In sintesi
- La trasparenza retributiva è compatibile con la tutela dei dati personali: la Direttiva (UE) 2023/970 (art. 12) e il D.Lgs. 96/2026 (art. 11) rinviano al GDPR.
- La base giuridica è l’obbligo di legge (GDPR, art. 6, par. 1, lett. c).
- Se un’informazione rende identificabile la retribuzione di un lavoratore, vi accedono solo rappresentanti dei lavoratori, Ispettorato del lavoro e organismi di parità (D.Lgs. 96/2026, art. 11).
- I dati si usano solo per la parità retributiva; il lavoratore può rendere nota la propria retribuzione (art. 11 e art. 7).
Gli obblighi di trasparenza retributiva sono compatibili con la privacy se i dati sono trattati secondo il Regolamento (UE) 2016/679 (GDPR), come prevedono la Direttiva (UE) 2023/970 e il D.Lgs. 96/2026. Il rapporto tra trasparenza retributiva e privacy riguarda quindi come l’azienda raccoglie, protegge e comunica i dati, non una scelta tra obblighi in conflitto.
Questa guida esamina dove trasparenza retributiva e GDPR si incontrano: base giuridica, aggregazione dei dati, sicurezza e riservatezza della retribuzione.
Trasparenza retributiva e privacy: dove si incontrano obblighi e tutela dei dati
Il rapporto tra trasparenza retributiva e privacy nasce da un dato di fatto: retribuzione, genere, ruolo e inquadramento sono dati personali. Per il GDPR è un dato personale «qualsiasi informazione riguardante una persona fisica identificata o identificabile» (art. 4, punto 1): di conseguenza anche una retribuzione legata a un ruolo ricoperto da una sola persona vi rientra. Il GDPR si applica quindi anche alla trasparenza salariale, e la privacy entra nel processo fin dalla raccolta dei dati.
La protezione dei dati nella trasparenza retributiva è regolata esplicitamente da entrambi i testi.
| Testo | Articolo | Cosa prevede |
| Direttiva (UE) 2023/970 | art. 12 | Le informazioni su richiesta (art. 7), sul divario (art. 9) e della valutazione congiunta (art. 10) sono trattate secondo il GDPR |
| D.Lgs. 96/2026 | art. 11 | Recepisce l’art. 12: rinvio al GDPR, accesso limitato se una retribuzione individuale è identificabile, divieto di usi diversi dalla parità retributiva (c. 3) |
| D.Lgs. 96/2026 | art. 7, c. 8 | Datori fino a 49 dipendenti: modalità di risposta che evitano l’identificazione dei lavoratori |
| D.Lgs. 96/2026 | art. 9, c. 4 | Decreti ministeriali sulla raccolta dei dati adottati sentito il Garante privacy |
Base giuridica del trattamento dei dati retributivi
Il trattamento dei dati retributivi secondo il GDPR è lecito solo se e nella misura in cui è presente almeno una delle sei basi giuridiche previste (art. 6). Per la trasparenza retributiva la base è l’obbligo legale fissato dal D.Lgs. 96/2026: il trattamento è «necessario per adempiere un obbligo legale cui è soggetto il titolare del trattamento» (art. 6, par. 1, lett. c).
Le conseguenze sono quattro:
- Nessun consenso richiesto. Il trattamento si fonda sulla legge; nel rapporto di lavoro il consenso sarebbe fragile, per lo squilibrio tra le parti.
- Perimetro definito dalla norma. Le analisi per altre finalità richiedono un’altra base giuridica e non possono usare i dati della trasparenza (art. 11, c. 3).
- Informativa aggiornata. L’informativa indica finalità e base giuridica (GDPR, art. 13, par. 1, lett. c) e va integrata per finalità nuove, come la comunicazione del divario.
- Registro dei trattamenti. Il nuovo trattamento va descritto nel registro, se l’azienda è tenuta a tenerlo (GDPR, art. 30).
Oltre all’art. 11 e all’art. 7, comma 8, il Decreto non introduce le norme più specifiche per il lavoro consentite dall’art. 88 del GDPR.
Identificabilità delle persone: aggregazione e soglie
Nelle analisi del gender pay gap la privacy diventa un tema concreto soprattutto quando i gruppi sono piccoli: se una categoria comprende una sola donna infatti, il valore medio femminile coincide con la sua retribuzione.
La norma interviene in tre modi.
- Accesso limitato. Se un’informazione rivela, anche indirettamente, la retribuzione di un lavoratore identificabile, l’accesso è riservato a rappresentanti dei lavoratori, Ispettorato del lavoro e organismi di parità (D.Lgs. 96/2026, art. 11, c. 2).
- Regole per le piccole imprese. Per i datori fino a 49 dipendenti, le informazioni sui livelli retributivi possono seguire modalità definite dai decreti attuativi, per evitare l’identificazione dei singoli (art. 7, c. 8, e art. 9, c. 4, lett. d).
- Aggregazione a livello di gruppo. I gruppi con politica retributiva nazionale unica possono aggregare i dati a livello nazionale, se la rappresentazione risulta più affidabile (art. 9, c. 3).
Il Decreto non fissa un numero minimo di lavoratori per categoria sotto il quale un dato non va comunicato: le modalità saranno definite con decreti ministeriali, sentito il Garante privacy (art. 9, c. 4).
La riservatezza dei dati retributivi dei dipendenti dipende anche da due principi del GDPR:
- Minimizzazione. I dati sono «limitati a quanto necessario per le finalità del loro trattamento» (art. 5, par. 1, lett. c). Per comunicare il divario servono valori aggregati per genere e categoria, non elenchi nominativi.
- Verifica prima della diffusione. Prima di condividere un’analisi è necessario controllare se qualche gruppo è così piccolo da rendere riconoscibili le persone, e in quel caso limitare l’accesso secondo l’art. 11, c. 2.
Misure organizzative e di sicurezza per i dati retributivi
Il GDPR chiede misure tecniche e organizzative adeguate al rischio (art. 32); per i dati retributivi le misure di base sono tre.
| Misura | In pratica | GDPR |
| Accessi limitati e profilati | Ogni ruolo vede solo i dati necessari | art. 32; art. 25 |
| Minimizzazione | Solo i campi utili, pseudonimizzati se possibile | art. 5, par. 1, lett. c; art. 25 |
| Tracciabilità delle operazioni | Chi accede, quando e per quale operazione | art. 5, par. 2 |
Il Titolare del trattamento deve attuare:
- Protezione fin dalla progettazione. Per impostazione predefinita si trattano solo i dati necessari (art. 25).
- Responsabilizzazione. Il titolare deve poter dimostrare il rispetto dei principi, anche con log e procedure documentate (art. 5, par. 2).
Tracciabilità e controllo degli accessi sono più semplici senza fogli di calcolo condivisi via e-mail. Un software di analisi retributiva con profili di accesso e registro delle operazioni aiuta a documentare gli accessi; la responsabilità del trattamento resta dell’azienda.
Riservatezza della retribuzione: clausole e limiti
Sulle clausole di riservatezza della retribuzione il D.Lgs. 96/2026 è esplicito: «Ai lavoratori non può essere impedito di rendere nota la propria retribuzione», e le clausole che limitano questa facoltà sono vietate (art. 7, c. 6, che recepisce l’art. 7, par. 5, della Direttiva).
Retribuzione individuale e dati aggregati seguono regole distinte.
| Aspetto | Retribuzione individuale | Dati aggregati |
| Chi decide | Il lavoratore | L’azienda, secondo il decreto |
| Limiti | Nessuna clausola può impedirne la divulgazione (art. 7, c. 6) | Accesso riservato se rendono identificabile un collega (art. 11, c. 2) |
- Cosa cambia per i contratti. L’Azienda dovrà eliminare da lettere di assunzione e regolamenti interni i divieti di parlare del proprio stipendio.
- Cosa resta riservato. L’azienda protegge la retribuzione dei singoli verso terzi e colleghi; ogni lavoratore può rivelare solo la propria.
Domande frequenti
Serve una valutazione d’impatto sulla protezione dei dati (DPIA) per la trasparenza retributiva?
Dipende dal trattamento. La DPIA serve se un trattamento può presentare un rischio elevato per i diritti delle persone (GDPR, art. 35, par. 1), e il Garante ne ha elencato le tipologie (provvedimento n. 467 dell’11 ottobre 2018). Descrive trattamento, necessità, rischi e misure (art. 35, par. 7); l’esigenza va valutata con il DPO, se nominato.
Chi è responsabile del trattamento dei dati retributivi quando si usa un software?
L’azienda resta titolare: decide finalità e mezzi. Il fornitore che tratta i dati per suo conto è responsabile del trattamento (GDPR, art. 28): offre garanzie sufficienti ed è vincolato da un contratto o atto su oggetto, durata, finalità e tipo di dati (art. 28, par. 1 e 3).
Per quanto tempo si possono conservare i dati retributivi raccolti per la trasparenza retributiva?
Il D.Lgs. 96/2026 non fissa un termine. Per il GDPR i dati identificativi si conservano per il tempo necessario alle finalità (art. 5, par. 1, lett. e); il periodo va motivato nel registro dei trattamenti, in base alla periodicità delle comunicazioni sul divario.
Dai dati retributivi a un processo documentato
Se volete gestire i dati retributivi con accessi profilati e operazioni tracciate, possiamo mostrarvi come funziona Alveria Pay Transparency.
