Requisiti GDPR per un’app che gestisce dati dei dipendenti: guida completa 2026

Il problema di fondo: un’app HR non è un’app qualunque

Stai valutando un’app per gestire presenze, ferie e malattia dei tuoi dipendenti. Oppure la stai sviluppando tu e devi capire quali obblighi ti ricadono addosso. In entrambi i casi, la prima domanda da farsi non è “che funzioni ha”, ma una molto più scomoda: come tratta i dati delle persone che lavorano per te?

Un’app HR raccoglie di tutto, dal nome e cognome fino ai certificati medici, dagli orari di ingresso ai giorni di ferie residui. Sono dati personali e alcuni di questi, come i dati relativi alla salute, rientrano tra le categorie particolari disciplinate dall’articolo 9 del GDPR.

Il GDPR non è un suggerimento gentile da seguire quando si ha tempo. È una normativa europea che può arrivare a sanzionare con multe fino a 20 milioni di euro o al 4% del fatturato globale annuo, secondo l’articolo 83. Nel contesto del rapporto di lavoro, inoltre, il Garante Privacy italiano ha previsto regole particolarmente stringenti.

In questa guida analizziamo quali dati può trattare un’app HR, quali sono le basi giuridiche corrette, come deve essere redatta l’informativa, per quanto tempo conservare i log, chi risponde tra datore di lavoro e fornitore software e come riconoscere un’app realmente conforme.

Quali dati dei dipendenti finiscono in un’app HR

Un’app per la gestione del personale tratta quasi sempre le stesse macro-categorie di informazioni, anche se ogni prodotto le organizza in modo diverso.

Ci sono innanzitutto i dati identificativi comuni: nome, cognome, codice fiscale, email aziendale, numero di telefono, eventuale foto profilo e matricola aziendale. A questi si aggiungono i dati legati al rapporto di lavoro: data di assunzione, ruolo, dipartimento, contratto applicato, CCNL, orario previsto e sede di lavoro.

Una parte consistente riguarda le presenze: orari di ingresso e uscita, timbrature tramite NFC, QR code o GPS, eventuale geolocalizzazione al momento della timbratura e ore lavorate calcolate su base giornaliera, settimanale o mensile.

A questi dati si affiancano le informazioni su ferie, permessi e assenze: giorni goduti e residui, permessi previsti dalla Legge 104, congedi parentali, permessi retribuiti per studio, elezioni o donazione del sangue e periodi di aspettativa.

Infine, possono essere trattati dati relativi alla salute, come certificati di malattia INPS, giorni di assenza per malattia, certificati di infortunio INAIL e giudizi di idoneità alla mansione rilasciati dal medico competente.

Dati che un’app HR non dovrebbe trattare

I dati biometrici utilizzati per l’identificazione univoca, come impronte digitali e scansione dell’iride, rientrano tra le categorie particolari dell’articolo 9 del GDPR. Il Garante Privacy ha sanzionato più volte l’uso di sistemi biometrici per il controllo degli accessi quando esistevano alternative meno invasive, come un badge NFC.

Diverso è il caso della biometria utilizzata per il login, come Face ID o Touch ID, quando il template biometrico resta sul dispositivo e non viene trasmesso al server.

In un’app per la gestione delle presenze non c’è normalmente necessità di trattare dati politici, religiosi o sindacali. Anche la geolocalizzazione continua dei dipendenti è una pratica particolarmente invasiva. L’eventuale geolocalizzazione dovrebbe essere limitata al momento esatto della timbratura e utilizzata solo se realmente giustificata da esigenze organizzative concrete.

Le basi giuridiche del trattamento e perché il consenso quasi mai basta

Il GDPR impone che ogni trattamento di dati personali poggi su una base giuridica precisa, come previsto dall’articolo 6. Senza una base giuridica valida, il trattamento è illegittimo, indipendentemente dalle buone intenzioni dell’azienda.

Nel rapporto di lavoro molte aziende pensano di risolvere il problema chiedendo il consenso al dipendente. È un errore frequente. Il consenso, per essere valido, deve essere libero, specifico, informato e inequivocabile. Nel rapporto di lavoro, però, il dipendente si trova in una posizione di subordinazione gerarchica e potrebbe non essere realmente libero di rifiutare.

Il consenso può quindi essere inadeguato per trattamenti necessari alla gestione del rapporto di lavoro. Può invece avere senso per funzioni realmente opzionali, come un login biometrico o le notifiche push, purché il rifiuto non comporti conseguenze lavorative.

Le basi giuridiche più comuni possono essere così sintetizzate:

• Presenze e timbrature: adempimento di obblighi legali.
• Ferie e permessi: adempimento contrattuale.
• Certificati di malattia: adempimento di obblighi legali e tutela degli obblighi in materia di lavoro.
• Gestione degli stipendi: adempimento di obblighi legali.
• Comunicazioni interne: in alcuni casi, legittimo interesse.
• Login biometrico opzionale: consenso, se il dipendente può rifiutarlo senza conseguenze.

La regola pratica è semplice: se il trattamento è necessario per adempiere a un obbligo del datore di lavoro, come la gestione delle timbrature, delle ferie o della malattia, la base giuridica non dovrebbe essere il consenso. Se invece si tratta di una funzione opzionale, il consenso può essere utilizzato soltanto quando il rifiuto non produce conseguenze reali.

È inoltre fondamentale rispettare il principio di minimizzazione previsto dall’articolo 5 del GDPR. Devono essere trattati solo dati adeguati, pertinenti e limitati a quanto necessario per la finalità perseguita.

Non ha senso chiedere la foto del dipendente se l’app non la utilizza, registrare il GPS se la timbratura avviene con un badge NFC o conservare certificati medici integrali quando è sufficiente gestire i giorni di assenza.

L’informativa privacy ai dipendenti: trasparenza non negoziabile

Il GDPR impone al titolare del trattamento di fornire all’interessato un’informativa chiara, semplice e comprensibile, secondo gli articoli 13 e 14. Per i dipendenti, il Garante Privacy italiano ha emanato indicazioni specifiche.

Un’informativa completa dovrebbe indicare:

• chi è il titolare del trattamento e come contattarlo;
• perché vengono trattati i dati;
• quali sono le basi giuridiche applicate;
• quali categorie di dati vengono trattate;
• chi sono i destinatari dei dati;
• per quanto tempo vengono conservati i dati;
• quali diritti può esercitare il dipendente;
• come presentare un reclamo al Garante Privacy;
• se i dati vengono trasferiti al di fuori dell’Unione Europea.

L’informativa deve essere consegnata nel momento in cui i dati vengono raccolti. Per un’app HR, questo significa che al primo accesso l’utente dovrebbe poter consultare l’informativa, o almeno trovare un link ben visibile, prima di iniziare a utilizzare il servizio.

Se l’app introduce una nuova funzione che tratta dati per una finalità diversa, è necessario aggiornare l’informativa. Non è sufficiente mantenere online un documento ormai superato.

L’informativa non dovrebbe essere un muro di testo legale scritto per proteggere esclusivamente l’azienda. Deve essere comprensibile e utilizzare un linguaggio semplice. Un documento formalmente completo ma scritto in burocratese può non essere trasparente nella sostanza.

Il datore di lavoro deve inoltre mantenere aggiornato il registro delle attività di trattamento previsto dall’articolo 30 del GDPR. Anche le aziende con meno di 250 dipendenti possono essere tenute a predisporlo quando il trattamento non è occasionale o comporta rischi per i diritti dei dipendenti.

Quanto tempo si possono conservare i log di timbratura

Una delle domande più frequenti è per quanto tempo debbano essere conservati i log di timbratura prima della cancellazione.

Per i dati relativi agli ingressi e alle uscite, il termine indicato nel provvedimento del Garante Privacy n. 350 del 15 novembre 2016 è di cinque anni dalla data di registrazione.

Il quadro normativo deve però essere analizzato distinguendo le diverse categorie di dati. Le timbrature hanno un periodo di conservazione specifico, mentre libri obbligatori, documenti contabili e documenti retributivi possono essere soggetti a termini differenti.

Un’app HR correttamente progettata dovrebbe quindi prevedere una policy di conservazione differenziata, invece di applicare un’unica scadenza a tutti i dati.

• Scadenza automatica per i log di timbratura.
• Cancellazione dei dati non più necessari.
• Separazione tra timbrature e documenti retributivi.
• Conservazione dei dati sanitari per il solo periodo necessario.
• Gestione delle richieste di cancellazione, salvo gli obblighi di legge.

Per i certificati di malattia, che contengono dati sanitari, la conservazione deve essere limitata al periodo strettamente necessario per adempiere agli obblighi contrattuali e legali, salvo controversie o altre ragioni documentate che giustifichino un periodo più lungo.

Titolare o responsabile del trattamento? Chi risponde di cosa

Questa è una delle distinzioni più fraintese del GDPR applicato alla gestione HR.

Quando un’azienda utilizza un software HR fornito da terzi, ci sono normalmente due soggetti che gestiscono gli stessi dati: l’azienda, che decide quali dati trattare, per quale scopo e per quanto tempo, e il fornitore software, che mette a disposizione l’infrastruttura tecnica ed esegue il trattamento su istruzione del cliente.

Il titolare del trattamento è il soggetto che determina finalità e mezzi del trattamento. Nel caso di un’app HR, normalmente è l’azienda datrice di lavoro.

Il responsabile del trattamento tratta invece i dati per conto del titolare. Il fornitore software rientra tipicamente in questa categoria quando gestisce server, applicazione e database su istruzione del cliente, senza decidere autonomamente le finalità del trattamento.

Il rapporto deve essere regolato da un contratto, il cosiddetto DPA o Data Processing Agreement, previsto dall’articolo 28 del GDPR.

Il DPA dovrebbe specificare:

• oggetto e durata del trattamento;
• categorie di dati trattati;
• finalità del trattamento;
• obblighi e diritti del titolare;
• eventuali sub-responsabili;
• misure di sicurezza tecniche e organizzative;
• gestione delle richieste degli interessati;
• modalità di notifica dei data breach;
• restituzione o cancellazione dei dati a fine contratto;
• garanzie per eventuali trasferimenti extra-UE.

Un fornitore può essere titolare, invece che responsabile, per alcuni trattamenti specifici quando decide autonomamente finalità proprie, ad esempio attività di marketing, analytics, ricerca o sviluppo del prodotto.

Sicurezza tecnica e organizzativa: cosa ci si aspetta davvero

Il GDPR richiede misure di sicurezza adeguate al rischio, secondo l’articolo 32. Trattare nomi e cognomi richiede misure diverse rispetto al trattamento di certificati medici o altri dati sanitari.

Sul fronte tecnico, un’app HR dovrebbe prevedere:

• crittografia dei dati in transito tramite TLS;
• crittografia dei dati a riposo, inclusi database e backup;
• conservazione sicura dei token di autenticazione;
• Keychain su iOS e Keystore su Android;
• autenticazione a più fattori per gli account amministrativi;
• controllo degli accessi basato sui ruoli;
• log degli accessi;
• validazione degli input lato server;
• rate limiting sulle API di login;
• query parametrizzate e protezioni contro SQL injection;
• protezione da XSS e CSRF;
• header di sicurezza come CSP e HSTS.

Il controllo degli accessi dovrebbe seguire il principio del minimo privilegio: il dipendente vede i propri dati, il manager quelli del proprio team e l’HR le informazioni necessarie per il proprio ruolo.

La sicurezza non è però solo tecnologia. Servono anche policy documentate, formazione per il personale autorizzato, procedure per la gestione dei data breach, audit periodici e, quando previsto, la nomina di un DPO.

I dati dei dipendenti non dovrebbero essere utilizzati per finalità secondarie, come analytics di prodotto, marketing, profiling o addestramento di modelli AI, senza una base giuridica specifica e un’informativa dedicata.

I diritti dei dipendenti sui propri dati

Il GDPR riconosce agli interessati diversi diritti, disciplinati dagli articoli dal 15 al 22.

• Diritto di accesso: sapere quali dati vengono trattati.
• Diritto di rettifica: correggere dati inesatti o incompleti.
• Diritto alla cancellazione: ottenere la cancellazione quando non esistono obblighi di conservazione.
• Diritto di opposizione: opporsi ai trattamenti basati sul legittimo interesse, quando applicabile.
• Diritto alla portabilità: ricevere i dati in un formato strutturato e leggibile da una macchina.

Il diritto alla cancellazione non si applica quando la conservazione è un obbligo di legge. Per questo le richieste devono essere valutate caso per caso.

Il titolare deve rispondere alle richieste entro un mese, prorogabile di altri due mesi per le richieste particolarmente complesse. Un’app HR dovrebbe quindi offrire un canale chiaro per inoltrare le richieste, verificarne l’identità, tracciarle e gestirle entro i termini previsti.

Quando serve una DPIA

La DPIA, ovvero la valutazione d’impatto sulla protezione dei dati, è richiesta quando un trattamento presenta rischi elevati per i diritti e le libertà degli interessati, secondo l’articolo 35 del GDPR.

Per un’app HR, i casi che possono richiedere una DPIA includono:

• trattamento su larga scala di dati sanitari;
• monitoraggio sistematico dei dipendenti;
• geolocalizzazione continuativa;
• profiling o scoring dei lavoratori;
• decisioni automatizzate con effetti significativi.

Una DPIA ben fatta descrive il trattamento, individua le tipologie di dati e i destinatari, valuta i rischi, definisce le misure di mitigazione e analizza il rischio residuo.

Per un’app HR standard dedicata a presenze, ferie e malattia, senza geolocalizzazione continua e senza profiling, la DPIA potrebbe non essere sempre obbligatoria. Rimane comunque una buona pratica per dimostrare che i rischi sono stati valutati in modo documentato.

Come riconoscere un’app HR davvero conforme

Prima di firmare un contratto con un fornitore software HR, è utile verificare alcuni aspetti concreti.

Trasparenza e documentazione

• Informativa privacy chiara e comprensibile.
• DPA pronto per la firma.
• Indicazione del ruolo del fornitore: titolare o responsabile.
• Elenco dei sub-responsabili.
• Indicazione della posizione dei server.

Basi giuridiche

• Nessuna richiesta di consenso per trattamenti obbligatori.
• Consenso limitato alle funzioni realmente opzionali.
• Finalità secondarie separate e chiaramente dichiarate.

Sicurezza tecnica

• Comunicazioni protette tramite HTTPS e TLS.
• Token conservati in storage sicuro.
• Autenticazione a più fattori per gli amministratori.
• Controllo degli accessi basato sui ruoli.
• Log degli accessi.
• Rate limiting sulle API di autenticazione.

Conservazione e diritti

• Policy di conservazione differenziata per categoria di dato.
• Cancellazione automatica dei dati non più necessari.
• Canale dedicato per le richieste degli interessati.
• Esportazione dei dati in formato leggibile.

Gestione degli incidenti

Verifica che il fornitore disponga di una procedura documentata per la gestione dei data breach e che il DPA stabilisca l’obbligo di informare il titolare senza ingiustificato ritardo.

Se un’app HR non riesce a rispondere chiaramente anche a uno solo di questi punti, è opportuno chiedere spiegazioni al fornitore prima di procedere.

Le domande più frequenti

Per concludere

Un’app HR non è un’app qualunque. Tratta dati di persone che si trovano in una posizione di subordinazione e, in alcuni casi, dati sanitari veri e propri. Il GDPR non dovrebbe essere visto come un ostacolo alla digitalizzazione, ma come il quadro che consente di innovare rispettando i diritti dei lavoratori.

I punti più importanti da ricordare sono:

• il consenso non è normalmente la base corretta per i trattamenti obbligatori nel rapporto di lavoro;
• devono essere raccolti solo i dati realmente necessari;
• l’informativa deve essere chiara, completa e fornita al momento giusto;
• la conservazione deve essere differenziata per categoria di dato;
• il DPA con il fornitore è un requisito essenziale;
• la sicurezza deve essere proporzionata al rischio;
• i diritti dei dipendenti devono essere garantiti concretamente.

Per un fornitore software, la conformità GDPR è anche un vantaggio competitivo. Per un datore di lavoro, scegliere un’app HR conforme significa proteggere l’azienda e la fiducia delle persone che ci lavorano.