Prescrizioni del Garante n. 528 del 14/07/2026

Sanzioni a E-distribuzione ed Enel Global Services per informativa e consenso non trasparenti nel rapporto di lavoro

Il provvedimento del 14 luglio 2026 definisce il procedimento avviato a seguito del reclamo presentato da una dipendente in relazione al trattamento dei dati personali effettuato nell’ambito di una procedura di mobilità interaziendale, finalizzata al trasferimento da E-distribuzione S.p.A. a Enel Global Services s.r.l. Il Garante ha rilevato violazioni degli artt. 5, par. 1, lett. a), 12, 13 e 17 del Regolamento (UE) 2016/679, irrogando sanzioni amministrative pecuniarie a entrambe le società.

Fatto e procedimento

Alla dipendente era stata sottoposta, per la sottoscrizione, una lettera di cessione del contratto di lavoro con allegata un’informativa ex art. 13 GDPR e un modulo di consenso. Il modulo prevedeva il consenso a tre categorie di trattamenti:

• trattamento di categorie particolari di dati, tra cui certificazioni sanitarie, iscrizione ad organizzazioni sindacali, assenze per attività sindacali e partecipazione a elezioni di organismi rappresentativi dei lavoratori;
• utilizzo dell’immagine, anche mediante inserimento in applicativi aziendali e pubblicazione sulla intranet;
• comunicazioni a soggetti esterni necessarie o strumentali allo svolgimento del rapporto di lavoro.

Le caselle relative ai tre consensi risultavano già selezionate e non potevano essere deselezionate. La dipendente ha sottoscritto il modulo, rappresentando che, senza la firma, non avrebbe potuto concludere la procedura di cessione del contratto.

Prima e subito dopo la sottoscrizione, l’interessata ha esercitato opposizione al trattamento e revocato il consenso, con specifico riferimento ai dati particolari e all’immagine. Il team DPO ha fornito chiarimenti sulle basi giuridiche dei trattamenti, ma non ha dato uno specifico riscontro alla richiesta di revoca e opposizione.

L’istruttoria preliminare è stata avviata il 7 aprile 2025. Le società hanno dichiarato di avere eliminato il modulo dei consensi precompilati e aggiornato la modulistica dal 7 febbraio 2025; la nuova informativa è stata resa disponibile sul portale aziendale l’8 aprile 2025.

Trattamenti esaminati e basi giuridiche

Il Garante ha distinto tra trattamenti necessari nell’ambito del rapporto di lavoro e trattamenti ulteriori o accessori. I primi risultavano fondati, secondo i casi, sull’esecuzione del contratto di lavoro, sull’adempimento di obblighi di legge e, per i dati particolari, sull’art. 9, par. 2, lett. b), GDPR.

La disposizione consente il trattamento quando necessario per assolvere obblighi ed esercitare diritti specifici del titolare o dell’interessato in materia di diritto del lavoro, sicurezza sociale e protezione sociale, nei limiti e con le garanzie previste dal diritto dell’Unione o degli Stati membri o da un contratto collettivo.

Il consenso non costituisce, di regola, un’idonea base giuridica per i trattamenti ordinari nel rapporto di lavoro, in ragione dell’asimmetria tra datore e lavoratore e della difficoltà di verificare che il consenso sia stato liberamente prestato, ai sensi dell’art. 7, par. 4, e dei considerando 42 e 43 GDPR. Possono invece essere fondati sul consenso trattamenti ulteriori, non strettamente necessari al rapporto di lavoro, come la pubblicazione o diffusione di immagini per specifiche iniziative, eventi o corsi, se richiesti di volta in volta con adeguata informativa.

Violazione degli artt. 5, par. 1, lett. a), e 13 GDPR

Il modello fornito ai dipendenti associava all’informativa un modulo di consenso che rappresentava in modo errato le condizioni di liceità dei trattamenti. Sebbene l’informativa indicassse il contratto, gli obblighi di legge e il consenso, ove previsto, come basi giuridiche, il modulo induceva a ritenere che il consenso fosse necessario anche per trattamenti già legittimati dal rapporto di lavoro o dalla legge.

Il Garante ha rilevato che:

• le caselle erano precompilate e non modificabili;
• le diverse categorie di dati non erano associate con sufficiente chiarezza alle rispettive finalità e basi giuridiche;
• non era possibile distinguere i trattamenti necessari per il rapporto di lavoro da quelli ulteriori e facoltativi;
• la documentazione forniva agli interessati una rappresentazione contraddittoria dei trattamenti;
• l’informazione non era facilmente accessibile e comprensibile, né formulata con linguaggio semplice e chiaro, come richiesto dal considerando 39 GDPR.

La condotta non è stata qualificata come un semplice errore materiale. Secondo il Garante, la modulistica ha concretamente generato confusione e ha comportato la raccolta di consensi non necessari e non previsti dall’ordinamento.

La violazione non ha riguardato soltanto la reclamante, ma anche un numero non precisato di dipendenti che avevano partecipato alle procedure di mobilità interaziendale fino alla modifica della modulistica. È stata quindi accertata la violazione del principio di correttezza di cui all’art. 5, par. 1, lett. a), e dell’obbligo di informativa di cui all’art. 13 GDPR.

Violazione degli artt. 12 e 17 GDPR: revoca, opposizione e cancellazione

La dipendente aveva richiesto la revoca del consenso e si era opposta ai trattamenti, anche attraverso il campo note del sistema di sottoscrizione e mediante e-mail inviata ai DPO delle società.

La risposta del 3 settembre 2024 ha illustrato le basi giuridiche dei trattamenti, precisando che i dati particolari erano trattati ai sensi dell’art. 9, par. 2, lett. b), GDPR e che l’immagine era utilizzata per il badge o, negli applicativi interni, eventualmente caricata volontariamente dal dipendente. Tuttavia, la risposta non ha affrontato espressamente la richiesta di revoca e opposizione.

Il Garante ha ritenuto che il fatto che il consenso non fosse la base giuridica effettiva non esonerasse le società dal rispondere. Le società avevano comunque raccolto i consensi mediante il modulo allegato all’informativa; pertanto, la richiesta dell’interessata era legittima e doveva essere trattata come istanza relativa al diritto alla cancellazione ex art. 17 GDPR, oltre che come esercizio dei diritti di opposizione e revoca.

Ai sensi dell’art. 12 GDPR, il titolare deve informare l’interessato sull’azione intrapresa senza ingiustificato ritardo e, comunque, entro un mese. Se non intende ottemperare alla richiesta, deve indicare tempestivamente i motivi del diniego e informare l’interessato della possibilità di proporre reclamo all’autorità di controllo o ricorso giurisdizionale.

L’assenza di un riscontro puntuale ed esaustivo ha determinato la violazione degli artt. 12 e 17 GDPR.

Termini del procedimento

Le società avevano chiesto l’archiviazione sostenendo che il procedimento avrebbe dovuto concludersi entro nove mesi dalla presentazione del reclamo, sulla base dell’art. 143 del Codice privacy e dell’art. 8 del regolamento del Garante n. 2/2019.

Il Garante ha respinto l’eccezione, ritenendo che tali termini non abbiano natura perentoria. In assenza di una previsione espressa che colleghi al decorso del termine la decadenza dal potere o l’illegittimità dell’atto, i termini procedimentali hanno natura ordinatoria o sollecitatoria.

Sono stati richiamati, tra gli altri, Cons. Stato n. 3569/2024, Cass. n. 18583/2025 e Cass. n. 22791/2026. Il superamento del termine non ha quindi determinato la perdita dei poteri di accertamento e sanzionatori del Garante, anche perché non è stata dedotta alcuna lesione concreta dei diritti di difesa e il procedimento si è concluso entro un tempo ritenuto ragionevole.

Contitolarità delle società

Le società avevano sostenuto di essere titolari autonomi, in quanto si sarebbe verificata una successione nel rapporto contrattuale e, conseguentemente, nella titolarità dei trattamenti.

Il Garante ha invece applicato l’art. 26 GDPR, ritenendo che le società avessero determinato congiuntamente finalità e mezzi dei trattamenti. In particolare, sono stati considerati rilevanti:

• l’utilizzo condiviso dei documenti standard per le procedure di job posting e mobilità interaziendale;
• il sistema digitale e automatizzato basato su modelli contrattuali predefiniti;
• la sottoscrizione dei documenti da parte di entrambe le società;
• la presenza di una struttura privacy di gruppo e di una policy comune;
• l’intervento coordinato dei DPO delle società nella gestione della richiesta dell’interessata e nella revisione della modulistica.

In ogni caso, il Garante ha precisato che anche una diversa qualificazione dei ruoli non avrebbe escluso la responsabilità concorrente per le condotte accertate, ai sensi dell’art. 5 della legge n. 689/1981.

Misure correttive e cessazione della condotta

Le società hanno modificato il modello di cessione del contratto dal 7 febbraio 2025, eliminando il modulo di raccolta dei consensi precompilati e aggiornando l’informativa. La nuova informativa è stata pubblicata sul portale aziendale l’8 aprile 2025, con un ritardo rispetto alla predisposizione dovuto, secondo la società, ai tempi tecnici di implementazione.

Il Garante ha considerato tali interventi come fattore attenuante ai sensi dell’art. 83, par. 2, lett. k), GDPR, pur rilevando che la messa a disposizione dell’informativa sul portale è avvenuta poco dopo l’avvio del procedimento.

Sanzione nei confronti di E-distribuzione S.p.A.

Per E-distribuzione, il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la natura delle violazioni, relative a principi generali, informativa ed esercizio dei diritti, riconducibili all’art. 83, par. 5, GDPR;
• la durata, superiore a otto mesi con riferimento alla posizione della reclamante;
• il coinvolgimento della reclamante e di un numero non precisato di altri dipendenti;
• la responsabilità colposa per la mancata verifica della coerenza della modulistica e per l’inadeguata gestione dei diritti esercitati;
• il coinvolgimento di dati necessari allo svolgimento del rapporto di lavoro;
• la conoscenza delle violazioni acquisita a seguito del reclamo;
• l’esistenza di una struttura privacy di gruppo, nonostante la quale le violazioni si sono verificate;
• la cooperazione con l’Autorità;
• l’eliminazione della modulistica e la predisposizione della nuova informativa;
• le condizioni economiche della società, determinate sulla base dei ricavi del bilancio 2024.

Il livello di gravità è stato qualificato come basso, richiamando il punto 60 delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, adottate il 24 maggio 2023.

Poiché le violazioni riguardavano lo stesso trattamento o trattamenti collegati, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo complessivo non può superare quello previsto per la violazione più grave.

La sanzione è stata determinata in 36.000 euro.

Sanzione nei confronti di Enel Global Services s.r.l.

Per Enel Global Services sono stati valutati elementi sostanzialmente analoghi: natura e durata delle violazioni, numero degli interessati coinvolti, responsabilità colposa, tipologia dei dati, conoscenza della violazione a seguito del reclamo, struttura privacy di gruppo, cooperazione, interventi correttivi e condizioni economiche risultanti dal bilancio 2024.

Anche in questo caso il livello di gravità è stato ritenuto basso e sono stati applicati i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

La sanzione è stata determinata in 18.000 euro.

Dispositivo, pagamento e pubblicazione

Il Garante ha dichiarato illecito il trattamento effettuato dalle società per violazione degli artt. 5, par. 1, lett. a), 12, 13 e 17 GDPR, in concorso ai sensi dell’art. 5 della legge n. 689/1981.

Le somme devono essere pagate entro 30 giorni dalla notifica del provvedimento, con applicazione degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981 in caso di mancato pagamento. È prevista la possibilità di definire la controversia mediante pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso, ai sensi dell’art. 166, comma 8, del Codice privacy.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il provvedimento è opponibile davanti al tribunale ordinario competente entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.