Quando si parla di GDPR tutti pensano ai clienti. Ma il trattamento più delicato che un'azienda fa ogni giorno riguarda persone che non possono andarsene con un click: i dipendenti. Cedolini, presenze, malattie, valutazioni — dati personali, spesso di categorie particolari, trattati per anni. È lì che gli errori si concentrano.
Errore 1: chiedere il consenso per tutto
Il più diffuso e il più controintuitivo: nel rapporto di lavoro il consenso del dipendente non è quasi mai la base giuridica giusta, perché lo squilibrio tra le parti lo rende poco «libero». Le basi corrette sono tipicamente il contratto, gli obblighi di legge (paghe, fisco, sicurezza) e il legittimo interesse ben documentato. Il consenso resta per casi davvero facoltativi — la foto sul sito, per dire. Chiedere consensi inutili non protegge: crea l'illusione che il dipendente possa revocare ciò che in realtà l'azienda deve trattare per legge.
Errore 2: dati sensibili nei posti sbagliati
Il certificato medico inoltrato sulla casella condivisa dell'amministrazione, il foglio «malattie 2026» in una cartella aperta a tutti, i cedolini spediti via email in chiaro. I dati su salute, sindacato, provvedimenti disciplinari richiedono canali ad accesso ristretto e tracciato — non la posta di reparto.
Errore 3: conservare tutto per sempre
Il GDPR chiede tempi di conservazione definiti e giustificati. I dati del rapporto di lavoro hanno orizzonti lunghi (gli obblighi contabili e previdenziali li impongono), ma non infiniti e non uniformi: i curricula dei candidati non assunti, le registrazioni di accesso, le valutazioni interne hanno cicli di vita molto più corti. «Lo teniamo, non si sa mai» è esattamente la frase che un'ispezione non vuole sentire.
Errore 4: il controllo che diventa sorveglianza
Strumenti di lavoro e sistemi di presenza producono dati che possono trasformarsi in controllo a distanza. In Italia il tema incrocia lo Statuto dei lavoratori (art. 4): impianti e strumenti da cui derivi la possibilità di controllo richiedono accordo sindacale o autorizzazione, con eccezioni per gli strumenti di lavoro in senso stretto. La regola pratica: raccogli il minimo necessario allo scopo dichiarato, e dichiara lo scopo prima.
Da dove partire per sistemare
Un registro dei trattamenti onesto sulla parte HR, informative ai dipendenti aggiornate, accessi ristretti per i dati delicati, tempi di conservazione scritti e applicati. E strumenti che aiutino: una piattaforma HR seria nasce con accessi profilati e tracciature — la conformità costa molto meno quando è il software a imporla.
Humana HR gestisce presenze, cedolini e documenti del personale con accessi profilati, pensata per le regole italiane: la compliance diventa un sottoprodotto del lavoro quotidiano.