Copia del fascicolo del lavoratore: il segreto industriale non giustifica un diniego totale

Un dipendente licenziato scrive all’ufficio del personale e chiede, ai sensi dell’articolo 15 del GDPR, copia completa del proprio fascicolo. In azienda non esiste un pulsante che esporti il fascicolo: ci sono il gestionale HR, i log dei badge, la posta assegnata alla persona, le valutazioni del responsabile diretto, gli strumenti di produttività, i sistemi di uno o più fornitori esterni che trattano dati per conto dell’azienda. Nessuno lo contiene per intero. E su ciascuno va deciso, entro il termine che il Regolamento fissa, che cosa è dato personale del richiedente, che cosa riguarda altri lavoratori, e che cosa — se qualcosa — è segreto industriale.

L’articolo 15, letto per intero

Il diritto di accesso non si esaurisce nel sapere se un trattamento è in corso. Il paragrafo 3 dell’art. 15 è netto: «Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento.» Per via elettronica, «e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune» — un file, non una sintesi scritta da chi risponde. Il paragrafo 4 non è un’appendice trascurabile: «Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.» Un limite esiste, ma l’articolo da solo non dice come applicarlo: lo spiega il considerando che lo accompagna.

Il considerando 63 spiega, non aggiunge un’eccezione

Un considerando non ha valore normativo autonomo: non crea obblighi né eccezioni proprie, orienta la lettura dell’articolo a cui si riferisce. Il considerando 63 lo fa per l’art. 15 con una frase che sembra aprire la porta al diniego: quel diritto «non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software.» Il periodo successivo la richiude: «Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni.» Il segreto industriale non è un fondamento per rifiutare l’accesso: è un interesse da bilanciare voce per voce, mai un cancello che chiude l’intero fascicolo.

Lo stesso considerando offre due leve pratiche, condizionate. Se tratta «una notevole quantità d’informazioni», il titolare può «richiedere che l’interessato precisi… l’informazione o le attività di trattamento cui la richiesta si riferisce» — restringere l’oggetto, non rifiutare. E, «ove possibile», può fornire «l’accesso remoto a un sistema sicuro» invece di un export statico: utile con un solo gestionale, poco con un fascicolo spezzato fra sistemi che non si parlano.

Che cos’è «una copia»: lo dice la Corte di giustizia

Sul significato pratico di «copia» si è pronunciata la Corte di giustizia con la sentenza della Prima Sezione del 4 maggio 2023, causa C-487/21, F.F. contro Österreichische Datenschutzbehörde, intervento di CRIF GmbH — rinvio pregiudiziale del Bundesverwaltungsgericht austriaco, lingua processuale il tedesco. Il dispositivo:

«il diritto di ottenere dal titolare del trattamento una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Detto diritto presuppone quello di ottenere copia di estratti di documenti o addirittura di documenti interi o […] di estratti di banche dati contenenti […] tali dati, se la fornitura di una siffatta copia è indispensabile per consentire all’interessato di esercitare effettivamente i diritti conferitigli da tale regolamento, fermo restando che occorre tener conto, al riguardo, dei diritti e delle libertà altrui.»

Due soglie, non una. La copia dev’essere «fedele e intelligibile» — un elenco riassuntivo non basta, come si vedrà. E l’estratto o il documento intero sono dovuti solo quando indispensabili per esercitare i diritti: né un diritto automatico a ogni file col proprio nome, né uno che si esaurisce nel solo campo dati.

Il fascicolo sta in più sistemi, mai in uno solo

Per ciascun luogo va deciso tre volte: è dato personale del richiedente? tocca dati di terzi da oscurare, non da negare per intero? contiene un metodo che merita la qualifica di segreto industriale — e se sì, quella qualifica regge da sola o va dimostrata?

Il gestionale HR: anagrafica, contratto, buste paga, provvedimenti disciplinari.
I log di accesso e i badge: orari, spostamenti fra sedi, talvolta la posizione del dispositivo aziendale.
La posta elettronica: comunicazioni proprie, ma anche scambi che coinvolgono colleghi o clienti — dati di terzi, non solo del richiedente.
Le valutazioni di performance: dati valutativi propri, spesso redatti citando processi interni.
Gli strumenti di produttività: cronologia dei documenti, messaggistica interna, tracciati d’uso.
I sistemi dei fornitori, responsabili del trattamento: paghe in outsourcing, selezione, monitoraggio.

Due provvedimenti che rispondono alla stessa domanda

Il Garante ha già dovuto sciogliere questo nodo, con esiti coerenti. Con il provvedimento n. 137 del 7 marzo 2024 (doc-web 10007853) ha sanzionato per 20.000 euro una banca che, alla richiesta di accesso al fascicolo disciplinare di un’ex dipendente, aveva fornito solo «comunicazione ed elencazione, peraltro non completa, della sola corrispondenza» e negato altra documentazione citando la tutela di un terzo — motivi mai comunicati alla richiedente, come impone l’art. 12, par. 4. Il Garante ha richiamato il considerando 63 per ribadire che l’accesso serve a «essere consapevole del trattamento e verificarne la liceità», invariato se lo scopo è, come in quel caso, difendersi da un procedimento disciplinare: «dalla lettura del combinato disposto degli artt. 12 e 15 del Regolamento non risulta la necessità per gli interessati di indicare un motivo… per giustificare le proprie richieste».

Con il provvedimento n. 165 del 12 marzo 2026 (doc-web 10233328) — reclamo verso ITAS Mutua, dispositivo intestato a LT S.p.A., sede a Trento — il Garante ha sanzionato per 50.000 euro una società che aveva negato a un ex dipendente parte della propria posta aziendale invocando «segreti aziendali contenuti nelle e-mail». Il provvedimento cita il considerando 63 e le Linee guida EDPB 1/2022, punto 172, sull’onere della prova: «la generica preoccupazione che, dando seguito alla richiesta di accesso, i diritti e le libertà altrui possano essere lesi non è sufficiente per fare appello all’articolo 15, paragrafo 4, GDPR. Il titolare del trattamento dev’essere in grado di dimostrare che, nella situazione concreta, i diritti o le libertà altrui sarebbero effettivamente lesi.» La società non aveva prodotto «alcun elemento di fatto utile a dimostrare» quel pregiudizio: la sola etichetta non regge.

Il termine, e quando si allunga davvero

L’art. 12, par. 3, fissa il tempo per rispondere: «senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa.» Si può prorogare, non a discrezione: «di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste» — scomporre un fascicolo su più sistemi è la condizione che più spesso la giustifica. Va comunicata entro il primo mese, motivi inclusi: «Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta stessa.» Mai un mese di silenzio: è il combinato su cui la banca del provvedimento 137/2024 è stata sanzionata.

Vedi il servizio · Parlane con un tecnico

Quello che non sappiamo

Non facciamo consulenza legale. Non abbiamo verificato altri provvedimenti del Garante sul tema, né la sentenza C-307/22 richiamata (non scaricata) nel provvedimento 137/2024. Il punto 172 delle Linee guida EDPB 1/2022 lo abbiamo verificato sia nel provvedimento 165/2026 sia, indipendentemente, nella versione inglese ufficiale EDPB — non reperita una versione italiana scaricabile. Della società sanzionata conosciamo solo il dispositivo, LT S.p.A. con sede a Trento: non ricostruito il rapporto con ITAS Mutua, nominata nel reclamo.

I due assi, applicati al fascicolo

Adempiere. La richiesta ex art. 15 diventa, nel nostro impianto, un controllo sui sistemi del cliente: per ciascun luogo elencato sopra, quale dato è del richiedente, quale tocca terzi da oscurare, quale porta un segreto industriale dimostrabile e non solo dichiarato. Pronto entro un mese, prorogabile di due se la complessità è reale e scritta, non scoperta al trentesimo giorno.

Decidere. Lo stesso impianto tiene insieme gestionale, posta, log e sistemi dei fornitori in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando. Sempre on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure su cloud dedicato, con VPN dedicata e data center in Italia. È il metodo con cui costruiamo la piattaforma.

Sapreste dire oggi, per una richiesta di accesso di un lavoratore, in quanti sistemi dovreste entrare prima di poter rispondere entro un mese? Mezz’ora con un nostro esperto basta per la prima mappa.