Prescrizioni e divieto del Garante n. 107 del 24/02/2026

Amazon Italia Logistica s.r.l. - limitazione definitiva dei trattamenti nella piattaforma XX e nella videosorveglianza presso il magazzino di Passo Corese

Il Garante è intervenuto in via urgente nei confronti di Amazon Italia Logistica s.r.l. a seguito di accertamenti ispettivi svolti presso il magazzino di Passo Corese, emersi dopo notizie stampa sui trattamenti di dati dei lavoratori. Il provvedimento riguarda sia le annotazioni memorizzate nella piattaforma interna XX, sia quattro telecamere installate in prossimità di bagni e area ristoro.

Origine del procedimento e quadro normativo richiamato

L’Autorità ha avviato un’attività d’ufficio e ha richiamato, quale cornice normativa, gli artt. 5, par. 1, lett. a), c) ed e), 6, 9 e 88 del GDPR, nonché l’art. 113 del Codice privacy, che vieta al datore di lavoro di effettuare indagini e raccogliere informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore. Il Garante ha ricordato che tali regole costituiscono le disposizioni nazionali di maggior tutela in materia di trattamento dei dati nell’ambito del rapporto di lavoro.

Trattamento tramite la piattaforma XX

Dalle verifiche è emerso che la società utilizza la piattaforma XX, collegata al sistema di rilevazione presenze, per segnalare ai manager l’opportunità di svolgere colloqui con i dipendenti al rientro da assenze o al verificarsi di specifici eventi, come compleanno, anniversario del contratto o raggiungimento di un punteggio determinato dal Bradford Factor. La piattaforma comprende almeno due funzionalità, WB e BWC, e genera raccomandazioni anche in modo automatico.

Le annotazioni inserite nel campo libero delle schede individuali contenevano informazioni estremamente eterogenee e intrusive, tra cui:

• dati relativi a specifiche patologie o condizioni di salute;
• riferimenti a scioperi e attività sindacali;
• informazioni sulla vita personale e familiare;
• hobby e passioni coltivate fuori dal lavoro;
• rapporti personali tra colleghi.

Il Garante ha valorizzato il fatto che tali note fossero sistematicamente conservate e incrementate nel tempo, con una logica di accumulo informativo riferita espressamente dalla stessa società.

Violazioni accertate

L’Autorità ha ritenuto che le annotazioni nel campo libero della piattaforma XX integrassero una violazione del divieto per il datore di lavoro di trattare dati non pertinenti rispetto alla valutazione dell’attitudine professionale del lavoratore, in contrasto con l’art. 113 del Codice e con gli artt. 5, par. 1, lett. a), e 88 del GDPR.

In relazione a tali trattamenti, il Garante ha ravvisato anche la violazione:

• del principio di liceità;
• del principio di minimizzazione dei dati;
• del principio di limitazione della conservazione;
• delle condizioni di liceità di cui agli artt. 6 e 9 GDPR.

Conservazione, ampiezza dell’accesso e rischio per gli interessati

Dalla documentazione acquisita è risultato che i dati contenuti in XX, comprese le annotazioni, sono conservati per tutta la durata del rapporto di lavoro e fino a 10 anni dalla sua cessazione. È stato inoltre accertato che l’accesso ai dati è condiviso tra più team della società, con profili di accesso molto ampi: ad esempio, gli Operation Manager dello stabilimento possono consultare i dati di tutti i lavoratori del sito e i team di sviluppo possono accedere ai raw data.

Secondo il Garante, la gravità della violazione è aggravata dall’elevato numero di interessati coinvolti, dalla profondità temporale della raccolta e memorizzazione, dall’ampia accessibilità delle informazioni e dalla particolare delicatezza dei dati trattati.

Videosorveglianza in aree riservate ai lavoratori

Un secondo filone di accertamento ha riguardato quattro telecamere denominate con l’etichetta BATHROOM. Le verifiche sul posto hanno mostrato che tali telecamere erano posizionate e orientate in modo da consentire l’identificazione delle persone che accedevano ai bagni e all’area ristoro, nonostante fosse attiva una funzione di privacy masking che oscurava solo parzialmente l’immagine.

Il Garante ha inoltre considerato significativo che:

• in un caso la società fosse riuscita a identificare un membro della security entrato in un bagno;
• la privacy mask di una specifica telecamera fosse stata attivata solo il 22 dicembre 2025, pur a fronte dello spostamento del distributore automatico nell’area ripresa già dal novembre 2024;
• la collocazione delle telecamere non fosse coerente con la logica generale dichiarata dalla società nella propria policy interna;
• le aree interessate fossero già presidiate da altre telecamere a distanza ravvicinata.

Valutazione del Garante e ragioni dell’urgenza

Il Garante ha ravvisato l’esigenza di intervenire immediatamente per tutelare i diritti e le libertà degli interessati e la dignità dei lavoratori, anche in considerazione del fatto che nello stabilimento di Passo Corese risultano impiegati circa 1.822 dipendenti. Ha ritenuto incompatibile con la natura e finalità del provvedimento la previa notifica di cui all’art. 166, comma 5, del Codice, e ha quindi adottato una misura urgente ai sensi dell’art. 58, par. 2, lett. f), GDPR.

Dispositivo

Il Garante ha disposto:

• la limitazione definitiva del trattamento dei dati contenuti nelle annotazioni nel campo libero della piattaforma XX rinvenute presso il magazzino di Passo Corese;
• la limitazione definitiva del trattamento dei dati presenti nelle annotazioni con le medesime caratteristiche riscontrate in tutti gli stabilimenti che utilizzano la piattaforma XX;
• l’obbligo per la società di verificare immediatamente, presso tutti gli stabilimenti, la liceità dei trattamenti effettuati mediante tali annotazioni e di fornire al Garante, ai sensi dell’art. 157 del Codice, riscontro dell’avvenuta verifica entro sette giorni dalla notifica;
• la limitazione definitiva del trattamento effettuato tramite le quattro telecamere posizionate in prossimità degli accessi ad aree riservate ai lavoratori, in particolare bagni e aree ristoro.

Le limitazioni hanno effetto immediato dalla data di ricezione del provvedimento.

Ulteriori determinazioni e rimedi

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito internet, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019, nonché l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), GDPR.

È stato richiamato anche che, in caso di inosservanza della misura disposta, trova applicazione la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. e), del GDPR.

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.