Il diritto del lavoratore alla disponibilità dell’attestato di formazione: il principio affermato dal Garante Privacy
Il D.lgs. 81/2008 agli art. 37 e 55 disciplina la formazione in materia di salute e sicurezza sul lavoro, prevedendo quale obbligo per il datore di lavoro di fornire a tutti i lavoratori una formazione adeguata e sufficiente.
Al termine della formazione, così come previsto dall’Accordo Unico Stato Regioni del 17 aprile 2025, viene rilasciato un attestato di partecipazione, al fine di documentare l’adempimento del datore di lavoro, nonché le competenze acquisite dal lavoratore.
Con il Provvedimento n. 571 dell’11 settembre 2025, il Garante per la Protezione dei Dati Personali chiarisce che gli attestati di partecipazione ai corsi formativi, in quanto contenenti dati personali riferiti ai lavoratori, devono essere sempre accessibili a questi ultimi, anche dopo la cessazione del rapporto di lavoro.
Disponibilità dell’attestato di Formazione: il Il caso esaminato dal Garante
Con reclamo presentato al Garante nel giugno 2024, una ex dipendente di una società di ristorazione lamentava presunte violazioni del Regolamento UE 2016/679 (GDPR), con particolare riferimento al mancato riscontro all’esercizio del diritto di accesso ai propri dati personali trattati dalla società nell’ambito del rapporto di lavoro.
Nello specifico, la lavoratrice lamentava il mancato rilascio degli attestati di formazione svolti durante il rapporto di lavoro e del certificato medico di idoneità. La stessa aveva richiesto i documenti via e-mail subito dopo le dimissioni, ma la società aveva risposto negando la consegna degli stessi perché “realizzati a spese dell’azienda”.
Ulteriormente, la società replicava affermando che gli attestati erano stati conseguiti con il precedente datore di lavoro e non erano in suo possesso all’epoca della richiesta e che la lavoratrice non aveva formalmente invocato il diritto di accesso ai sensi del GDPR.
L’esercizio dei diritti da parte dell’interessato
L’art. 15 paragrafo 1 del GDPR stabilisce che “L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali”. A tal proposito, “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento […]” (v. art. 15, cit., par. 3).
In merito, invece, alle modalità di riscontro alle richieste di esercizio dei diritti, ai sensi dell’art. 12 del Regolamento “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”.
Da ultimo, l’art. 12 paragrafo 4 del Regolamento UE precisa che “se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.
Le valutazioni del Garante
L’autorità, a seguito dell’attività istruttoria, in applicazione dei principi del Regolamento UE, ha stabilito che le e-mail inviate dalla lavoratrice per richiedere gli attestati erano sufficienti a configurare un’istanza valida di accesso. Inoltre, gli attestati di formazione contengono dati personali riferiti al lavoratore e devono essere consegnati su richiesta, anche dopo la cessazione del rapporto.
In aggiunta, il Garante ha richiamato le Linee guida EDPB 01/2022 sul diritto di accesso, secondo cui il titolare deve agevolare l’esercizio dei diritti, senza imporre formalità.
Il trattamento, pertanto, è stato ritenuto illecito dall’Autorità per violazione del principio di correttezza del trattamento (art. 5 par. 1 lettera a) e violazione degli artt.12 e 15 del GDPR.
Il Garante ha ritenuto, inoltre, che la società avesse fornito un riscontro inidoneo e tardivo, violando i principi fondamentali di trasparenza e correttezza nel trattamento dei dati dei lavoratori.
Pertanto, ai sensi degli artt. 58 e 83 GDPR, l’Autorità ha disposto una sanzione amministrativa di 1.000 euro, ritenendo la violazione di gravità media e rilevante sotto il profilo dei principi generali del trattamento.
Implicazioni operative
Alla luce di quanto stabilito nel Provvedimento n. 571 dell’11 settembre 2025, i datori di lavoro devo sempre ricordare che: la richiesta di copia di attestati di formazione o certificazioni sanitarie costituisce esercizio del diritto di accesso ai dati personali; anche l’invio di una semplice richiesta via mail può considerarsi valida per l’esercizio ti tale diritto, non essendo necessaria una formula giuridica specifica. Da ultimo, il datore di lavoro deve predisporre procedure idonee per fornire la documentazione richiesta, entro i termini stabiliti dalla legge.
