In breve
- L'art. 6, par. 1, GDPR elenca sei condizioni di liceità del trattamento: il consenso è solo la lettera a).
- Il consenso, per valere, deve essere libero (art. 4, n. 11, GDPR). Nel rapporto di lavoro la dipendenza dal datore rende improbabile che il dipendente possa rifiutare senza timore di conseguenze (EDPB, linee guida 05/2020, punto 21).
- Per la maggior parte dei trattamenti sul lavoro, secondo l'EDPB, la base giuridica non può e non dovrebbe essere il consenso.
- Il consenso resta possibile solo in circostanze eccezionali, quando il rifiuto non ha alcuna conseguenza negativa (punto 22).
Quali sono le basi giuridiche che rendono lecito un trattamento?
L'art. 6, paragrafo 1, del GDPR (Regolamento UE 2016/679) dice che il trattamento è lecito solo se ricorre almeno una di sei condizioni. Il consenso è la prima, ma non l'unica.
| Base giuridica | Lettera dell'art. 6, par. 1 | Quando la norma la ammette |
|---|---|---|
| Consenso | a) | L'interessato ha espresso il consenso per una o più specifiche finalità |
| Contratto | b) | Il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte, o di misure precontrattuali adottate su sua richiesta |
| Obbligo legale | c) | Il trattamento è necessario per adempiere un obbligo legale del titolare |
| Interessi vitali | d) | È necessario per salvaguardare interessi vitali dell'interessato o di altra persona fisica |
| Compito di interesse pubblico | e) | È necessario per un compito di interesse pubblico o connesso a pubblici poteri |
| Legittimo interesse | f) | È necessario per il legittimo interesse del titolare o di terzi, se non prevalgono i diritti e le libertà dell'interessato (non vale per le autorità pubbliche nei loro compiti) |
Quando un consenso è davvero valido?
Il GDPR definisce il consenso come "qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato" (art. 4, n. 11). Due regole ne precisano le condizioni (art. 7):
- nel valutare se il consenso sia stato liberamente prestato si tiene nella massima considerazione l'eventualità che l'esecuzione di un contratto sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di quel contratto (par. 4);
- l'interessato ha il diritto di revocare il consenso in qualsiasi momento e deve poterlo fare "con la stessa facilità con cui è accordato" (par. 3).
Perché nel rapporto di lavoro il consenso è fragile?
Perché chi lavora dipende da chi chiede il consenso. Le linee guida 05/2020 dell'EDPB (il Comitato europeo per la protezione dei dati), nella versione 1.1 adottata il 4 maggio 2020, scrivono al punto 21 che lo squilibrio di potere si verifica anche nel contesto lavorativo: data la dipendenza che deriva dal rapporto fra datore e dipendente, è improbabile che l'interessato possa negare il consenso senza il timore o il rischio concreto di conseguenze negative.
Che cosa dice l'EDPB
Secondo le linee guida 05/2020 (punto 21), è improbabile che un dipendente possa rispondere liberamente alla richiesta del datore di attivare, per esempio, sistemi di monitoraggio come le telecamere in un luogo di lavoro, o di compilare moduli di valutazione, senza sentirsi sotto pressione. Per la maggior parte dei trattamenti sul lavoro la base giuridica non può e non dovrebbe essere il consenso dei dipendenti, dato il tipo di rapporto.
Il Garante privacy è sulla stessa linea. Nel provvedimento n. 528 del 14 luglio 2026 scrive che "in termini generali il consenso non costituisce idoneo criterio di legittimazione del trattamento in ambito lavorativo, stante l'asimmetria delle parti del rapporto di lavoro che non consente di accertare che il consenso stesso sia stato 'liberamente prestato'", richiamando l'art. 7, par. 4, e i considerando 42 e 43 del GDPR. Possono fare eccezione, aggiunge, i trattamenti accessori che si pongono al di fuori degli obblighi correlati con la prestazione lavorativa.
Questo non significa che il consenso sia sempre escluso. Il punto 22 precisa che i dipendenti possono dare un consenso libero solo in circostanze eccezionali, quando non ne deriva alcuna conseguenza negativa, che acconsentano oppure no. Il documento porta l'esempio di una troupe che gira in un ufficio e chiede ai dipendenti di quell'area di essere ripresi: chi rifiuta non subisce alcuna penalizzazione e viene sistemato altrove per il tempo delle riprese (punto 23).
Che cosa ha deciso il Garante su un modulo di consenso ai dipendenti?
Il provvedimento del Garante nasce da un reclamo del 20 ottobre 2024. In occasione della cessione del suo contratto di lavoro da E-distribuzione S.p.A. a Enel Global Services s.r.l., a una dipendente era stata sottoposta una lettera con un'informativa e un modulo di consenso relativo a tre tipologie di trattamento (categorie particolari di dati, uso dell'immagine, comunicazioni a soggetti esterni), ciascuna con una casella già spuntata e non rimovibile. La dipendente ha firmato perché, senza firma, non avrebbe potuto concludere la cessione del contratto, e subito dopo ha revocato il consenso e si è opposta al trattamento.
Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 12, 13 e 17 del GDPR e ha ordinato il pagamento di 36.000 euro a E-distribuzione e di 18.000 euro a Enel Global Services. Le società avevano già eliminato il modulo e aggiornato l'informativa: i trattamenti contestati si fondavano, secondo la loro stessa informativa, sul contratto di lavoro e su obblighi di legge, e non richiedevano il consenso.
Quali basi funzionano meglio?
Dipende dal trattamento, ed è la scelta da fare caso per caso. In linea generale, le condizioni più solide sono quelle che non dipendono dalla volontà del dipendente: il contratto di lavoro, quando il trattamento è necessario per eseguirlo; l'obbligo legale, quando il datore deve adempiere obblighi di legge; il legittimo interesse, quando lo si può bilanciare con i diritti del lavoratore.
L'art. 88 GDPR lascia inoltre agli Stati membri la possibilità di prevedere, con legge o tramite contratti collettivi, norme più specifiche sul trattamento dei dati dei dipendenti, con riguardo ad assunzione, esecuzione del contratto di lavoro, adempimento degli obblighi stabiliti dalla legge o dai contratti collettivi, gestione e organizzazione del lavoro, salute e sicurezza, e cessazione del rapporto. Queste norme nazionali, in Italia, vanno verificate trattamento per trattamento e qui non le trattiamo.
Che cosa fare con il modulo di consenso dell'assunzione?
Prima di far firmare un modulo generico a ogni neoassunto, conviene fare una verifica:
- elencare i trattamenti di dati dei dipendenti e, per ciascuno, la finalità;
- chiedersi per ciascuno se esiste una base diversa dal consenso tra quelle dell'art. 6, par. 1;
- se si sceglie il consenso, verificare che il rifiuto non comporti alcuna conseguenza negativa e che la revoca sia facile quanto la prestazione;
- riportare la base scelta nell'informativa ai dipendenti.
Lo studio assiste imprese e professionisti negli adempimenti privacy: la pagina sulla consulenza in compliance GDPR e AI Act raccoglie servizi e approfondimenti, e chi vuole una verifica dei moduli e delle informative può fissare una consulenza con lo studio. Sullo stesso filone, due approfondimenti: la videosorveglianza in azienda e le regole GDPR e l'accesso alla registrazione di una telefonata secondo il Garante privacy.
Le fonti
- Regolamento (UE) 2016/679 (GDPR), artt. 4, n. 11, 6, 7 e 88.
- EDPB, Linee guida 05/2020 sul consenso ai sensi del regolamento 2016/679, versione 1.1 adottata il 4 maggio 2020, § 3.1.1 (squilibrio di potere), punti 21-23. Il documento è consultato nella versione inglese.
- Garante per la protezione dei dati personali, provvedimento n. 528 del 14 luglio 2026, doc. web n. 10292097 (E-distribuzione S.p.A. ed Enel Global Services s.r.l.).
Domande frequenti
Il datore di lavoro può usare il consenso come base giuridica?
Solo in circostanze eccezionali. Le linee guida EDPB 05/2020 ritengono problematico che i datori di lavoro trattino i dati dei dipendenti sulla base del consenso, perché è improbabile che sia libero; possono esserci casi in cui lo è, ma solo quando dal rifiuto non deriva alcuna conseguenza negativa.
Quali alternative esistono al consenso?
L'art. 6, par. 1, GDPR prevede anche l'esecuzione di un contratto, l'obbligo legale, gli interessi vitali, il compito di interesse pubblico e il legittimo interesse del titolare. Quale si applichi dipende dal singolo trattamento.
Il dipendente può ritirare il consenso?
Sì, in qualsiasi momento, e con la stessa facilità con cui lo ha dato (art. 7, par. 3, GDPR). La revoca non pregiudica la liceità del trattamento effettuato prima.
La legge italiana prevede regole diverse per i dati dei dipendenti?
L'art. 88 GDPR consente agli Stati membri di introdurre, con legge o contratti collettivi, norme più specifiche per il rapporto di lavoro. Quelle italiane vanno verificate caso per caso e non sono trattate in questo articolo.