Negli ultimi anni si sono affermati diversi standard sociali volti a promuovere condizioni di lavoro eque, inclusive e rispettose della dignità delle persone. Il più noto a livello internazionale è la norma SA 8000, nella sua versione più recente SA 8000:2026, che ha aperto la strada a un filone di standardizzazione progressivamente arricchito da nuovi strumenti. In Italia, un ruolo di primo piano è ricoperto dalla UNI/PDR 125:2022 “Sistema di gestione per la parità di genere”, che ha acquisito rilievo anche grazie all’inserimento nel contesto normativo nazionale del c.d. gender pay gap, tema cui si ricollega direttamente il decreto approvato in via definitiva dal Consiglio dei ministri del 30 aprile 2026, recante il recepimento della direttiva UE 2023/970 sulla trasparenza salariale.
Analizziamo le implicazioni che l’implementazione, il mantenimento, la valutazione e la verifica di tali standard generano sul piano della protezione dei dati personali, con particolare riferimento a quelli appartenenti alle categorie particolari ai sensi dell’art. 9 del Regolamento (UE) 2016/679 (GDPR). L’obiettivo è fornire un quadro tecnico-operativo utile ai soggetti coinvolti (responsabili HR, auditor, DPO, consulenti privacy e responsabili dei sistemi di gestione, ecc.) — affinché possano affrontare con consapevolezza le criticità che questo tipo di standard comporta.
Indice degli argomenti
Il panorama degli standard sociali e privacy
La SA 8000 è stato il primo standard di responsabilità sociale a diffondersi su scala internazionale, elaborato da Social Accountability International (SAI). Si basa su diverse aree tematiche quali: lavoro minorile, lavoro forzato, salute e sicurezza, libertà di associazione e contrattazione collettiva, discriminazione, pratiche disciplinari, orario di lavoro, retribuzione, privacy e sistema di gestione. La sua adozione richiede sin dall’avvio una raccolta strutturata di dati relativi ai lavoratori.
In Italia, UNI — l’Ente Italiano di Normazione — ha promosso una serie di Prassi di Riferimento (PDR) scaricabili gratuitamente dal sito www.uni.com, che hanno ampliato il perimetro degli standard sociali disponibili. Tra le più significative:
- UNI/PDR 125:2022 – Sistema di gestione per la parità di genere – volto a certificare le politiche aziendali che mirano a ridurre il divario retributivo e favorire l’inclusione femminile;
- UNI/PdR 159:2024 – Lavoro inclusivo delle persone con disabilità – indirizzi operativi per garantire accessibilità, non discriminazione e supporto attivo ai soggetti vulnerabili e portatori di disabilità.
- Non va dimenticata, inoltre, la UNI ISO 30415:2021 – Gestione delle risorse umane – Diversità e inclusione – presenta i prerequisiti fondamentali per D&I, le responsabilità associate, le misure consigliate e quelle suggerite e i potenziali risultati ottenibili.
Questi standard condividono una caratteristica comune, infatti coinvolgono in modo diretto il personale aziendale e richiedono il trattamento di informazioni talvolta molto delicate, quali l’orientamento sessuale, lo stato di salute, l’appartenenza a categorie protette, situazioni di disagio lavorativo anche sul piano personale.
Le criticità privacy nelle fasi di implementazione
L’applicazione di uno standard sociale non si esaurisce in un momento puntuale, ma prevede fasi distinte e ricorrenti, ciascuna delle quali presenta specifici profili di rischio per la protezione dei dati personali. Di seguito si analizzano le principali.
La raccolta dei dati in fase di implementazione
La fase iniziale di implementazione di una norma sociale richiede una fotografia dettagliata della composizione del personale. Nel caso della UNI/PDR 125:2022, ad esempio, è necessario rilevare, tra le altre, informazioni relative a: la distribuzione di genere per livello, ruolo, retribuzione, accesso alla formazione e alle promozioni. Queste rilevazioni comportano il trattamento di dati personali dei lavoratori che, se non opportunamente anonimizzati o aggregati, potrebbero consentire l’identificazione di singoli individui, specialmente in aziende di piccole dimensioni o con strutture organizzative poco complesse.
Il rischio è ulteriormente amplificato quando si trattano dati appartenenti alle categorie particolari, quali: dati sanitari, relativi all’orientamento sessuale, all’origine etnica o a condizioni di disabilità.
Raccomandazione: limitare la raccolta di dati personali a quelli realmente necessari, limitare il numero di persone che possono accedere a tali dati e presentarli sempre in forma aggregata ed anonimizzata; assicurarsi che per tali categorie, come richiede il GDPR, il trattamento avvenga a fronte di una base giuridica rafforzata (tipicamente il consenso esplicito o una norma di legge) e misure di sicurezza adeguate.
Le survey
La gran parte degli standard sociali richiede delle attività di survey che possono essere condotte con modalità diverse (questionari, interviste, ecc.). Tali attività di norma sono condotte in forma anonima per facilitare la partecipazione. Ciò non toglie che laddove sono richieste diverse informazioni come età, reparto di appartenenza, stato civile, ecc. sia possibile, almeno in via teorica, identificare il personale.
Raccomandazione: nelle survey limitare il numero di domande che potrebbero identificare dei cluster di soggetti, ed in ultimo favorire l’identificazione del singolo collaboratore.
La gestione delle segnalazioni e whistleblowing
La quasi totalità degli standard sociali prevede meccanismi di segnalazione per atti di molestia, bullismo, aggressione fisica, verbale o digitale, comportamenti discriminatori o pressioni indebite. Questi sistemi, spesso denominati “caselle etiche” o “canali di segnalazione”, sono soggetti anche alla normativa sul whistleblowing (D.Lgs. 24/2023 in Italia, che recepisce la Direttiva UE 2019/1937).
Dal punto di vista della privacy, questi canali presentano criticità rilevanti. Le segnalazioni contengono dati personali sia del segnalante che del presunto responsabile, nonché di eventuali testimoni degli eventi e, laddove indicate, anche di persone informate.
Raccomandazione: il trattamento dei dati derivante dalla gestione delle segnalazioni sia oggetto di una specifica voce nel Registro, informativa (segnalante, segnalato, testimoni, persona citata) e, ove necessario, di una valutazione d’impatto sulla protezione dei dati. La corretta gestione delle segnalazioni richiede garanzie di riservatezza; impone la nomina e formazione di soggetti specificamente autorizzati alla gestione. Le registrazioni devono essere conservate per il tempo strettamente necessario e con misure di sicurezza adeguate.
Il Comitato etico e l’ampliamento del perimetro dei soggetti che trattano dati
La maggior parte degli standard sociali prevede la costituzione di un Comitato Etico o di un organismo analogo, con funzioni di supervisione, valutazione delle segnalazioni e monitoraggio dell’applicazione dello standard. Tale comitato include tipicamente anche figure che esulano dall’ufficio risorse umane, come ad esempio: il Responsabile del Servizio di Prevenzione e Protezione (RSPP), il Rappresentante dei Lavoratori per la Sicurezza (RLS), il Responsabile del sistema di gestione, e talvolta rappresentanti dei lavoratori e/o figure esterne.
Queste figure, pur avendo già nella loro funzione ordinaria accesso a talune informazioni riservate sui lavoratori, nel contesto degli standard sociali vengono a conoscenza di una quantità e qualità di dati superiore a quanto previsto dal ruolo ricoperto.
Raccomandazione: è necessario che tutti i componenti del Comitato Etico:
• siano selezionati anche in base alla loro consapevolezza sulla base del ruolo che ricopriranno;
• siano formalmente designati come incaricati al trattamento o, se del caso, come responsabili del trattamento;
• siano sottoposti a specifica formazione in materia di protezione dei dati personali, con focus sui dati delle categorie particolari;
• siano vincolati da adeguati obblighi di riservatezza, anche contrattualmente.
L’attività di audit
Gli audit rappresentano uno dei momenti più critici dal punto di vista della privacy. Gli auditor — siano essi interni (prima parte), di clienti o fornitori (seconda parte) o di organismi di certificazione accreditati (terza parte) — accedono inevitabilmente a informazioni, anche sensibili sui lavoratori, sia pure in forma campionata.
Nel caso degli auditor sia interni che esterni, è necessario definire con precisione i limiti del loro accesso ai dati e garantire che il trattamento avvenga nel rispetto del principio di minimizzazione.
Raccomandazione: le informazioni a cui gli auditor accedono siano anonimizzate o pseudoanonimizzate ove possibile, e che i report di audit non contengano dati personali identificativi se non strettamente necessario. Gli auditor devono registrare le evidenze che raccolgono sia tramite l’analisi registrazioni, sia nel corso delle interviste in modo che siano anonimizzate (intervistato matr. 12..; verificata documentazione di addetto al customer, ecc.). Per quanto possibile devono essere numerosi i soggetti intervistati, nel corso dell’audit affinché non sia facilmente identificabile quello/i che hanno fornito le singole risposte.
Adempimenti privacy specifici per gli standard sociali
In ragione delle criticità sopra evidenziate, le organizzazioni che adottano standard sociali devono integrare il proprio sistema di gestione della privacy con adempimenti specifici.
Aggiornamento del registro delle attività di trattamento
Il Registro deve essere aggiornato per includere tutti i nuovi trattamenti connessi allo standard: raccolta dati per gli indicatori, gestione delle segnalazioni, attività del Comitato Etico, audit interni ed esterni. Per ciascun trattamento devono essere indicati: finalità, base giuridica, categorie di dati, soggetti coinvolti, tempi di conservazione, misure di sicurezza.
Valutazione d’impatto
La DPIA è obbligatoria quando il trattamento è “suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche”. Il trattamento sistematico di dati particolari relativi a lavoratori — come richiesto dagli standard sociali — rientra spesso in questa categoria. In particolare, la gestione delle segnalazioni di molestie o discriminazioni e il monitoraggio degli indicatori di parità di genere sono trattamenti per i quali la DPIA è altamente consigliata, se non obbligatoria.
Informative agli interessati
I lavoratori devono essere informati dei nuovi trattamenti attivati. Le informative esistenti devono essere integrate o aggiornate per coprire le finalità connesse allo/agli standard sociale adottato/i. Particolare attenzione va posta alla chiarezza del linguaggio; i lavoratori devono comprendere quali dati vengono raccolti, per quale scopo, chi li gestisce e per quanto tempo vengono conservati.
Designazioni formali e accordi con terze parti
Come già evidenziato, è necessario formalizzare le designazioni dei soggetti che trattano dati nell’ambito dello standard (componenti del Comitato Etico, figure di riferimento per le segnalazioni, responsabili degli audit ed auditor).
Formazione specifica
Tutti i soggetti coinvolti nell’applicazione dello standard devono ricevere una formazione mirata e documentata in materia di protezione dei dati personali nel contesto degli standard sociali. Questa formazione dovrebbe essere erogata prima dell’avvio operativo e periodicamente aggiornata, con particolare attenzione ai dati delle categorie particolari, agli obblighi di riservatezza e alle procedure da seguire in caso di violazione dei dati (data breach).
Il ruolo del DPO e del Privacy Officer
Il Data Protection Officer (DPO), ove nominato, deve essere coinvolto sin dalla fase di progettazione del/dei sistema di gestione basato sullo standard sociale, secondo il principio di privacy by design. Il DPO può fornire un contributo essenziale nella definizione delle misure di sicurezza, nella redazione delle informative, nella conduzione della DPIA e nel monitoraggio della conformità nel tempo.
Nelle organizzazioni prive di DPO, è fortemente raccomandabile coinvolgere un esperto nella fase di implementazione dello standard. La sinergia tra il responsabile del sistema di gestione e la/le funzioni privacy è una condizione essenziale per garantire che i due sistemi — quello della responsabilità sociale e quello della protezione dei dati — si sviluppino in modo coerente, integrato ed armonioso.
Conclusioni
L’adozione di standard sociali rappresenta un passo importante verso organizzazioni più eque, inclusive e responsabili. Tuttavia, questo percorso non può prescindere da una gestione consapevole e rigorosa dei dati personali che tali processi inevitabilmente generano.
La protezione dei dati non deve essere vissuta come un ostacolo burocratico, ma come parte integrante di una cultura aziendale autenticamente rispettosa delle persone. Un’organizzazione che si impegna a tutelare i diritti dei lavoratori attraverso uno o più standard sociali dovrebbe, con analoga coerenza, garantire che i loro dati personali siano trattati con la massima cura e nel pieno rispetto della normativa vigente.
Nota – Il panorama degli standard sociali è in continua evoluzione. Nuovi strumenti normativi e linee guida vengono periodicamente sviluppati a livello nazionale e internazionale. Si raccomanda di monitorare costantemente gli aggiornamenti del catalogo ISO www.iso.org ed UNI www.uni.com e delle principali organizzazioni internazionali di standardizzazione.
Partecipa alla community