Dati veri dei dipendenti dentro il software in prova: quanto vale la perdita di controllo

Il caso

Un datore di lavoro tedesco, parte di un gruppo con capogruppo negli Stati Uniti, prepara il passaggio a un sistema unico di gestione del personale in cloud. Fra il 24 aprile e il 18 maggio 2017 carica i dati dei dipendenti dal proprio gestionale su un'area della capogruppo, per alimentare il nuovo sistema in prova. Il 3 luglio 2017 firma con il consiglio aziendale un accordo di tolleranza che elenca esattamente i campi trasferibili a scopo di test: matricola, cognome, nome, data di assunzione, data di ingresso nel gruppo, luogo di lavoro, società, telefono e posta elettronica aziendali. Nove voci. Sono invece stati trasferiti anche stipendio, indirizzo privato, data di nascita, stato civile, numero di previdenza sociale e codice fiscale.

Il test con dati reali non è vietato

"Il trattamento di dati personali per testare un nuovo software di gestione del personale può essere giustificato dall'interesse legittimo del datore di lavoro ai sensi dell'art. 6, par. 1, primo comma, lett. f), a condizione che dati fittizi spersonalizzati non siano sufficienti a raggiungere lo scopo del test."

È il punto che quasi tutti i resoconti hanno saltato. La Corte non ha detto che i dati veri in ambiente di prova sono vietati: ha detto che l'eccedenza non serviva. E lo ha ricavato dall'accordo stesso: se le parti hanno stabilito che nove campi bastano a testare, hanno scritto nero su bianco che il decimo non era necessario. La necessità, in questo modo, il datore di lavoro se l'era già negata da solo.

Duecento euro, e come sono stati calcolati

L'art. 82 chiede tre condizioni cumulative: una violazione, un danno anche immateriale e il nesso causale fra i due. Qui il danno è la perdita di controllo sui dati, che rileva anche se breve, purché l'interessato la provi. Nella misura hanno pesato la sensibilità dei dati — sotto la soglia dell'art. 9 — la cerchia dei destinatari, più ampia ma circoscritta al gruppo, e la durata della perdita di controllo. Non ha pesato la gravità della colpa: la funzione dell'art. 82 è compensativa, e la Corte ha escluso che l'eventuale dolo possa aumentare l'importo.

Il ritardo sull'accesso, invece, non paga

Nella sentenza del 20 febbraio 2025 (8 AZR 61/24) lo stesso collegio aveva respinto la domanda di chi lamentava una risposta tardiva all'art. 15: il ritardo non produce di per sé una perdita di controllo, ma solo un differimento dell'informazione. Il disagio o lo stato d'animo negativo non bastano; serve un timore di uso improprio concreto e verificabile dal giudice. È una distinzione che conviene spiegare ai clienti prima che arrivi la prima richiesta: il diritto di accesso resta pienamente esigibile e le autorità lo sanzionano — la decisione norvegese di gennaio lo mostra bene — ma il risarcimento individuale segue un binario diverso e più stretto.

L'accordo aziendale non abbassa il livello del GDPR

Un passaggio che riguarda anche l'Italia, dove il contratto collettivo e l'accordo sindacale entrano spesso nel trattamento dei dati dei dipendenti. La Corte ha lasciato disapplicato il § 26, comma 1, della legge federale tedesca sulla protezione dei dati perché non soddisfa l'art. 88: una norma nazionale sul lavoro vale come disposizione più specifica solo se aggiunge misure appropriate e specifiche a tutela della dignità e dei diritti fondamentali, non se ripete il regolamento. In mancanza, il trattamento nel rapporto di lavoro è disciplinato direttamente dal GDPR.