La normativa sulla trasparenza retributiva non è solo un tema di compliance giuslavoristica, ma anche una questione privacy molto concreta: come garantire ai lavoratori l’accesso alle informazioni sui livelli retributivi medi dei dipendenti che svolgono lo stesso lavoro o un lavoro di pari valore, senza trasformare tale accesso in una comunicazione, diretta o indiretta, delle retribuzioni individuali dei colleghi comparabili?
Il punto di equilibrio è tra due esigenze contrapposte: da un lato, consentire al lavoratore di verificare l’effettivo rispetto del principio di parità retributiva; dall’altro, evitare che l’adempimento si traduca nella conoscibilità non necessaria delle condizioni economiche individuali degli altri dipendenti.
Il quadro normativo è oggi definito dal D.lgs. 7 maggio 2026, n. 96, di recepimento della Direttiva (UE) 2023/970, pubblicato nella Gazzetta Ufficiale n. 125 del 1° giugno 2026 e in vigore dal 7 giugno 2026 (il “Decreto”). Il Decreto introduce una serie di obblighi in capo ai datori di lavoro, pubblici e privati, finalizzati a rafforzare l’applicazione del principio della parità di retribuzione tra uomini e donne per uno stesso lavoro o per un lavoro di pari valore.
In particolare, la norma prevede che:
- le informazioni rese ai sensi degli artt. 7, 9 e 10 del Decreto, ove comportino un trattamento di dati personali, devono essere gestite nel rispetto del Regolamento (UE) 2016/679 (il “GDPR”);
- se tali informazioni possono comportare, anche indirettamente, la divulgazione della retribuzione di un lavoratore identificabile, l’accesso deve essere riservato ai rappresentanti dei lavoratori, all’Ispettorato del lavoro e agli organismi per la parità territorialmente competenti;
- i dati così acquisiti possono essere utilizzati solo per l’applicazione del principio di parità retributiva e non per finalità diverse.
La norma non si limita dunque a richiamare genericamente il GDPR, ma individua due limiti specifici: da un lato, vincola l’utilizzo delle informazioni retributive alla sola verifica della parità salariale; dall’altro, quando vi è il rischio che il dato consenta di risalire alla retribuzione di un lavoratore identificabile, esclude l’accesso diretto e generalizzato, riservandolo ai soggetti qualificati indicati dal testo normativo (i.e., rappresentanti dei lavoratori, Ispettorato del lavoro e organismi per la parità territorialmente competenti).
Sul testo dello schema poi confluito nel Decreto è intervenuto anche il Garante per la protezione dei dati personali (il “Garante” o l’“Autorità”), con il parere del 26 marzo 2026, doc. web n. 10242702.
L’Autorità aveva condiviso l’impostazione generale dello schema del Decreto, ossia la scelta di subordinare gli obblighi posti in capo ai datori di lavoro al rispetto del GDPR e di prevedere misure specifiche nei casi in cui le informazioni retributive possano rendere identificabile un singolo lavoratore.
Al tempo stesso, il Garante aveva segnalato che l’impianto dello schema di Decreto richiedeva garanzie applicative ulteriori. Gli obblighi di trasparenza comportano infatti la gestione di informazioni retributive riferite a specifiche categorie di lavoratori. In contesti aziendali con gruppi di confronto ridotti, tali informazioni potrebbero consentire di risalire alle condizioni economiche di singoli dipendenti. Il tema, quindi, non è soltanto evitare la comunicazione di dati nominativi, ma verificare se le informazioni rese disponibili, per livello di dettaglio e composizione del gruppo di riferimento, possano comunque rendere identificabile un lavoratore.
Per questa ragione, il Garante aveva chiesto al legislatore di rafforzare alcuni passaggi dello schema di Decreto, prevedendo che:
- i decreti ministeriali la cui adozione è prevista dall’art. 9, comma 4, fossero sottoposto al parere dell’Autorità;
- all’art. 9 fosse inserita l’effettuazione di una valutazione d’impatto sulla protezione dei dati per i trattamenti su larga scala derivanti dall’interconnessione delle banche dati istituzionali;
- la comunicazione di informazioni ai rappresentanti dei lavoratori, prevista dagli artt. 9 e 10, riguardasse, di regola, dati numerici o aggregati, limitando la trasmissione di dati personali ai soli casi espressamente previsti e necessari per dimostrare la corretta applicazione dei criteri retributivi;
- fossero indicati i tempi massimi di conservazione dei dati presso il Ministero del lavoro, l’Organismo di monitoraggio e i datori di lavoro;
- fossero definite, anche mediante rinvio alla fonte regolamentare, le caratteristiche e le garanzie del trattamento previsto dall’art. 14, comma 1, lett. c) del Decreto.
Nel testo definitivo del Decreto tali indicazioni sono state recepite solo in parte.
In particolare, è stata recepita la richiesta di sottoporre al parere del Garante i decreti ministeriali attuativi previsti ex art. 9 del Decreto relativi alle modalità di raccolta, trattamento, acquisizione ed esposizione dei dati. È stata inoltre recepita l’indicazione relativa alla definizione delle caratteristiche e delle garanzie del trattamento svolto dall’Organismo di monitoraggio, oggi prevista dall’art. 14, comma 5, del Decreto.
Restano invece non disciplinati in modo espresso altri profili segnalati dall’Autorità: la previsione di una DPIA per i trattamenti su larga scala derivanti dall’interconnessione delle banche dati istituzionali; l’indicazione di tempi massimi di conservazione dei dati; la regola generale secondo cui le comunicazioni ai rappresentanti dei lavoratori dovrebbero avvenire, di norma, mediante dati numerici o aggregati, limitando la trasmissione di dati personali ai soli casi effettivamente necessari.
Queste indicazioni non modificano, di per sé, l’obbligo di trasparenza, ma chiariscono come dovrà essere gestito il relativo processo: non una mera estrazione e comunicazione di dati retributivi, ma una procedura che stabilisca quali informazioni raccogliere, con quale livello di dettaglio, chi può accedervi, a chi possono essere comunicate, per quanto tempo conservarle e con quali misure di sicurezza.
Alla luce del testo definitivo, il parere del Garante conversa quindi un riferimento operativo importante, soprattutto per i profili non compiutamente disciplinati dal Decreto. Esso indica infatti le aree su cui le imprese dovranno costruire controlli specifici: aggregazione dei dati, gestione degli accessi, conservazione, comunicazioni ai rappresentanti dei lavoratori e misure di sicurezza.
Il primo profilo di attenzione riguarda la natura dei dati retributivi.
La retribuzione, in sé, non è un dato particolare ex art. 9 del GDPR [1]. Tuttavia, nelle attività di analisi, reporting e risposta alle richieste dei lavoratori, il dato retributivo può essere elaborato insieme ad altre informazioni del rapporto di lavoro, come genere, livello, ruolo, anzianità, part-time, congedi, bonus, indennità, assenze e progressioni. Da tale combinazione possono emergere informazioni delicate sul percorso professionale o personale del lavoratore.
Si pensi ai dati relativi a maternità, paternità, congedi o assistenza. Formalmente sono informazioni del rapporto di lavoro; tuttavia, se utilizzate per spiegare scostamenti retributivi, possono rivelare aspetti della sfera familiare o personale del dipendente e, in determinati casi, rendere inferibili informazioni ulteriori non necessarie rispetto alla finalità di verifica della parità retributiva.
È anche per questo che il Garante, nel parere reso sullo schema di decreto, aveva richiamato l’esigenza di misure rafforzate, quali cifratura e conservazione separata.
Sul piano operativo, l’impresa dovrebbe quindi distinguere tra dati strettamente necessari alla verifica degli scostamenti retributivi e dati ulteriori o di contesto. Per questi ultimi, ove effettivamente necessari, è opportuno prevedere misure rafforzate, quali accesso limitato alle sole funzioni coinvolte, separazione logica dei dataset, cifratura dei file, tracciamento degli accessi, limitazione delle esportazioni e controllo delle condivisioni interne.
Il secondo profilo di attenzione riguarda la re-identificazione.
Su questo punto il parere del Garante richiamava un rischio molto concreto: il diritto dei lavoratori a conoscere i livelli retributivi medi, ripartiti per sesso e per categoria di lavoratori, può comportare, nei contesti organizzativi con pochi dipendenti per categoria, l’identificazione indiretta delle condizioni economiche dei singoli.
Il problema, quindi, non riguarda soltanto l’eventuale comunicazione al lavoratore richiedente di dati nominativi riferiti ad altri dipendenti, ma anche l’ipotesi in cui una specifica informazione consenta, per il numero ridotto di lavoratori coinvolti o per la composizione del gruppo di confronto, di risalire alla retribuzione individuale. Proprio per questo il Garante ha chiesto che i decreti ministeriali previsti ex art. 9 siano sottoposti al suo parere e che siano definiti adeguati livelli di aggregazione dei dati.
In attesa di tali criteri, il profilo da presidiare è che la mera eliminazione del nome del lavoratore o la presentazione del dato in forma riepilogativa, non è di per sé sufficiente a escludere il rischio di identificazione. Alla luce degli orientamenti europei in materia di anonimizzazione, a partire dal Parere 05/2014 del WP Art. 29 (ora European Data Protection Board) sulle tecniche di anonimizzazione, un dato è realmente anonimo solo se l’interessato non è più identificabile, direttamente o indirettamente, tenendo conto di tutti i mezzi ragionevolmente utilizzabili. Nei gruppi di confronto ristretti, quindi, occorre verificare se l’informazione consenta comunque di isolare un lavoratore, collegarla ad altri dati disponibili in azienda o inferire la sua posizione economica. In caso contrario, il dato resta personale e continua ad applicarsi il GDPR.
L’impresa dovrebbe quindi applicare una verifica preventiva sul gruppo di confronto: più il gruppo è ristretto o sbilanciato per genere, maggiore è il rischio che il livello retributivo medio consenta di risalire alla retribuzione individuale di uno o più lavoratori. In questi casi, prima di fornire l’informazione, occorre valutare se ridurre il livello di dettaglio, utilizzare fasce retributive, accorpare categorie professionali omogenee o far transitare la verifica attraverso i soggetti qualificati indicati dall’art. 11 del Decreto.
Il Decreto non individua una soglia numerica minima al di sotto della quale il dato debba considerarsi automaticamente identificativo. Tale valutazione dovrà quindi essere effettuata caso per caso, tenendo conto della numerosità del gruppo, della distribuzione per genere, della specificità della funzione e della disponibilità di ulteriori informazioni nel contesto aziendale. In chiave di accountability, sarà opportuno definire criteri interni per gestire i gruppi di confronto ridotti, anche mediante accorpamento di categorie omogenee, utilizzo di range o riduzione del livello di dettaglio.
Il rischio è particolarmente evidente nelle aziende di minori dimensioni, ma può presentarsi anche in organizzazioni più strutturate quando il gruppo di confronto è troppo ristretto o troppo specifico. Si pensi, ad esempio, ai dirigenti di una determinata funzione o a figure specialistiche presenti in azienda con un solo lavoratore di un determinato genere.
Un ulteriore profilo riguarda la finalità del trattamento.
I dati raccolti per rispondere alle richieste informative, predisporre il reporting o svolgere la valutazione congiunta dovrebbero restare confinati alla verifica della parità retributiva. Per evitare riutilizzi impropri, l’impresa dovrebbe adottare istruzioni interne chiare, limitare le abilitazioni ai soli soggetti coinvolti, tracciare gli accessi, separare i dataset destinati agli adempimenti di trasparenza retributiva e vietare l’utilizzo di tali informazioni per finalità diverse, quali valutazioni disciplinari, controlli sull’operato dei singoli, analisi di performance individuale o altre iniziative manageriali estranee alla parità retributiva.
Vi è poi il tema della conservazione.
Il testo definitivo del Decreto non individua tempi massimi di conservazione dei dati retributivi raccolti e trattati per gli obblighi di trasparenza presso il datore di lavoro, il Ministero del lavoro e l’Organismo di monitoraggio. Anche su questo punto il Garante aveva chiesto un rafforzamento della disciplina, sollecitando l’indicazione di tempi di conservazione, ma tale indicazione non è stata recepita in modo espresso nel Decreto.
In attesa dei chiarimenti attuativi, le imprese dovrebbero definire una regola interna di conservazione, indicando per quanto tempo conservare i dati retributivi elaborati, i report prodotti, le richieste ricevute, i riscontri forniti e la documentazione delle valutazioni svolte. Tale periodo dovrebbe essere coerente con le finalità perseguite: sufficiente a dimostrare l’adempimento degli obblighi, gestire eventuali contestazioni e consentire confronti tra annualità, ma non tale da determinare la conservazione indefinita.
Un’ulteriore area di attenzione riguarda i flussi verso soggetti pubblici e l’interconnessione con banche dati istituzionali.
Il Decreto prevede che le modalità tecniche del reporting possano fondarsi anche sull’acquisizione di informazioni già detenute da INPS, INAIL, INL e altri soggetti istituzionali. Su questo punto il Garante aveva chiesto che fossero puntualmente individuati i tipi di dati trattati, i soggetti coinvolti, incluse le eventuali ulteriori amministrazioni interessate, nonché le misure di sicurezza applicabili, richiamando inoltre l’esigenza di svolgere una valutazione d’impatto sulla protezione dei dati (“DPIA”) per i trattamenti su larga scala derivanti da tali interconnessioni.
Tale previsione non risulta inserita espressamente nel testo definitivo del Decreto. Ciò non esclude, tuttavia, che la DPIA debba comunque essere valutata ex art. 35 del GDPR, ove il trattamento presenti un rischio elevato, in particolare in ragione della scala, dell’interconnessione tra banche dati istituzionali e della granularità delle informazioni trattate.
In sintesi, gli obblighi di trasparenza dovrebbero essere costruiti secondo un principio di privacy by design. Prima individuando le categorie di lavoratori comparabili e i dati effettivamente necessari; poi verificando se il gruppo di confronto consente l’identificazione di singoli lavoratori; solo dopo definendo il contenuto del riscontro al lavoratore, del report o della valutazione congiunta, scegliendo il livello di dettaglio minimo necessario.
a cura di Raffaele Romano, Senior Counsel del Dipartimento Data Protection & New Tech di WST Law & Tax
[1] L’art. 9 GDPR disciplina le “categorie particolari di dati personali”, ossia dati soggetti a tutela rafforzata, tra cui dati relativi alla salute, origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici, relativi alla vita sessuale o all’orientamento sessuale.
