Autorizzazione INL in tasca, log cifrati, accordo sindacale firmato: tutto a posto? Spoiler: no.

La recente pronuncia del Garante Privacy (provv. n. 243 del 29 aprile 2025) su Regione Lombardia riporta in primo piano un nodo che molti continuano a ignorare o a sottovalutare: avere l'ok dell'Ispettorato del Lavoro non significa essere a norma con il GDPR.

E questo è un problema. Grosso.

Il Garante non si mette "contro" l'Ispettorato, ma gioca su un altro campo.

Due autorità, due binari… che si incrociano male

Chi opera nel mondo IT e cybersecurity in contesto pubblico (ma anche privato) lo sa:

  • L'INL (Ispettorato Nazionale del Lavoro) è l'autorità competente in materia di controlli a distanza dei lavoratori ai sensi dell'art. 4 dello Statuto dei Lavoratori.
  • Il Garante Privacy, invece, vigila sul trattamento dei dati personali, e lo fa sulla base del GDPR e del Codice Privacy.

Due enti, due norme, una sola realtà da gestire: quella del datore di lavoro che monitora i propri sistemi per motivi legittimi (sicurezza, produttività, compliance), ma si ritrova in mezzo al guado.

L'INL ti autorizza…

…ma si concentra sulla legittimità del controllo: c'è un fine organizzativo, produttivo, di sicurezza o di tutela del patrimonio? Bene. Se presenti una richiesta ben fatta, o ottieni un accordo sindacale, l'autorizzazione arriva.

Ma il Garante può sanzionarti lo stesso

Perché guarda come quei dati vengono trattati, e se non rispetti i principi del GDPR (minimizzazione, proporzionalità, conservazione limitata, cifratura, accountability…) la musica cambia.

Autorizzazione INL ≠ copertura GDPR.

È successo davvero. Più volte. Anche in presenza di accordi sindacali regolarmente firmati e sistemi approvati dall'INL.

E la NIS2? Non è uno scudo, ma un moltiplicatore di responsabilità

Chi pensa che la Direttiva NIS2 (UE 2022/2555) metta al riparo da questi conflitti vive in un'illusione.

La NIS2 impone ai soggetti essenziali e importanti:

  • misure tecniche e organizzative adeguate (art. 21);
  • protezione dei dati personali come elemento integrante della cybersecurity;
  • responsabilità chiare, tracciate, documentate.

Ma non sostituisce né l'autorizzazione sindacale, né le valutazioni del Garante. Anzi, rafforza il principio di accountability e lo estende a tutta la filiera.

Il punto è semplice: la compliance è multidimensionale

Puoi essere a norma con lo Statuto dei Lavoratori ma fuori norma per il GDPR. Puoi essere "NIS2 compliant" dal punto di vista tecnico, ma carente sul piano della governance dei dati. Puoi avere log crittografati ma conservarli troppo a lungo, o usarli per finalità non giustificate.

Se non si presidiano tutti questi fronti, si rischia di vincere una partita e perdere il campionato.

E in tutti questi casi rischi sanzioni, audit negativi o, peggio, la perdita di fiducia da parte di dipendenti, stakeholder, autorità.

Cosa fare?

Serve un cambio di mentalità. Serve un approccio integrato.

  • Coinvolgere da subito DPO, IT, HR e legale quando si progetta un sistema di controllo.
  • Predisporre accordi sindacali solidi, ma anche DPIA dettagliate, aggiornamenti contrattuali per i fornitori, policy chiare per i dipendenti.
  • Applicare davvero i principi di privacy by design e by default, non solo a parole.
  • Documentare tutto. Ogni decisione, ogni analisi, ogni eccezione.

In conclusione

C'è un equivoco che continua a girare, anche tra addetti ai lavori: pensare che una cosa "autorizzata" dall'Ispettorato del Lavoro sia automaticamente "a posto" anche dal punto di vista privacy. Spoiler: non è così.

La verità è che le regole del gioco sono cambiate. O meglio: si sono moltiplicate. Oggi compliance significa saper navigare tra normative diverse, con logiche diverse, ma tutte ugualmente vincolanti. E quando si parla di trattamento dei dati dei dipendenti, di log, di controlli, di incidenti di sicurezza e ora anche di NIS2, non basta avere un timbro in fondo a una carta per sentirsi tranquilli.

Il Garante non è l'INL, e la NIS2 non è il GDPR. E chi si muove in questi ambiti non può permettersi compartimenti stagni. Serve una visione ampia, trasversale. Serve mettere insieme tecnica, diritto, sicurezza e buon senso. E serve farlo adesso, prima che siano gli eventi o le sanzioni a imporcelo.