Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Un magazzino a Passo Corese, in provincia di Rieti. Oltre 1.800 lavoratori. Una piattaforma digitale collegata al rilevamento presenze che — in automatico — registrava patologie croniche, attività sindacali, vicende familiari. E una retenzione dei dati proiettata fino a dieci anni dopo la fine del rapporto di lavoro. Questo è il quadro che gli ispettori del Garante Privacy, dell'Ispettorato Nazionale del Lavoro e della Guardia di Finanza — Nucleo speciale tutela privacy e frodi tecnologiche — hanno trovato tra il 9 e il 12 febbraio 2026 nello stabilimento di Amazon Italia Logistica srl.
Con il provvedimento n. 107 del 24 febbraio 2026, il Garante per la protezione dei dati personali ha adottato in via d'urgenza una misura di limitazione definitiva del trattamento nei confronti di Amazon Italia Logistica s.r.l. Il provvedimento, che porta il numero di documento web 10224096 sul portale ufficiale del Garante, non è una semplice diffida: è un blocco immediato, con effetto erga omnes su tutti gli stabilimenti italiani che utilizzassero la medesima piattaforma con le stesse modalità.
Il tema del Garante Privacy Amazon schedatura lavoratori logistica non riguarda solo un singolo caso aziendale. Riguarda una deriva strutturale nell'uso delle piattaforme HR: quella di trasformare uno strumento di gestione amministrativa in un archivio sistematico di informazioni personali sensibili, accessibile a una platea indeterminata di manager, senza basi giuridiche adeguate e senza limiti di conservazione proporzionati.
Cosa raccoglieva la piattaforma e perché è illecito
Al centro della vicenda c'è una piattaforma di gestione delle risorse umane — denominata «XX» negli atti ispettivi — collegata al sistema di rilevazione delle presenze. La piattaforma utilizza il cosiddetto Bradford Factor, un algoritmo che penalizza le assenze brevi e frequenti assegnando punteggi crescenti: al raggiungimento di una certa soglia, il sistema genera automaticamente una raccomandazione al manager di effettuare un colloquio con il dipendente.
Fin qui, nulla di per sé illecito. Il problema nasce da ciò che accade durante e dopo quel colloquio. Secondo l'Autorità, le informazioni annotate dopo i colloqui con i dipendenti rientrati da periodi di assenza includevano elementi non pertinenti alla valutazione professionale. Il trattamento dati oggetto di divieto comprendeva dettagli su condizioni mediche specifiche — come patologie croniche o l'utilizzo di dispositivi salvavita — ma anche riferimenti ad attività sindacali e vita personale e familiare.
I dati venivano raccolti «in modo sistematico, per tutta la durata del rapporto di lavoro e conservati fino a dieci anni dalla sua cessazione» attraverso una piattaforma interna collegata al sistema di rilevazione delle presenze. Questa combinazione — sistematicità della raccolta, vastità delle categorie di dati, ampiezza della retenzione — è esattamente la triplice violazione che il GDPR (artt. 5 e 9) e il Codice Privacy (d.lgs. 196/2003 e s.m.i.) vietano senza possibilità di deroghe contrattuali unilaterali.
A ciò si aggiunge il secondo profilo di illiceità: l'attenzione dell'Autorità si è concentrata anche sulla presenza di quattro telecamere etichettate «Bathroom», posizionate in modo tale da rendere identificabili i soggetti che accedono ai bagni e all'area ristoro. Le telecamere in prossimità o a controllo degli accessi a servizi igienici non sono mai giustificabili da esigenze organizzative o di sicurezza del patrimonio aziendale: vi è un nucleo duro di riservatezza — la dignità corporea e l'intimità fisica del lavoratore — che nessuna base giuridica del GDPR può comprimere.
Cosa può raccogliere un datore di lavoro sui propri dipendenti?
Il quadro normativo di riferimento è costruito su un equilibrio preciso tra il potere organizzativo e direttivo del datore di lavoro e i diritti fondamentali del lavoratore. L'art. 4 dello Statuto dei Lavoratori (l. 300/1970, come modificato dal d.lgs. 151/2015) ammette il controllo a distanza solo per specifiche finalità — organizzative, produttive, di sicurezza, di tutela del patrimonio — e prevede procedure obbligatorie: accordo sindacale oppure autorizzazione dell'INL in assenza di RSA/RSU.
Il provvedimento del 24 febbraio 2026 si colloca nel solco di una linea già consolidata del Garante in materia di tecnologie e lavoro. L'Autorità ha più volte affermato che gli strumenti digitali non possono tradursi in un controllo generalizzato e sproporzionato del lavoratore, richiamando i principi di minimizzazione e proporzionalità del GDPR insieme ai limiti degli artt. 4 e 8 dello Statuto dei Lavoratori.
I dati che un datore di lavoro può trattare legittimamente sono quelli strettamente necessari all'esecuzione del contratto o all'adempimento di obblighi di legge: dati anagrafici, retributivi, previdenziali, fiscali, e — con particolari cautele e solo nei limiti del necessario — dati sanitari connessi all'idoneità alla mansione, acquisiti però attraverso il medico competente, non attraverso colloqui gestionali annotati in campi liberi di una piattaforma HR. Patologie specifiche, orientamenti sindacali, vicende familiari sono categorie particolari di dati ai sensi dell'art. 9 GDPR: il loro trattamento è ammesso solo in presenza di condizioni tassative, nessuna delle quali si applicava al caso di specie.
La piattaforma di rilevazione presenze può conservare dati per 10 anni?
La risposta è netta: no, salvo ipotesi eccezionali e documentate. Il principio di limitazione della conservazione (art. 5, par. 1, lett. e, GDPR) impone che i dati siano conservati per un periodo non superiore a quello necessario alle finalità per le quali sono trattati. Per i dati relativi al rapporto di lavoro, i termini di conservazione devono essere giustificati — ad esempio — da obblighi di legge in materia previdenziale o fiscale, che tipicamente si esauriscono entro cinque anni dalla cessazione del rapporto. Una conservazione sistematica di dieci anni di dati sensibili — patologie, attività sindacale — non trova fondamento in alcuna norma di settore e configura una violazione autonoma e grave del GDPR.
Si tratta di un provvedimento cautelare: le sanzioni pecuniarie potranno seguire all'esito dell'istruttoria ancora in corso. Questo significa che il quadro sanzionatorio complessivo — potenzialmente fino al 4% del fatturato globale annuo ai sensi dell'art. 83 GDPR — non è ancora chiuso. Il blocco è stato esteso a tutti gli stabilimenti Amazon in Italia che utilizzino la medesima piattaforma con modalità analoghe a quelle accertate a Passo Corese: la società ha avuto l'obbligo di fornire riscontro al Garante entro sette giorni dalla notifica del provvedimento.
Quando il controllo algoritmico dei lavoratori viola il GDPR?
La risposta non è una formula unica, ma si ricava da una serie di criteri cumulativi che la giurisprudenza e i provvedimenti del Garante hanno progressivamente definito. Il controllo algoritmico diventa illecito quando: raccoglie dati non pertinenti rispetto alla finalità dichiarata; non è preceduto da un'adeguata informativa ai sensi degli artt. 13-14 GDPR; tratta categorie particolari di dati senza una delle basi specifiche previste dall'art. 9 GDPR; è accessibile a una platea di soggetti autorizzati sproporzionata rispetto alle finalità; conserva i dati oltre i termini necessari; e — nel contesto italiano — prescinde dall'accordo sindacale o dall'autorizzazione INL previsti dall'art. 4 St. lav.
Una pronuncia recente conferma, per contrasto, dove si trovi il confine del lecito. Con sentenza n. 800 del 15 giugno 2026, il Tribunale di Pisa si è pronunciato sulla legittimità del potere di controllo datoriale sugli strumenti informatici aziendali, affermando che l'accesso alla posta elettronica aziendale dei dipendenti è legittimo se finalizzato ad accertare una specifica condotta illecita, a seguito di concreti indizi e purché effettuato nel rispetto della normativa in materia di protezione dei dati personali. La decisione è interessante non tanto per l'esito, quanto per il metodo: il giudice non valida in blocco il controllo, ma lo taglia in due lungo una data precisa — quella in cui la lavoratrice aveva accettato telematicamente la policy informatica. Tutto ciò che precede quella data è inutilizzabile; ciò che segue regge, ed è sufficiente a fondare il licenziamento.
Il contrario esatto del caso Amazon: lì il controllo era generalizzato, sistematico, non fondato su alcun sospetto specifico e riguardava categorie di dati estranee alla valutazione della prestazione lavorativa. La distinzione tra controllo difensivo mirato — legittimo — e profilazione algoritmica massiva — illecita — è esattamente la linea che il Garante ha tracciato con il provvedimento del 24 febbraio 2026.
Vale segnalare anche un caso parallelo e per certi versi ancor più rivelatore: il 13 giugno 2026 il Tribunale di Pisa ha ritenuto legittimo il controllo difensivo sulla casella aziendale e confermato il licenziamento. Cinque giorni dopo il Garante ha dichiarato illecito lo stesso trattamento e irrogato 460mila euro. Le due decisioni convergono sul deficit di informativa e divergono su tutto il resto — a partire dalla qualificazione della posta elettronica ai sensi dell'art. 4 dello Statuto dei lavoratori. Questo "doppio binario" tra giudice del lavoro e Autorità Garante — che può portare a esiti radicalmente opposti sullo stesso fatto — è uno dei rischi pratici più sottovalutati dalle imprese.
Un ulteriore profilo di rischio emerge dal quadro normativo in evoluzione. Il caso non riguarda solo Amazon. La dinamica descritta — una piattaforma HR con campo libero, un algoritmo che genera colloqui, manager non adeguatamente formati sui limiti della raccolta dei dati — è presente in moltissime grandi organizzazioni. Con l'entrata in piena applicazione dell'AI Act europeo, i sistemi algoritmici di scoring e profilazione dei lavoratori saranno soggetti a obblighi aggiuntivi di trasparenza e valutazione dei rischi: il Bradford Factor, così come descritto nel provvedimento, rientra in una categoria di sistemi che potrebbero qualificarsi come ad "alto rischio" nell'impiego dei lavoratori, ai sensi dell'Allegato III del regolamento UE 2024/1689.
Vigilantibus iura subveniunt: il diritto tutela chi vigila. Ma nel caso Amazon, a vigilare non era l'azienda sui propri lavoratori — era il Garante sull'azienda. La distinzione, sul piano della legittimità, è assoluta.
Aristotele, nella Politica, osservava che governare una città significa governare uomini liberi, non cose. La metafora si adatta con precisione al rapporto di lavoro nell'era algoritmica: il potere di organizzare la prestazione lavorativa non si trasforma mai in un diritto di schedare la persona che quella prestazione la esegue. Il confine tra organizzazione e controllo disciplinare è già sottile nel mondo analogico. Nel mondo delle piattaforme HR con campi di testo liberi e algoritmi predittivi, quel confine deve essere disegnato con precisione chirurgica — e prima che arrivi un'ispezione a disegnarlo al posto dell'azienda.
Le imprese che utilizzano piattaforme digitali di gestione del personale — non solo nella logistica, ma in qualsiasi settore — dovrebbero compiere, con urgenza, una revisione critica dei seguenti elementi: le categorie di dati effettivamente raccolti dai manager tramite sistemi HR; le basi giuridiche su cui si fonda ogni singola tipologia di trattamento; i termini di conservazione adottati e la loro coerenza con gli obblighi di legge; il numero e il profilo dei soggetti autorizzati ad accedere ai dati; l'adeguatezza dell'informativa fornita ai lavoratori; e l'esistenza — ove richiesto — di accordi sindacali o autorizzazioni INL per i sistemi di controllo a distanza. La logica non è quella della compliance formale, ma della gestione concreta del rischio: il provvedimento sul caso Amazon dimostra che il Garante è pronto a intervenire in via d'urgenza, prima ancora di chiudere l'istruttoria.
Redazione - Staff Studio Legale MP
