Parere del Garante n. 624 del 16/09/2026

Decreto legislativo sul lavoro mediante piattaforme digitali

Il Garante ha esaminato, su richiesta della Presidenza del Consiglio dei Ministri – Dipartimento per gli affari giuridici e legislativi, lo schema di decreto legislativo di attuazione della direttiva (UE) 2024/2831. Il parere è reso ai sensi dell’articolo 36, paragrafo 4, GDPR e dell’articolo 154, comma 5, del Codice privacy ed è favorevole, con condizioni e osservazioni.

Oggetto e ambito dello schema

Il provvedimento mira a migliorare le condizioni di lavoro e la protezione dei dati delle persone che lavorano tramite piattaforme digitali, assicurando trasparenza, equità, supervisione umana e responsabilità nella gestione algoritmica. L’articolo 1 richiede un’interpretazione coordinata con il regolamento (UE) 2024/1689 sull’intelligenza artificiale e con la legge 23 settembre 2025, n. 132, nel rispetto, tra gli altri, dei principi di trasparenza, proporzionalità, sicurezza, protezione dei dati, non discriminazione e intervento umano.

L’articolo 2 si applica alle piattaforme che determinano l’organizzazione e le modalità di lavoro sul territorio nazionale, anche quando la prestazione è resa da remoto o in rete e a prescindere dalla sede della piattaforma. Le garanzie si estendono a lavoratori subordinati, autonomi e titolari di collaborazioni coordinate e continuative, compresi i collaboratori etero-organizzati ai sensi dell’articolo 2, comma 1, del d.lgs. 15 giugno 2015, n. 81. Lo schema definisce inoltre piattaforme, lavoratori, intermediari e sistemi automatizzati; esclude, tra gli altri, servizi di condivisione o rivendita di beni, volontariato e servizi nei quali l’organizzazione del lavoro è meramente accessoria. L’articolo 5 prevede una presunzione legale di subordinazione quando dai fatti emergano elementi di direzione e controllo, valutabili anche alla luce dell’uso dei sistemi automatizzati.

Trattamenti automatizzati e diritti delle persone

L’articolo 6 vieta, anche nelle procedure di selezione e assunzione, il trattamento tramite sistemi automatizzati di determinate categorie di dati: informazioni sullo stato emotivo o psicologico; conversazioni private, comprese quelle con i rappresentanti dei lavoratori; dati raccolti quando la persona non lavora né si propone di lavorare; dati volti a prevedere l’esercizio di diritti fondamentali; dati utilizzati per desumere origine etnica, opinioni politiche, convinzioni religiose, salute o orientamento sessuale; e dati biometrici utilizzati per identificare una persona mediante confronto con quelli di altre persone conservati in una banca dati. La disciplina si applica anche ai sistemi che assumono o supportano decisioni di impatto significativo. Per le violazioni sono richiamati gli articoli 83 GDPR e 166 del Codice.

Il Garante chiede di riformulare l’articolo 6, comma 1, lettera d), affinché il divieto riguardi i trattamenti diretti «a prevedere l’esercizio di diritti fondamentali», in coerenza con la direttiva, e non genericamente quelli che possono incidere su tali diritti.

L’articolo 7 impone a piattaforme e intermediari la valutazione d’impatto sulla protezione dei dati per i sistemi automatizzati e la consegna di una copia ai rappresentanti dei lavoratori. L’articolo 8 prescrive informazioni a lavoratori, rappresentanti e, su richiesta, autorità competenti sull’impiego dei sistemi di monitoraggio e decisionali. Le informazioni comprendono, per i sistemi di monitoraggio, dati e attività osservati, finalità, modalità e destinatari; per i sistemi decisionali, categorie di decisioni, parametri rilevanti, ruolo dei dati e motivazioni di provvedimenti restrittivi, quali sospensione dell’account o mancato pagamento. Le informazioni devono essere chiare e comprensibili; ai candidati sono comunicate quelle relative ai sistemi impiegati nella selezione. È inoltre riconosciuto il diritto alla portabilità dei dati prodotti nell’attività lavorativa, comprese valutazioni e recensioni, con strumenti gratuiti e possibilità, su richiesta esplicita, di trasmissione diretta a terzi, nel rispetto dell’articolo 20 GDPR.

Il Garante chiede che l’articolo 8 richiami espressamente gli articoli 12, 13 e 14 GDPR e definisca la scansione temporale per fornire le informazioni previste dal comma 2, analogamente a quanto già stabilito per altri obblighi informativi. Rileva anche che il rinvio interno del comma 8 al diritto alla portabilità deve riferirsi al comma 7, non al comma 6.

Supervisione umana, spiegazione e riesame

L’articolo 9 prevede una valutazione almeno biennale degli effetti delle decisioni automatizzate sulle condizioni di lavoro e sulla parità di trattamento, con partecipazione dei rappresentanti dei lavoratori. Le decisioni di limitazione, sospensione o risoluzione del rapporto, o di chiusura dell’account, sono nulle se non adottate esclusivamente da una persona fisica. L’articolo 10 riconosce il diritto a una spiegazione chiara della decisione e al riesame e prevede misure correttive, inclusa la modifica o cessazione dei sistemi responsabili.

Il Garante osserva che la «valutazione dell’impatto» menzionata nell’articolo 9 non coincide con la valutazione d’impatto sulla protezione dei dati dell’articolo 35 GDPR e raccomanda una terminologia distinta, per evitare equivoci. Chiede inoltre che le risorse umane incaricate della supervisione siano collegate direttamente al vertice societario, così da rendere effettivi i poteri di intervento previsti dall’articolo 22, paragrafo 3, GDPR. A sostegno richiama i provvedimenti dell’Autorità n. 285/2021, n. 234/2021 e n. 675/2024.

Informazioni sul lavoro e cooperazione tra autorità

L’articolo 14 prevede la trasmissione telematica al Sistema informativo per l’inclusione sociale e lavorativa (SIISL), interoperabile con la Piattaforma digitale nazionale dati (PDND) ai sensi dell’articolo 50-ter del d.lgs. 7 marzo 2005, n. 82, di informazioni sul numero e l’intensità lavorativa dei lavoratori non occasionali, sulle condizioni generali, sulla durata media, sugli orari, sui redditi e sugli intermediari. I termini e le condizioni generali sono trasmessi con esclusione dei dati personali. Le informazioni già disponibili alle amministrazioni attraverso comunicazioni obbligatorie e flussi previdenziali e assicurativi dovrebbero essere acquisite d’ufficio, evitando duplicazioni. L’articolo 15 demanda a un decreto ministeriale, sentito il Garante, la definizione di tracciati, standard, modalità tecniche e accessi, nonché delle garanzie di protezione dei dati e cybersicurezza.

Il Garante rileva che l’articolo 14 non individua con sufficiente determinatezza le finalità degli accessi, le categorie di dati consultabili, i ruoli privacy dei soggetti coinvolti e i limiti di riutilizzo. Chiede quindi di integrare la disposizione, fermo restando il rinvio all’attuazione tecnica previsto dall’articolo 15. Analoga integrazione è richiesta per l’articolo 19, che istituzionalizza lo scambio di informazioni tra Ministero del lavoro, Garante, Ispettorato nazionale del lavoro, INPS e INAIL, anche in relazione a ispezioni e indagini: la norma deve precisare presupposti, finalità, limiti e garanzie del trattamento. Lo scambio dovrebbe avvenire prioritariamente mediante cooperazione applicativa e interoperabilità, in coerenza con gli articoli 50 e 50-ter del d.lgs. n. 82/2005.

Sovrapposizione delle competenze sanzionatorie

Il Garante segnala una criticità di sistema: gli articoli 7, 8, 9, 10 e 16 attribuiscono all’Ispettorato nazionale del lavoro poteri ispettivi e sanzionatori per obblighi che, almeno in parte, corrispondono a obblighi già previsti dal GDPR e la cui violazione rientra nelle competenze del Garante. In particolare, la mancata o inadeguata DPIA può violare l’articolo 35, paragrafo 1, GDPR ed essere sanzionata ai sensi dell’articolo 83, paragrafo 4, e dell’articolo 166 del Codice; gli obblighi informativi algoritmici possono sovrapporsi agli articoli 13, paragrafo 2, lettera f), e 14, paragrafo 2, lettera g), GDPR; la supervisione e le decisioni automatizzate agli articoli 22 e 83 GDPR; i diritti di spiegazione e riesame agli articoli 15, paragrafo 1, lettera h), e 22, paragrafo 3; la sicurezza dei canali comunicativi all’articolo 32 GDPR.

Le clausole che fanno salve le competenze del Garante, presenti nello schema e coerenti con l’articolo 24, paragrafi 1 e 5, della direttiva, non sono ritenute sufficienti a eliminare il rischio di duplicazione dei procedimenti o di disparità sanzionatorie. Il Garante propone pertanto di valutare una clausola di assorbimento delle fattispecie, in applicazione dei principi di specialità e proporzionalità, oppure una clausola che coordini i procedimenti sanzionatori dell’Ispettorato e del Garante. Richiama, come esempio di coordinamento, l’articolo 14, comma 2, lettera c), del d.lgs. n. 138/2024, nonché Cassazione, Sezioni Unite, n. 7848/2024, sul ruolo centrale delle autorità di controllo GDPR e sul principio di leale collaborazione tra autorità.

Conclusione

Il Garante esprime parere favorevole sullo schema, ritenuto complessivamente coerente con la direttiva e con i criteri di delega, subordinandolo alle modifiche indicate sugli articoli 6, 8, 9, 14 e 19. Formula inoltre l’osservazione di valutare una disciplina di assorbimento o coordinamento dei procedimenti sanzionatori. Il parere è stato adottato il 16 settembre 2026, con provvedimento n. 624.