Ultimo aggiornamento: settembre 2026.
Il datore di lavoro può raccogliere e trattare i dati dei familiari dei propri dipendenti solo se tali informazioni sono strettamente necessarie per adempimenti fiscali, previdenziali o normativi (es. riconoscimento di detrazioni, ANF, compilazione della Certificazione Unica). In pratica ciò significa limitare la raccolta ai dati essenziali (nome, codice fiscale, grado di parentela, mesi di carico, eventuale documentazione probatoria) e conservarli per il tempo minimo richiesto dalla finalità; l’Agenzia delle Entrate utilizza i dati della Certificazione Unica per popolare il prospetto dei familiari nella dichiarazione precompilata, quindi le informazioni comunicate dal sostituto d’imposta sono rilevanti per il fisco.
Cosa prevede la norma
Il quadro di riferimento è il Regolamento UE 2016/679 (GDPR) integrato dall’adeguamento nazionale (D.lgs. 10/8/2018 n.101): il trattamento deve essere lecito (art. 6), trasparente e rispettare i principi di minimizzazione, pertinenza e limitazione della conservazione (art. 5). Per i dati necessari all’adempimento di obblighi fiscali o previdenziali la base giuridica più coerente è l’adempimento di un obbligo di legge o l’esecuzione di un rapporto giuridico (art. 6, par.1, lett. c)). Le violazioni dei principi (es. raccolta indiscriminata o conservazione oltre il necessario) espongono il titolare a contestazioni e alle sanzioni amministrative previste dal Regolamento.
Chi riguarda e cosa fare
Si applica ai sostituti d’imposta e a chiunque, in qualità di datore di lavoro, gestisca rapporti di lavoro: società (S.r.l., S.p.A.), società di persone, ditte individuali e professionisti che abbiano dipendenti o collaboratori subordinati. Se un soggetto in regime forfettario non esercita funzioni di datore di lavoro non è coinvolto; se invece assume personale è soggetto agli stessi obblighi.
Casi tipici e dati effettivamente richiesti:
- Detrazioni per familiari a carico e compilazione del 730/CU: codice fiscale, grado di parentela, periodi di carico; queste informazioni sono trasmesse via CU all’Agenzia delle Entrate e poi possono comparire nella dichiarazione precompilata.
- Assegni familiari / Assegno unico: il datore riceve dati utili per il calcolo o per la trasmissione all’INPS, ma la domanda è generalmente presentata dall’interessato; il datore opera come erogatore su istruzioni/informazioni ricevute.
- Richieste di congedi o permessi per assistenza a familiari disabili: possono emergere dati sanitari limitati, che devono essere gestiti con cautele specifiche.
Limiti specifici e dati sensibili
I dati idonei a rivelare lo stato di salute o altre categorie particolari (art. 9 GDPR) richiedono attenzione: il datore può trattarli solo se sussiste una base giuridica adeguata (es. necessità per l’esecuzione del rapporto di lavoro, obblighi previdenziali, o autorizzazioni del Garante) e nel rispetto delle autorizzazioni e delle garanzie previste a livello nazionale. Inoltre il Garante raccomanda di conservare tali informazioni separatamente e di limitarne la conoscibilità ai soli soggetti autorizzati.
Come gestire gli adempimenti in sicurezza
Checklist operativa per il datore di lavoro:
- Verificare la finalità: prima di chiedere dati ai dipendenti stabilire la finalità precisa (CU, ANF, obbligo normativo) e documentarla.
- Raccogliere il minimo: richiedere solo i dati strettamente necessari (es. nome, codice fiscale, relazione di parentela, mesi di carico, documentazione probante in copia solo se prevista dalla norma).
- Informativa e trasparenza: fornire informativa completa ai dipendenti ai sensi dell’art.13 GDPR (finalità, base giuridica, destinatari, tempi di conservazione, diritti dell’interessato).
- Base giuridica e registro: indicare la base giuridica (adempimento di obbligo legale / esecuzione rapporto) e registrare l’operazione nel registro delle attività di trattamento (art.30 GDPR).
- Limitare accessi: designare incaricati/ruoli autorizzati; i dati non devono essere liberamente consultabili da uffici non coinvolti.
- Affidamento a responsabili: se si usano provider esterni (paghe, outsourcing), stipulare un contratto ai sensi dell’art.28 GDPR e verificare le misure tecniche-organizzative del fornitore.
- Conservazione: conservare i dati solo per il periodo necessario: il Libro Unico e le scritture retributive hanno obblighi di conservazione (regole specifiche prevedono termini come 5 anni per il libro unico), mentre la documentazione di personale e gli elementi utili a ricostruire rapporti di lavoro possono essere ragionevolmente conservati fino a 10 anni se giustificato per esigenze probatorie e normative; comunque va sempre applicato il principio di minimizzazione.
- Protezione tecnica: cifratura, controllo accessi, backup e log degli accessi; in caso di violazione dati seguire le procedure di notifica previste dal GDPR.
- Valutazione DPIA: se il trattamento presenta rischi elevati per i diritti degli interessati (es. raccolta su larga scala o dati sensibili), effettuare una valutazione d’impatto (DPIA).
- Formazione: istruire il personale HR e paghe sui principi di privacy, minimizzazione e sulle procedure interne di gestione.
Rischi pratici e sanzionabili: raccolta eccessiva, conservazione indefinita, mancate informazioni agli interessati o diffusione non autorizzata configurano violazioni dei principi del GDPR e possono dar luogo a provvedimenti del Garante e sanzioni amministrative. Il Garante ha più volte richiamato l’obbligo di limitare la conoscibilità dei dati dei dipendenti e di documentare le scelte organizzative a tutela della privacy.
