Il Garante blocca Amazon: stop a note “libere” sui lavoratori e telecamere vicino ai bagni

Con un provvedimento del 24 febbraio 2026 (Registro provvedimenti n. 107), il Garante per la protezione dei dati personali è intervenuto in via d’urgenza nei confronti di Amazon Italia Logistica s.r.l. dopo accertamenti ispettivi svolti dal 9 al 12 febbraio 2026 presso il magazzino di Passo Corese. Al centro del caso ci sono due profili: l’uso di una piattaforma interna (indicata come “XX”) che conserva nel tempo annotazioni a campo libero sui dipendenti e la presenza di telecamere in prossimità di aree riservate, come bagni e zone ristoro. L’Autorità ha disposto una limitazione definitiva del trattamento con effetto immediato. In materia di cybersicurezza, abbiamo organizzato il corso Linee guida per la governance dei dati e dell’intelligenza artificiale. Abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon

1. La piattaforma “XX” e le annotazioni: quando la “gestione HR” diventa invasiva

Dalle verifiche emerge che la piattaforma “XX” è collegata al sistema presenze e “suggerisce” ai manager di effettuare colloqui al rientro da assenze o al verificarsi di eventi (ad esempio ricorrenze, punteggi e soglie). Tra le funzionalità citate figurano conversazioni di rientro dopo assenze non programmate e raccomandazioni mensili basate sull’algoritmo Bradford Factor, che attribuisce punteggi più alti alle assenze brevi e frequenti.
Il punto critico, però, non è la pianificazione dei colloqui in sé, ma ciò che finisce scritto: nelle schede individuali, i manager inserivano commenti con dettagli su patologie, percorsi diagnostici o terapeutici, informazioni su adesioni a scioperi e attività sindacali, oltre a elementi della vita privata e familiare (separazioni, lutti, disabilità di familiari, hobby e abitudini extra-lavorative), fino a riferimenti a relazioni tra colleghi. In pratica, un “diario” lavorativo che traccia aspetti delicatissimi e spesso non necessari. Abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon

2. I principi GDPR richiamati: liceità, minimizzazione e tempi di conservazione

Il Garante inquadra la vicenda nei principi cardine del GDPR: liceità, correttezza e trasparenza, minimizzazione (trattare solo ciò che è pertinente e necessario) e limitazione della conservazione (non conservare più del necessario). Nel rapporto di lavoro, inoltre, pesa il richiamo alle tutele nazionali: il datore non può svolgere “indagini” su fatti non rilevanti ai fini dell’attitudine professionale.
A rafforzare le criticità, anche la retention: secondo la documentazione acquisita, le informazioni in “XX” – comprese le annotazioni – risultano conservate per tutta la durata del rapporto e fino a 10 anni dopo la cessazione. Un orizzonte temporale molto ampio, difficile da conciliare con il principio di necessità quando i contenuti includono dati sanitari, sindacali o di vita privata.

3. Accessi troppo larghi: chi vede cosa, e perché conta

Un altro elemento che incide sulla gravità è l’ampiezza degli accessi: i dati risultano condivisi tra “team rilevanti” e alcuni profili possono consultare informazioni estese (ad esempio manager con accesso ai dati di tutti i lavoratori del sito; team di sviluppo con accesso a dati non aggregati). Quando le informazioni sono così sensibili, la governance degli accessi diventa parte sostanziale della compliance: non è solo “cosa” si raccoglie, ma anche quanti lo possono vedere.

Potrebbero interessarti anche:

• NIS2 e gestione degli incidenti di sicurezza informatica: pubblicate le Linee guida di ACN
• Dati pubblicati in “Amministrazione Trasparente”: divieto di filtri e restrizioni

4. Telecamere vicino a bagni e ristoro: anche con “privacy mask” resta il rischio

Sul fronte videosorveglianza, i log hanno evidenziato quattro telecamere con etichetta “BATHROOM”. Il sopralluogo ha accertato che, pur con mascheramento parziale, l’inquadratura consentiva di identificare chi accedeva a bagni e area ristoro. In un caso, la Società è riuscita a identificare un soggetto che aveva utilizzato uno dei bagni. Inoltre, per almeno una telecamera, il mascheramento sarebbe stato attivato solo dopo dicembre 2025, nonostante cambiamenti nell’area ripresa risalissero al 2024.

5. Le misure del Garante: stop immediato e verifica in tutti gli stabilimenti

Il provvedimento dispone:

• la limitazione definitiva del trattamento dei dati contenuti nelle annotazioni “a campo libero” rilevate a Passo Corese;
• la limitazione anche per annotazioni con le stesse caratteristiche presenti negli altri siti che usano “XX”, con obbligo di verifica immediata e riscontro al Garante entro 7 giorni dalla notifica;
• la limitazione definitiva del trattamento tramite le quattro telecamere in prossimità di accessi ad aree riservate (bagni e ristoro).

6. Impatto pratico: cosa devono imparare HR, compliance e management

Il messaggio è chiaro: gli strumenti digitali di gestione del personale non possono trasformarsi in archivi permanenti di “note” su salute, sindacato o vita privata. Per le aziende, il caso suggerisce alcune priorità operative: limitare i campi liberi o guidarli con categorie consentite, definire policy di retention coerenti e proporzionate, restringere gli accessi per ruoli e necessità, formare i manager su cosa non si deve registrare, e progettare la videosorveglianza evitando inquadrature (anche indirette) di aree sensibili. In sintesi: tecnologia sì, ma con regole, controlli e rispetto della dignità dei lavoratori.

Formazione in materia per professionisti

Linee guida per la governance dei dati e dell’intelligenza artificiale
Un ciclo di quattro incontri per tradurre le norme su AI e protezione dei dati in procedure operative concrete. Dalla definizione delle policy alla costruzione del reporting e delle linee guida interne, il webinar offre ai professionisti della compliance strumenti immediatamenti applicabili:
• Basi giuridiche e accountability documentale: principi applicabili ai trattamenti tipici dell’ufficio legale, distinzione fra esigenze legali, difensive e operative, mappatura end-to-end del flusso “revisione clausole contrattuali” ed errori frequenti con relative contromisure.
• Criteri e controllo dei risultati: accettazione dei risultati di analisi e AI, registrazione dei casi d’uso e delle verifiche, esempi pratici di analytics.
• KPI, reporting e governance del dato: definizione e monitoraggio degli indicatori, progettazione di dashboard efficaci e policy interne per garantire tracciabilità e qualità dei dati.
• Integrazione AI e workflow aziendale: collegamento dell’AI con l’ecosistema aziendale, flusso “review automatizzata delle clausole” e linee guida “Uso dati e AI nell’ufficio legale”.
>>>Per info ed iscrizione<<<

Ti interessano questi contenuti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!