Compliance e privacy
AI e privacy sul lavoro: cosa chiede il Garante a chi digitalizza presenze, accessi e dati dei dipendenti
Il tema di AI e privacy sul lavoro è entrato in una fase decisiva. Con la Relazione annuale presentata alla Camera il 2 luglio 2026, il Garante per la protezione dei dati personali ha messo l'intelligenza artificiale al centro della propria agenda, indicando il contesto lavorativo come uno degli ambiti in cui il rapporto tra GDPR, Statuto dei lavoratori e AI Act produrrà gli effetti più rilevanti nei prossimi anni. Sistemi biometrici, monitoraggio dei dipendenti, digitalizzazione dei processi HR e data breach sono tra i fronti su cui l'Autorità ha concentrato provvedimenti e avvertimenti. Per HR manager, facility manager e responsabili sicurezza il messaggio è chiaro: digitalizzare presenze, accessi e dati del personale non è un problema; farlo senza una governance può diventarlo.
In breve
La Relazione annuale del Garante Privacy, presentata il 2 luglio 2026, indica l'intelligenza artificiale come tema centrale per la tutela dei dati nel mondo del lavoro: le imprese che adottano AI e strumenti digitali nei processi HR devono garantire governance dei dati, trasparenza, valutazioni preventive dei rischi e conformità a GDPR, Statuto dei lavoratori e AI Act. Restano confini precisi: i sistemi di IA non possono dedurre o analizzare le emozioni dei lavoratori, le impronte digitali non sono ammesse per la rilevazione presenze e il controllo accessi biometrico è lecito solo per aree realmente critiche, con valutazione d'impatto e rigide condizioni tecniche. Digitalizzare presenze, accessi e gestione visitatori resta pienamente possibile con piattaforme progettate in ottica di privacy by design, come i moduli GoPlanner TIME, ACCESS e VISITATORI.
La Relazione annuale 2026: l'AI al centro, il lavoro tra i fronti caldi
Il rapporto del Garante, riferito all'attività svolta nel 2025, dedica ampio spazio alle ricadute dell'intelligenza artificiale sulla tutela dei dati personali e dei diritti fondamentali. Accanto ai temi di sistema, come deepfake, addestramento dei modelli generativi, identità digitale europea e cybersicurezza, compaiono ambiti che toccano direttamente la gestione del personale: i sistemi biometrici, i rapporti di lavoro, i data breach e la digitalizzazione dei processi organizzativi. Non è un elenco casuale: nel corso del 2025 l'Autorità ha adottato provvedimenti rilevanti proprio in materia di lavoro, incluso un intervento d'urgenza nei confronti di un grande operatore della logistica.
La linea che emerge è duplice. Da un lato il Garante non frena la digitalizzazione, che riconosce come trasformazione strutturale di imprese e pubbliche amministrazioni. Dall'altro chiede un cambio di paradigma: non basta valutare le prestazioni tecnologiche degli strumenti, occorre valutarne l'impatto sui diritti delle persone, soprattutto quando i dati trattati riguardano lavoratori, cioè soggetti in una posizione di asimmetria contrattuale rispetto al titolare del trattamento.
Il perimetro per i datori di lavoro: GDPR, Statuto e AI Act insieme
Per chi gestisce personale, la novità del 2026 è che le tre discipline vanno lette come un sistema unico. Il GDPR impone basi giuridiche, minimizzazione, informative e sicurezza dei trattamenti. Lo Statuto dei lavoratori regola gli strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività, con le garanzie dell'articolo 4. L'AI Act aggiunge un livello ulteriore: classifica come ad alto rischio molti sistemi di IA usati in ambito occupazionale e ne vieta alcuni in modo assoluto.
Le indicazioni operative che discendono dalla Relazione sono concrete: valutazioni preventive dei rischi prima di introdurre nuovi strumenti, responsabilità interne definite, formazione documentata del personale autorizzato, monitoraggio dell'uso degli strumenti anche attraverso audit e verifiche periodiche. Chi acquista tecnologia HR, in altre parole, non compra solo funzionalità: compra anche il modo in cui quella tecnologia tratta i dati, e ne risponde come titolare del trattamento.
Emozioni e biometria: i confini da rispettare
Alcuni limiti non sono negoziabili. L'AI Act vieta i sistemi di IA destinati a dedurre o analizzare le emozioni delle persone nei contesti lavorativi, come il Garante ha ribadito intervenendo su strumenti di analisi del linguaggio e dello stress dei dipendenti: il datore di lavoro non può acquisire informazioni sulla sfera emotiva dei lavoratori, nemmeno in forma aggregata o indiretta. Altrettanto consolidato è il no ai dati biometrici per la rilevazione presenze: in assenza di una norma che li autorizzi, il trattamento è sproporzionato perché badge, QR code e timbratura georeferenziata raggiungono la stessa finalità senza trattare impronte o dati del volto. Né il consenso dei dipendenti, invalidato dall'asimmetria del rapporto di lavoro, né la maggiore praticità del sistema sono giustificazioni valide.
La biometria non è però vietata in assoluto: il Garante ne ha riconosciuto la liceità per il controllo di accesso fisico ad aree come server room, caveau, laboratori con campioni biologici e archivi con informazioni classificate. Il criterio decisivo è la criticità dell'area: non basta che sia riservata o non accessibile a tutti, deve custodire beni, informazioni o attività di valore tale da giustificare il ricorso alla biometria al posto di sistemi meno invasivi come badge, PIN o chiave. Anche nei casi ammessi le condizioni restano stringenti: DPIA che dimostri necessità e proporzionalità, trattamento limitato ai soli lavoratori autorizzati, verifica 1:1 con template su supporto personale anziché in database centralizzati e rigorosa separazione delle finalità, perché se il varco biometrico diventa di fatto il timbratore si ricade nel divieto. La regola pratica è a tre livelli: presenze senza biometria, sempre; accessi biometrici solo per aree ad alta criticità con architettura conforme; per tutto il resto, badge, QR code e mobile access con tracciabilità completa.
Compliance by design: cosa chiedere a una piattaforma di presenze e accessi
Tradotto in pratica, un progetto conforme di digitalizzazione di presenze, accessi e visitatori si riconosce da alcuni elementi verificabili. Primo, la minimizzazione: il sistema raccoglie solo i dati necessari alla finalità, con campi e log configurabili. Secondo, la trasparenza: informative chiare per dipendenti e visitatori, integrate nei flussi di registrazione, come avviene nelle reception digitali. Terzo, la governance del dato: tempi di conservazione definiti, profili di accesso differenziati, tracciabilità di chi consulta cosa. Quarto, il supporto documentale alle valutazioni di impatto, quando richieste, e alle verifiche del consulente del lavoro o del DPO.
Questo approccio trasforma la compliance da vincolo a criterio di selezione tecnologica. Una piattaforma progettata in ottica di privacy by design consente di rispondere a un'ispezione o a una richiesta di accesso ai dati con evidenze ordinate, invece che con ricostruzioni manuali. E permette di adottare con serenità anche le evoluzioni future, dalla gestione digitale dei visitatori al controllo accessi con QR code e mobile access, sapendo che il perimetro normativo, per quanto in movimento, è presidiato a livello di architettura e non di rimedio successivo.
Le informazioni contenute in questo articolo hanno finalità divulgativa e non costituiscono consulenza legale. Fonti: Garante per la protezione dei dati personali (Relazione annuale presentata il 2 luglio 2026 e comunicati dell'Autorità), agendadigitale.eu e analisi di settore disponibili al 20 luglio 2026. Per l'applicazione al caso concreto si raccomanda di consultare i testi ufficiali dei provvedimenti e i propri consulenti.