Con il provvedimento n. 121 del 26 febbraio 2026, il Garante per la Protezione dei Dati Personali è intervenuto sul tema del corretto trattamento delle richieste di accesso e cancellazione dei dati personali del lavoratore a seguito della cessazione del rapporto, ribadendo l’obbligo per il datore di lavoro di procedere senza ingiustificato ritardo alla cancellazione dei dati personali ove richiesto dall’interessato.
Il caso riguarda una ex collaboratrice di un’azienda operante nel settore farmaceutico che, alla cessazione del rapporto, aveva richiesto la rimozione dei propri dati personali presenti sul sito internet aziendale nella sezione di presentazione (tra cui fotografia, numero di cellulare e indirizzo e-mail aziendale), nonché la consegna di copia dell’ultimo contratto di collaborazione stipulato con la Società.
La richiesta, trasmessa a mezzo PEC, non riceveva alcun riscontro e, pertanto, la lavoratrice formalizzava il proprio reclamo all’Autorità Garante per la Protezione dei Dati Personali, chiedendo l’adozione dei provvedimenti ritenuti opportuni.
La Società, a seguito dell’interlocuzione avviata dall’Autorità in fase istruttoria, rappresentava di aver già consegnato il contratto in sede di sottoscrizione e che lo stesso fosse comunque facilmente reperibile dall’interessata. Con riferimento ai dati pubblicati sul sito, dichiarava di averne disposto la rimozione, attribuendo l’asserito ritardo a una fase di riorganizzazione interna intervenuta in concomitanza con la richiesta.
Il Garante ha ritenuto illecito il trattamento per violazione di diverse disposizioni del GDPR, chiarendo alcuni principi di rilievo. In particolare, il diritto di accesso ai dati personali, di cui all’art. 15 GDPR, deve essere sempre garantito e riscontrato senza ritardo, anche quando si tratti di documenti standard o già consegnati in precedenza al lavoratore, non essendo tale circostanza idonea a escludere l’obbligo di risposta.
Allo stesso modo, rileva l’Autorità, i dati personali non più necessari, come quelli pubblicati sul sito aziendale, devono essere rimossi senza ingiustificato ritardo, soprattutto a seguito di specifica richiesta dell’interessato. Il mantenimento, anche temporaneo, di informazioni non aggiornate o non pertinenti risulta contrario ai principi di liceità, correttezza e aggiornamento dei dati di cui all’art. 5 del Regolamento.
Un ulteriore profilo analizzato nel provvedimento riguarda il mancato riscontro formale alle richieste dell’interessata.
In tale contesto, eventuali difficoltà organizzative interne, quali riorganizzazioni aziendali o cambi di fornitori, vengono ritenute dall’Autorità inidonee a giustificare l’inadempimento, permanendo in capo alla Società l’obbligo di fornire riscontro senza ingiustificato ritardo. Nel caso in specie, le giustificazioni rese dalla Società non sono dunque state ritenute sufficienti a escludere la responsabilità del titolare.
Alla luce dei principi espressi, il Garante ha comunque graduato la sanzione in maniera proporzionata, tenendo conto della collaborazione prestata dal titolare nel corso del procedimento.
Il provvedimento conferma l’importanza di una gestione aziendale strutturata e tempestiva delle richieste privacy, nonché di un costante aggiornamento dei dati trattati lungo tutto il ciclo di vita del rapporto di lavoro, inclusa la fase successiva alla sua cessazione.