TL;DR per il DPO
Il Garante (provv. n. 311 del 29 aprile 2026) ha dichiarato illecito l'utilizzo dei dati del programma carta fedelta' per fondare il licenziamento di una dipendente. I dati erano stati raccolti per una finalita' (gestire la fidelizzazione dei clienti) e sono stati riusati per una finalita' del tutto diversa e incompatibile (disciplinare/licenziamento), in violazione del principio di limitazione delle finalita' (art. 5, par. 1, lett. b GDPR).
I tre punti che contano
- Limitazione delle finalita' (art. 5.1.b): i dati raccolti per il programma fedelta' non possono essere 'riciclati' per controllare o sanzionare i dipendenti. La finalita' originaria vincola l'uso successivo.
- Il controllo dei lavoratori ha regole proprie: attingere a un database clienti per costruire un caso disciplinare scavalca le garanzie previste (necessita', proporzionalita', art. 4 dello Statuto dei Lavoratori). Non e' una scorciatoia ammessa.
- Una prova raccolta violando la privacy e' debole e si ritorce contro: oltre alla sanzione, il licenziamento fondato su quei dati diventa contestabile.
Cosa fare adesso, in pratica
Per ogni cliente che gestisce programmi fedelta', CRM o newsletter: 1) definisci con chiarezza le finalita' nell'informativa e nel registro dei trattamenti; 2) separa gli accessi - chi gestisce marketing e dati clienti non deve poterli usare per finalita' HR o disciplinari; 3) forma chi ha accesso ai database sul divieto di riuso per scopi diversi. Le informative del generatore (clienti, newsletter, personale) tengono gia' distinte queste finalita'.
Perche' conta per i tuoi clienti
E' un errore comune e trasversale: l'azienda 'ha gia' i dati' e li usa per cio' che le serve in quel momento. Il provvedimento ricorda che la finalita' dichiarata al momento della raccolta e' un confine, non un suggerimento. Per un DPO e' l'occasione per verificare con i clienti la separazione delle finalita' e la governance degli accessi ai database, prima che a sollevare la questione sia un'autorita' o un giudice del lavoro.
Fonte ufficiale:Garante per la protezione dei dati personali - provvedimento n. 311 del 29 aprile 2026Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
