Con il provvedimento n. 490 dell’11 settembre 2025 (doc. web n. 10174501), il Garante per la protezione dei dati personali ha accolto il reclamo di un dipendente che lamentava la diffusione indebita di dati personali propri e di altri colleghi da parte della società datrice di lavoro.

Il caso rappresenta un esempio tipico di data breach interno causato da errore umano nella gestione di cartelle condivise su server aziendali. La vicenda offre spunti pratici sull’applicazione dei principi di accountability, minimizzazione e privacy by design e by default, sanciti dagli articoli 5, 24 e 25 del GDPR.

L’errore: accesso non autorizzato a dati sensibili dei colleghi

Il dipendente, accedendo all’intranet aziendale da un computer condiviso, ha potuto visualizzare documenti contenenti dati economici e bancari di altri lavoratori, tra cui distinte di bonifici relative a trattenute stipendiali per prestiti, pignoramenti e cessioni del quinto.

Le verifiche interne hanno accertato che la causa era un errore umano dei reparti Risorse Umane e Finance, che avevano caricato i file in una cartella (“SEPA”) accessibile anche a personale non autorizzato.
L’azienda ha rimosso i documenti entro 24 ore e ha successivamente modificato i modelli di distinta, eliminando ogni riferimento identificativo ai dipendenti.

Le valutazioni del Garante

Nonostante la rapidità delle misure correttive e l’avvio di una privacy gap analysis con nuove attività di formazione interna, il Garante ha ritenuto che la società non avesse rispettato pienamente gli obblighi di sicurezza e protezione dei dati, configurando un trattamento illecito per violazione del principio di integrità e riservatezza (art. 5, par. 1, lett. f) GDPR).

L’Autorità ha fondato la propria decisione su tre aspetti fondamentali del Regolamento:

• Articolo 5 – Integrità e riservatezza: i dati devono essere protetti da accessi non autorizzati. La disponibilità involontaria dei dati di circa 20 dipendenti in un’area condivisa ha costituito una violazione diretta di questo principio.

• Articolo 24 – Responsabilità del titolare: il titolare deve poter dimostrare la conformità al GDPR attraverso misure tecniche e organizzative adeguate. In questo caso, la mancanza di controlli e policy efficaci ha evidenziato una carenza di governance.

• Articolo 25 – Privacy by design e by default: la modifica dei modelli solo dopo l’incidente dimostra che il principio di minimizzazione dei dati non era stato applicato in fase preventiva.

Le conseguenze

Alla luce di queste risultanze, il Garante ha dichiarato il trattamento illecito, ha ammonito la società e ha disposto la pubblicazione del provvedimento sul proprio sito, con annotazione nel registro interno delle violazioni.

La lezione per le aziende

Questo caso dimostra che anche un errore apparentemente banale, come l’errata condivisione di una cartella, può avere gravi conseguenze in termini di violazione della privacy e di non conformità al GDPR.
Il provvedimento ribadisce l’importanza di:

• implementare misure organizzative e tecniche preventive,

• promuovere una formazione continua del personale,

• applicare i principi di protezione dei dati fin dalla progettazione.

Solo una cultura aziendale della privacy può ridurre davvero il rischio di incidenti e garantire la conformità alle norme europee sulla protezione dei dati.