Durante il ciclo di vita dei rapporti di lavoro, spesso accade di dover affrontare situazioni delicate tanto per il lavoratore quanto per l’azienda. Una di queste emerge allorquando, a seguito di evidenze di illeciti, l’azienda è costretta ad azionare il potere sanzionatorio nei confronti dei propri dipendenti.
Oggigiorno, con l’aumentare della consapevolezza in merito alla rilevanza delle prove informatiche e delle tracce digitali, si assiste ad un uso quasi automatico del diritto di accesso ex art. 15 GDPR. Si tratta, in particolare, di quel diritto utilizzato dal dipendente contestato per chiedere copia di tutte le prove e di tutte le informazioni raccolte dall’azienda ai fini della dimostrazione della sua responsabilità.
［Vedi Il “Diritto di Accesso” secondo l’analisi dell’EDPB］
Siamo sicuri che il datore di lavoro sia sempre obbligato a soddisfare la richiesta del prestatore di lavoro? Vediamo cosa dice la Corte di Cassazione e la disciplina di settore:
Indice
LA CONTESTAZIONE DISCIPLINARE E IL RELATIVO PROCEDIMENTO
Come è ormai noto, le funzioni della contestazione e del procedimento disciplinare sono quelle di realizzare il principio del contraddittorio e di sollecitare la puntuale difesa del lavoratore rispetto ad un giudizio «di parte».
Senza dover entrare nel merito delle caratteristiche legali della contestazione disciplinare e delle regole sulla fase dell’istruttoria, rimane evidente che nell’ambito di tale contradditorio si innesca un rapporto caratterizzato da un progressivo scambio di prove, documenti, testimonianze e ogni altra informazione utile per sostenere le rispettive tesi delle parti.
Nell’ambito di questo scambio informativo, sovente viene utilizzato il diritto di accesso ai dati personali come mezzo per costringere il datore di lavoro ad esibire, in un dato momento, qualsiasi tipo di prova o informazione che, strategicamente, il datore aveva interesse a tenersi per sé.
Ecco come gestire tali situazioni.
IL QUADRO NORMATIVO
Il diritto di accesso
La finalità generale del diritto di accesso previsto dall’art. 15 GDPR consiste nel fornire ai richiedenti informazioni sufficienti, trasparenti e facilmente accessibili in merito al trattamento dei loro dati personali, in modo che esse possano essere consapevoli del trattamento e verificarne la liceità.
La norma prevede che l’interessato abbia diritto di ottenere dal titolare la conferma che sia in corso un trattamento di dati personali che lo riguardano, e questo a prescindere dall’esistenza di una reale lesione. In caso affermativo, l’interessato ha il diritto di ottenere dal titolare una copia dei suoi dati personali, nonché di ricevere con riferimento ai singoli trattamenti le seguenti informazioni:
- le finalità del trattamento;
- le categorie di dati personali trattati;
- i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati
- il periodo di conservazione.
I limiti espressi dal GDPR
Per capire la portata del diritto di accesso, in primo luogo è necessario ricordare che il diritto di accesso ai dati personali si applica, per l’appunto:
ai soli dati personali che si riferiscono al richiedente, a patto che siano ancora detenuti dal titolare del trattamento/datore di lavoro;
Ciò a specificare che determinate informazioni, che esulano dal concetto di dato personale, non sono accessibili dal dipendete ai sensi dell’art. 15 GDPR.
Inoltre, si badi a tenere a mente che l’art. 15 GDPR non è un diritto illimitato: lo stesso articolo 15 GDPR specifica che l’esercizio del diritto di accesso non deve essere manifestamente infondato o eccessivo (art. 15 par. 5 GDPR) e che la comunicazione delle informazioni richieste non devono ledere diritti e le libertà altrui (art. 15 par. 4 GDPR).
Anche la normativa nazionale si è preoccupata di circoscrivere l’ambito di applicazione del diritto di accesso, ecco come:
Le ulteriori eccezioni previste dal codice privacy
Il GDPR, oltre ai limiti espressi poc’anzi, permette all’Unione e agli Stati membri di limitare ulteriormente il diritto di accesso (art. 23 GDPR).
In particolare, l’art. 2-undecies del Codice Privacy stabilisce tutti quei casi in cui il riscontro alla richiesta di esercizio dei diritti possa essere ritardato, limitato o completamente escluso, qualora tale limitazione si ritenga necessaria per preservare almeno uno degli interessi elencati dalla stessa disposizione codicistica.
Ad esempio, nell’ambito dei procedimenti disciplinari, a seconda del tipo di richiesta presentata dall’interessato può risultare applicabile il contenuto dell’art. 2-undecies lett. e) Codice Privacy, secondo il quale è ammesso limitare il diritto di accesso se esso risulta necessario al fine di non pregiudicare lo svolgimento di investigazioni difensive o l’esercizio di un diritto in sede giudiziaria.
I CASI AFFRONTATI DALLA CASSAZIONE
Secondo una diversa prospettiva, di puro stampo giuslavoristico, la Corte di Cassazione ha chiarito all’interno di due importanti pronunce quali sono gli obblighi informativi dei datori di lavoro nei confronti del personale, in costanza di procedimenti disciplinari.
In entrambi i casi sotto riportati, i lavoratori hanno contestato il comportamento del datore di lavoro, accusandolo di non aver permesso loro di accedere ai documenti aziendali durante il relativo procedimento disciplinare. A parere dei lavoratori, questo comportamento avrebbe impedito di esercitare pienamente il diritto alla difesa previsto dall’articolo 7 dello Statuto dei Lavoratori.
Vediamo cosa dicono le due pronunce:
Corte di Cassazione Sezione lavoro Ordinanza n. 300792/2024
Secondo la Corte, ogni qual volta il lavoratore richiede un accesso documentale durante un procedimento disciplinare a suo carico, Il datore di lavoro è tenuto: ad offrire in consultazione all’incolpato i documenti aziendali solo in quanto e nei limiti in cui l’esame degli stessi sia necessario al fine di una contestazione dell’addebito idonea a permettere alla controparte un’adeguata difesa.
La Corte ha rilevato che “non è meritevole di tutela generalizzata il diritto di accesso ai documenti posti a fondamento delle contestazioni disciplinari”
In pratica, il datore deve fornire i documenti solo se sono utili per permettere un’adeguata comprensione dell’accusa e preparare al meglio un’adeguata difesa. Se il lavoratore ritiene che questo obbligo non sia stato rispettato, deve indicare con precisione quali documenti gli sarebbero serviti per difendersi.
In ogni caso, il lavoratore può chiedere al giudice, durante un eventuale processo per impugnare il licenziamento, di ordinare l’esibizione di quei documenti.
Corte di Cassazione Sezione lavoro Ordinanza n. 8149/2025
Anche secondo la più recente Ordinanza della Corte di Cassazione il lavoratore non ha il diritto, nell’ambito di un procedimento disciplinare che lo vede protagonista, di chiedere in via generalizzata e astratta tutta la documentazione aziendale in possesso del datore di lavoro.
Ma, per controbilanciare le esigenze difensive da parte dei prestatori di lavoro, la Corte ha anche specificato che:
il datore di lavoro, tuttavia, deve offrire in visione la documentazione posta a base di una contestazione disciplinare, in base ai principi di correttezza e buona fede, nell’esecuzione del contratto, qualora l’incolpato ne faccia richiesta e l’esame dei documenti sia necessario per una adeguata difesa;
Da ultimo, compete poi al giudice di merito, sulla base degli atti di causa, scrutinare la sussistenza di tale rapporto di necessarietà, incombendo inoltre sul lavoratore l’onere di specificare “quali sarebbero stati i documenti la cui messa a disposizione – in tesi negata – sarebbe stata necessaria al predetto fine”.
CONCLUSIONI
Ciò che impariamo dalla normativa privacy e dagli orientamenti giurisprudenziali di stampo giuslavoristico, è che ogni qual volta ci sia una richiesta di accesso da parte di un lavoratore sottoposto a procedimento disciplinare, il datore di lavoro debba attentamente valutare la richiesta e decidere se accoglierla, accoglierla parzialmente o direttamente rigettarla.
Sulla base di quanto detto, vi proponiamo la seguente metrica valutativa delineata dalle Linee guida 1/2022 emanate dall’European Data Protection Board, adattata agli orientamenti giuslavoristici. La metrica consta di 4 fasi:
In primo luogo, occorre capire se il diritto di accesso ex art. 15 coinvolge documenti necessari alla difesa dell’interessato.
– In caso di risposta negativa, il datore di lavoro-titolare del trattamento dovrà valutare se soddisfare la richiesta entro il termine fissato dalla legge (30 giorni), quindi anche a procedimento disciplinare esaurito, salvo che non siano applicabili le limitazioni al diritto di accesso previste dalla normativa come citata di seguito.
– In caso di risposta affermativa, bisognerà capire se sono applicabili le eccezioni previste dall’art. 15 GDPR e dall’art. 2 undecies Codice Privacy, come spiegato nella fase 2.
La seconda fase è dimostrativa della necessità di effettuare la valutazione, quando ad esempio è evidente che dando seguito alla richiesta dell’interessato si ledono i diritti e le libertà di altri soggetti.
– In questo caso, per applicare l’eccezione prevista all’art. 15 par. 4, occorre individuare quali sono gli altri diritti e le libertà che rischiano di essere lesi in caso si accogliesse l’istanza di accesso ai dati (ad esempio diritti d’autore, segreti industriali e altri diritti della personalità). Se tali altri diritti e interessi sussistono e rischiano di essere lesi, si passa alla fase 3.
All’interno della terza fase, Il titolare del trattamento dovrebbe cercare di conciliare i diritti confliggenti, ad esempio attuando misure appropriate che attenuino i rischi per i diritti e le libertà altrui.
Qualora tale attività conciliativa risulti possibile, ad esempio oscurando determinati dati, bisognerà fornire riscontro all’interessato, informandolo dei motivi degli oscuramenti. Se invece risulta impossibile si passa alla fase 4.
Durante la quarta e ultima fase, se risulta impossibile conciliare i diritti pertinenti, il titolare del trattamento deve decidere in una fase successiva quale diritto o libertà far prevalere tra quelli confliggenti e, se del caso, negare l’accesso ai dati personali.
［Vedi Gestire le richieste di accesso ai dati personali: problemi pratici e come risolverli］
CONSIGLI UTILI
Ciò che vi consigliamo, se mai doveste trovarvi in tali situazioni, è quello di documentare tutto il processo valutativo e sottoscriverlo con data certa.
Difatti, in questi casi così delicati, è fondamentale osservare il principio di accountability (art. 5 par. 2 GDPR) e poter dimostrare, a fronte di eventuali contestazioni nel merito, di aver provveduto e argomentato compiutamente tutte le scelte poi adottate.
Il Garante ha ricordato che Il titolare è comunque tenuto a fornire un riscontro all’interessato, specificando i motivi in caso di negato accesso e informando circa la possibilità di presentare reclamo all’autorità di controllo e di proporre ricorso giurisdizionale (art. 12, par. 4, del RGPD).
È possibile non inviare tale comunicazione motivata, in cui vengono esplicitati i motivi ostativi all’esercizio dei diritti, solo qualora anche la stessa “possa compromettere le finalità che giustificano la limitazione”.
In ultimo, il Garante ha sottolineato che:
“l’ambito temporale della limitazione del diritto di accesso è circoscritto a quanto strettamente necessario ad evitare un pregiudizio all’esercizio del diritto (cfr. art. 2-undecies, comma 3, del Codice) e pertanto, una volta venute meno le ragioni del pregiudizio, nessun ostacolo può essere frapposto all’esercizio del diritto previsto dall’art. 15 del RGPD”.
Ciò a significare, conclusivamente, che il processo valutativo non si esaurisce con la decisione finale, ma deve rimanere vivo affinché una volta decorso il tempo, o per l’avvenimento di altre circostanze, si possa sempre rivalutare se accogliere il diritto o accoglierlo con limitazioni o respingerlo.
