di una richiesta di cancellazione, l’azienda può (e deve) mantenere i dati necessari per adempiere a obblighi legali.
Il GDPR stesso riconosce questa eccezione, stabilendo che il diritto alla cancellazione non si applica quando il trattamento è necessario per adempiere a un obbligo legale.
La gestione pratica delle richieste HR
La gestione delle richieste di cancellazione dati in ambito HR richiede processi strutturati e documentati. Le aziende devono essere in grado di tracciare ogni richiesta, valutarne la legittimità e fornire risposta entro i termini previsti dal GDPR.
Questo implica la collaborazione tra ufficio HR, IT e data protection officer (DPO), soprattutto nelle organizzazioni più strutturate.
Le tempistiche di risposta obbligatorie entro 30 giorni
Il GDPR stabilisce che il titolare del trattamento deve rispondere alle richieste dell’interessato entro un mese (30 giorni), prorogabile in casi complessi fino a due mesi aggiuntivi.
Nel contesto HR, questo significa che le aziende devono attivare procedure rapide per verificare la richiesta, identificare i sistemi coinvolti e applicare eventuali misure di cancellazione o anonimizzazione.
Il mancato rispetto delle tempistiche può essere considerato violazione del regolamento.
La cancellazione sicura dei curriculum vitae non selezionati
Uno dei casi più frequenti riguarda i CV dei candidati non selezionati. In questi casi, il GDPR richiede che i dati siano conservati solo per il tempo strettamente necessario alla finalità di selezione.
Se non esiste un consenso esplicito per la conservazione futura, il CV deve essere cancellato o anonimizzato al termine del processo di recruiting.
Molte aziende utilizzano sistemi ATS (Applicant Tracking System) che automatizzano la gestione dei tempi di conservazione e la cancellazione sicura dei dati.
Tabella dati da cancellare subito vs dati da conservare per obbligo di legge
Prima della sintesi operativa, è utile distinguere chiaramente quali dati possono essere cancellati su richiesta e quali devono essere conservati per obbligo normativo.
| Tipologia dati | Cancellazione immediata | Conservazione obbligatoria |
| CV non selezionati | Sì (salvo consenso) | No |
| Email candidature spontanee | Sì | No |
| Buste paga | No | Sì |
| Contributi previdenziali | No | Sì |
| Contratti di lavoro | No | Sì |
| Dati disciplinari | Dipende dal contesto | Spesso sì |
Gli aspetti tecnici della cancellazione informatica
La cancellazione dei dati non è solo un’operazione amministrativa, ma anche tecnica. Le aziende devono garantire che i dati siano effettivamente rimossi dai sistemi informatici, inclusi database, server e strumenti cloud.
Il GDPR richiede che la cancellazione sia “effettiva”, cioè che i dati non siano più recuperabili o utilizzabili.
Come gestire i backup e le copie shadow sui server aziendali
Uno dei problemi più complessi riguarda i backup. Anche se i dati vengono cancellati dai sistemi principali, possono rimanere nelle copie di sicurezza.
Le linee guida europee indicano che i dati nei backup devono essere trattati con politiche di retention definite e cancellazione progressiva, evitando il ripristino non controllato di informazioni cancellate.
L’aggiornamento dei registri dei trattamenti
Ogni richiesta di cancellazione deve essere registrata nel registro dei trattamenti, che documenta come l’azienda gestisce i dati personali. Questo è fondamentale per dimostrare la conformità in caso di controllo del Garante.
Il registro deve includere finalità, categorie di dati, tempi di conservazione e misure di sicurezza adottate.
Le sanzioni del garante in caso di mancato rispetto del diritto all’oblio
Il mancato rispetto del diritto alla cancellazione può comportare sanzioni significative. Il GDPR prevede multe fino a 20 milioni di euro o al 4% del fatturato globale annuo, a seconda di quale importo sia maggiore.
Il Garante per la protezione dei dati personali valuta caso per caso la gravità della violazione, considerando fattori come intenzionalità, durata della violazione e cooperazione dell’azienda.
