Autorizzati al trattamento dati: come designare correttamente i dipendenti

Chi gestisce il personale di una piccola o media impresa si trova spesso a dover rispondere a una domanda operativa precisa: i dipendenti che maneggiano dati personali (buste paga, anagrafiche clienti, cartelle fornitori) vanno "nominati" formalmente? E con quali istruzioni? La risposta sta in due norme che vanno lette insieme: l'articolo 29 del GDPR e l'articolo 2-quaterdecies del Codice Privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018).

Cosa prevede la norma

L'art. 29 del Regolamento (UE) 2016/679 stabilisce il principio di fondo: "The processor and any person acting under the authority of the controller or of the processor, who has access to personal data, shall not process those data except on instructions from the controller, unless required to do so by Union or Member State law". In pratica, chiunque tratti dati sotto l'autorità del titolare deve ricevere istruzioni specifiche.

Il Codice Privacy italiano, con l'art. 2-quaterdecies, ha adattato questo principio al contesto nazionale: il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell'ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità, individuando le modalità più opportune per autorizzare al trattamento dei dati personali le persone che operano sotto la propria autorità diretta.

Designazione formale: obbligo o buona prassi?

Un punto spesso frainteso: il regolamento europeo non prevede l'obbligo di nomina o designazione espressa; ciò che davvero conta è fornire agli autorizzati le istruzioni operative, compreso gli obblighi inerenti le misure di sicurezza, e la necessaria formazione. Senza istruzioni documentate, infatti, le formali designazioni sarebbero prive di valore, perché nessuno può essere considerato responsabile di una violazione delle procedure se non ha ricevuto le istruzioni in merito.

Questo significa che un dipendente privo di istruzioni scritte non può essere richiamato disciplinarmente per un uso scorretto dei dati: un dipendente deve essere istruito, altrimenti non è possibile sollevare questioni disciplinari.

Come procedere in pratica

Per le imprese la via più prudente resta comunque la designazione scritta, accompagnata da:

• Lettera di designazione individuale o per ruolo, che indichi l'ambito di trattamento consentito (es. "dati anagrafici e retributivi dei dipendenti per le attività di amministrazione del personale");
• Firma per presa visione: l'eventuale designazione non necessita di firma per accettazione, anche se è utile una firma per presa visione, quale prova della conoscenza dell'incarico e delle istruzioni fornite;
• Istruzioni operative specifiche, comprese le misure di sicurezza (gestione password, conservazione dei fascicoli, modalità di trasmissione dei dati);
• Formazione minima sul corretto utilizzo dei dati e sulle procedure da seguire in caso di incidente.

L'autorizzato, a differenza del responsabile esterno, non ha margini di autonomia: l'autorizzato deve attenersi strettamente alle istruzioni ricevute e non deve avere alcuna autonomia, altrimenti assume il ruolo di responsabile.

Elenco mansioni e aggiornamento

È buona prassi collegare la designazione a una mappatura delle mansioni che prevedono accesso a dati personali, da integrare nel registro dei trattamenti. Ogni cambio di ruolo (promozione, trasferimento di reparto, nuove responsabilità) richiede la revisione dell'ambito autorizzato: un addetto amministrativo che passa alla gestione delle risorse umane, ad esempio, avrà accesso a categorie di dati diverse e più sensibili, e le istruzioni vanno aggiornate di conseguenza.

Autorizzato o responsabile esterno: la differenza

La distinzione è netta sul piano della responsabilità: il responsabile esterno (fornitore, consulente, software house) ha autonomia organizzativa e deve garantire da sé misure tecniche adeguate, sottoscrivendo un accordo ex art. 28 GDPR. L'autorizzato interno, invece, deve essere istruito sulle modalità di trattamento opportune dal titolare o responsabile e deve attenersi a tali istruzioni, senza alcuna autonomia decisionale.

Cosa verificare prima del 3 ottobre 2026

Le imprese che non hanno ancora formalizzato le designazioni possono, in questa fase, procedere con un censimento del personale che accede a dati personali, predisporre lettere di designazione per ruolo (anziché una per ciascun dipendente, se le mansioni sono omogenee) e allegare un disciplinare interno con le istruzioni operative essenziali. Per i casi più complessi (gestione di dati sanitari, videosorveglianza, amministratori di sistema) è opportuno rivolgersi a un consulente privacy o al DPO aziendale, se nominato.