Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Oblio lavoratore licenziato e cancellazione dati dal sito aziendale: il quadro dopo il provvedimento del Garante
Quante volte, cercando il proprio nome su Google dopo aver lasciato un'azienda, si trova ancora la propria foto sul sito della ex datrice di lavoro, con tanto di numero di cellulare e indirizzo e-mail? È una situazione frequente, spesso derubricata a disorganizzazione informatica, ma che il diritto qualifica diversamente: si tratta di un trattamento di dati personali senza base giuridica, protratto oltre la fine del rapporto che ne giustificava l'esistenza. Il Garante per la protezione dei dati personali, con il provvedimento n. 121 del 26 febbraio 2026, si è espresso sul diritto alla cancellazione dei dati personali dal sito aziendale in modo tempestivo e sul diritto di accesso che va rispettato senza ritardi anche qualora riguardi dati già in possesso dell'interessato.
Il caso da cui nasce il provvedimento è emblematico della vita reale. La vicenda nasce dal reclamo di una ex collaboratrice che, dopo la cessazione del rapporto avvenuta nell'agosto 2024, aveva chiesto formalmente tramite PEC la cancellazione dei propri dati personali — foto, cellulare e mail aziendale — dalla sezione "Chi siamo" del sito web aziendale e l'invio di una copia del suo ultimo contratto di collaborazione. Nonostante la diffida, la società non ha fornito alcun riscontro iniziale per oltre sei mesi, portando la lavoratrice a rivolgersi all'Autorità Garante.
Il nome della società, già noto dagli atti pubblici del Garante, è Groupharma s.r.l.s., un'azienda operante nel settore farmaceutico che, alla cessazione del rapporto, non aveva rimosso i dati personali presenti sul sito internet aziendale nella sezione di presentazione, tra cui fotografia, numero di cellulare e indirizzo e-mail aziendale, né aveva consegnato copia dell'ultimo contratto di collaborazione.
La società ha cercato di giustificare la permanenza sul sito web di foto e contatti con processi di ristrutturazione interna e il cambio di fornitore che gestiva la pagina internet. Il Garante non ha ritenuto questa spiegazione sufficiente. Il ritardo non può essere giustificato da ragioni organizzative interne: difficoltà organizzative o processi interni di riorganizzazione non sospendono gli obblighi derivanti dal GDPR.
Qui risiede il punto normativo più rilevante: l'art. 17 del Regolamento (UE) 2016/679 impone la cancellazione non "appena possibile" in senso astratto, ma "senza ingiustificato ritardo". La condotta dell'azienda che, dopo la cessazione del rapporto di lavoro con la collaboratrice, non abbia provveduto, a fronte di specifica richiesta, a cancellare i dati personali dal sito internet aziendale costituisce violazione dell'art. 17 GDPR, in forza del quale l'interessato ha il diritto di ottenere la cancellazione dei dati "senza ingiustificato ritardo".
Dopo la cessazione del rapporto di lavoro con la reclamante, alcune informazioni riferite all'interessata sono state mantenute sul sito internet quantomeno per circa un mese, ciò in violazione del principio di esattezza, in base al quale il titolare deve trattare dati personali "esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati" (art. 5, par. 1, lett. d) del Regolamento).
Non è questione isolata. Il registro dei provvedimenti del Garante riporta anche il provvedimento n. 82 del 12 febbraio 2026 (doc. web n. 10230220), un'ordinanza di ingiunzione che affronta profili analoghi di diritto all'oblio, informativa e lavoro privato. In quel caso, il reclamante, dopo la cessazione del rapporto di collaborazione avvenuta il 31 dicembre 2023, aveva esercitato via PEC il diritto di accesso all'account di posta elettronica individualizzato assegnato nell'ambito del rapporto e il diritto di cancellazione dei dati, in quanto venuto meno il rapporto lavorativo che era all'origine dell'assegnazione.
E ancora più recente e significativo è il provvedimento n. 476 del 18 giugno 2026 (doc. web n. 10272529), che segna un'ulteriore tappa nella giurisprudenza amministrativa sul tema. Il 13 giugno 2026 il Tribunale di Pisa aveva ritenuto legittimo il controllo difensivo sulla casella aziendale e confermato il licenziamento; cinque giorni dopo il Garante ha dichiarato illecito lo stesso trattamento e irrogato 460mila euro. Il Garante ha dichiarato illecito il trattamento dei dati personali contenuti nella posta elettronica aziendale, ha vietato a Piaggio ogni ulteriore accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato la sanzione pecuniaria. Le due decisioni convergono sul deficit di informativa e divergono su tutto il resto, a partire dalla qualificazione della posta elettronica ai sensi dell'art. 4 dello Statuto dei lavoratori.
Vale la pena soffermarsi su questo ultimo aspetto con occhio critico. Il caso Piaggio rivela una tensione strutturale nell'ordinamento: il giudice del lavoro e il Garante Privacy possono esaminare gli stessi dati, gli stessi account, le stesse e-mail e giungere a conclusioni diametralmente opposte. Per il Tribunale, l'accesso alla posta aziendale è controllo difensivo legittimo; per il Garante, è trattamento illecito. L'azienda, nel procedimento, aveva sostenuto che in ogni caso non avrebbe potuto dare seguito alla richiesta di cancellazione, poiché "le email degli Ex Dipendenti costituiscono prova fondamentale nei giudizi del lavoro innanzi al Tribunale di Pisa" e la loro cancellazione avrebbe compromesso la possibilità di difendersi nel processo. Il Garante non ha condiviso questa impostazione nei termini assoluti in cui era stata proposta. Il principio di limitazione della finalità non ammette conversioni a posteriori: i dati raccolti per gestire il rapporto di lavoro non diventano automaticamente disponibili per qualsiasi uso difensivo futuro solo perché insorgono contestazioni.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi lo esercita — descrive perfettamente la condizione del lavoratore in questa materia: chi non agisce formalmente non ottiene tutela, chi invece formalizza la richiesta per iscritto attiva un meccanismo di protezione preciso e azionabile.
Come ha scritto Luigi Ferrajoli, il diritto alla riservatezza appartiene a quella categoria di diritti "universali e inalienabili" che non possono essere affievoliti dalla posizione di subordinazione contrattuale del titolare. Il rapporto di lavoro non è una cessione tacita dell'identità digitale.
Cosa fare concretamente se la tua foto è ancora sul sito dell'ex azienda
La domanda più frequente, dopo la lettura del provvedimento n. 121/2026, riguarda proprio le mosse pratiche. Vediamole in ordine.
Il primo passo è inviare una richiesta scritta formale all'azienda, preferibilmente tramite PEC o raccomandata A/R, citando espressamente l'art. 17 del GDPR e chiedendo la cancellazione "senza ingiustificato ritardo" di tutti i dati personali ancora pubblicati — foto, e-mail, numero di telefono, profilo, qualsiasi altro dato identificativo. È opportuno specificare la data di cessazione del rapporto e allegare o richiamare la comunicazione di licenziamento o di fine contratto. Conservare la prova di invio e la ricevuta di consegna è essenziale per la fase successiva.
Il provvedimento n. 121/2026 chiarisce un punto essenziale: la tutela dei dati personali nel rapporto di lavoro non si interrompe con la fine dell'incarico. Il diritto di accesso e il diritto alla cancellazione devono essere rispettati in modo tempestivo e completo, senza eccezioni basate su ragioni organizzative o su precedenti disponibilità dei documenti.
L'azienda ha un mese di tempo per rispondere, ai sensi dell'art. 12 del GDPR. Se non risponde, o risponde negativamente senza motivazione plausibile, si apre la via del reclamo al Garante. La procedura è gratuita, telematica e non richiede necessariamente l'assistenza di un legale per la fase iniziale, anche se è opportuno valutare la situazione specifica. Il reclamo va presentato tramite il portale ufficiale del Garante, allegando la richiesta originale, la prova di invio, l'eventuale risposta dell'azienda e una stampa dello schermo che documenti la presenza dei dati ancora online al momento del reclamo.
Un errore frequente è aspettare che l'azienda si adegui spontaneamente, senza mai formalizzare la richiesta per iscritto. Il provvedimento del Garante nasce sempre da una richiesta documentata rimasta senza risposta: senza quel passaggio formale, l'Autorità non ha elementi su cui intervenire.
Entro quanto tempo l'azienda deve agire? Il GDPR non fissa un termine in giorni per la materiale rimozione, ma impone che avvenga "senza ingiustificato ritardo". Dal caso Groupharma emerge che già un mese di permanenza dei dati, dopo la cessazione del rapporto e a fronte di una richiesta esplicita, è stato considerato una violazione del principio di esattezza. In pratica, il datore di lavoro dovrebbe rimuovere i dati identificativi del dipendente dal sito pubblico nel giro di pochi giorni dalla ricezione della richiesta, e comunque non oltre il termine di un mese previsto dall'art. 12 GDPR per qualsiasi risposta alle istanze degli interessati.
Cosa può chiedere l'ex dipendente, oltre alla cancellazione? Anche l'accesso ai propri dati — per esempio una copia del contratto di collaborazione, o la conferma di quali dati siano ancora trattati — è un diritto autonomo tutelato dall'art. 15 GDPR, e anch'esso deve essere soddisfatto entro un mese. Il diritto di accesso e il diritto alla cancellazione devono essere rispettati in modo tempestivo e completo, senza eccezioni basate su ragioni organizzative o su precedenti disponibilità dei documenti. Il fatto che la lavoratrice avesse già in possesso una copia del contratto non esonerava l'azienda dall'obbligo di fornire il documento su richiesta formale: il diritto di accesso non si esaurisce con la mera disponibilità materiale del dato da parte dell'interessato.
Una volta pubblicati, i dati rischiano di rimanere in rete per un tempo indefinito e possono essere utilizzati, anche incrociandoli con altre informazioni presenti sul web, da chiunque. Questo non è un dettaglio astratto: un numero di telefono personale abbinato al nome e all'ex ruolo lavorativo, recuperabile con una semplice ricerca su Google, è un dato che può alimentare frodi, phishing mirato o semplicemente una profilazione indesiderata. Il rischio reale va ben oltre l'imbarazzo.
L'orientamento che si sta consolidando nella giurisprudenza del Garante — dal provvedimento n. 82 del 12 febbraio 2026 al n. 121 del 26 febbraio, fino al caso Piaggio del 18 giugno 2026 — segnala che l'Autorità considera il momento della cessazione del rapporto come una soglia normativa precisa: oltre quella soglia, ogni trattamento di dati riferibili all'ex dipendente deve avere una base giuridica autonoma, non può appoggiarsi alla finalità del contratto ormai estinto. La ristrutturazione del sito, il cambio di fornitore informatico, le beghe organizzative interne non costituiscono "giustificato ritardo". Sono, semmai, il segnale che l'azienda non ha ancora adottato una procedura strutturata di offboarding dei dati.
Per i professionisti delle risorse umane e per i responsabili della protezione dei dati aziendali, il messaggio operativo è chiaro: la checklist di uscita di ogni dipendente o collaboratore deve includere, con data certa, la rimozione di ogni dato personale dai canali digitali pubblici dell'azienda — sito web, pagine social, directory interne accessibili dall'esterno — e la conferma documentata dell'avvenuta cancellazione. Non è burocrazia: è il minimo che la normativa vigente richiede.
Redazione - Staff Studio Legale MP
