Il provvedimento del Garante contro Amazon: trattamento sistematico dei dati dei lavoratori e videosorveglianza. Richiamo alla normativa privacy e giuslavoristica.

Già recenti notizie di cronaca avevano segnalato delle criticità nel trattamento dei dati personali dei lavoratori e nell’utilizzo dei sistemi di videosorveglianza da parte di Amazon. Con provvedimento del 24 febbraio 2026, il Garante per la protezione dei dati personali ha imposto a Amazon Italia Logistica S.r.l. la limitazione definitiva di una serie di trattamenti dei dati personali dei lavoratori, operate in spregio sia della normativa privacy sia della disciplina giuslavoristica. La vicenda trae origine dagli esiti delle ispezioni avviate congiuntamente dal Garante, dall’Ispettorato Nazionale del Lavoro e dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza. 

Principi normativi a tutela del lavoratore

Prima di analizzare le ragioni che hanno portato all’emanazione di tale provvedimento, giova brevemente riprendere alcuni dei corollari rilevanti in materia di trattamento dei dati personali dei lavoratori:

• I lavoratori sono considerati una categoria di soggetti interessati particolarmente vulnerabile, stante la loro posizione di subordinazione con il datore di lavoro-titolare del trattamento; 
• Necessità di eseguire una valutazione d’impatto sulla protezione dei dati personali (DPIA) in presenza di un elevato rischio per i diritti e le libertà degli interessati (occorre prestare attenzione in caso di trattamento sistematico, monitoraggio, profilazione, categorie di dati personali particolari e di soggetti interessati vulnerabili; Cfr. Working Party 29, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679);
• In via generale, nell’ambito del rapporto di lavoro, il titolare del trattamento può trattare lecitamente i dati personali riferiti ai dipendenti e collaboratori, solo qualora ricorra una delle condizioni di liceità applicabili: solitamente, art. 6, par. 1, lett. b) e c) (per i dati comuni) e art. 9, par. 2, lett. b) (per i dati particolati) GDPR;
• L’art. 88 GDPR richiama espressamente la disciplina nazionale giuslavoristica in grado di assicurare “misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro”;
• L’art. 113 del Codice Privacy rubricato “Raccolta di dati e pertinenza” fa salva la disciplina di cui all’art. 8 della legge n. 300/1970 (Statuto dei Lavoratori) e all’art. 10 del D.lgs n. 276/2003 che vietano al datore di lavoro di effettuare indagini e trattare ulteriori informazioni su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore;
• Relativamente alla disciplina dei controlli a distanza sui lavoratori, si ricordi che, ai sensi dell’art. 4 par. 1 dello Statuto dei Lavoratori, “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” (requisiti sostanziali), previo accordo sindacale o, in mancanza, previa autorizzazione dell'Ispettorato Nazionale del Lavoro (requisiti procedurali). 

Il provvedimento del Garante

Il Garante per la protezione dei dati personali ha vietato, in via d’urgenza e con effetto immediato, ad Amazon Italia Logistica S.r.l., il trattamento di dati personali di oltre 1800 lavoratori impiegati presso uno degli stabilimenti della società. Di seguito si analizzano i motivi sottesi alla decisione dell’Autorità:

• il trattamento sistematico e illecito dei dati dei lavoratori: una piattaforma, collegata al sistema di rilevazione delle presenze, segnalava ai manager la necessità di effettuare colloqui con i dipendenti che rientravano da periodi di assenza, ovvero in presenza di particolari avvenimenti (compleanno del dipendente, raggiungimento di un dato punteggio, ricorrenza della stipula del contratto di lavoro). Emergevano, tuttavia, un accesso esteso alle informazioni e la possibilità per i manager di richiedere un colloquio indipendentemente dalle segnalazioni del sistema. Non solo. La piattaforma consentiva la raccolta sistematica dei dati dei dipendenti per l’intero arco di tempo del rapporto di lavoro e fino a dieci anni dalla sua conclusione. Quali dati venivano annotati su questa piattaforma? Informazioni di natura anche sensibile: patologie, adesione agli scioperi, partecipazione alle attività sindacali, dati personali di familiari (es. stato di salute dei parenti prossimi). Tuttavia, come è noto, è vietato il trattamento di dati personali particolari (es. salute, l’appartenenza sindacale) in assenza di un’adeguata base giuridica di cui all’art. 9 par. 2 GDPR che, nel caso del contesto lavorativo, può rinvenirsi nell’art. 9 par. 2 lett. b) GDPR. Non solo, ai sensi dell’art. 8 dello Statuto dei Lavoratori “è fatto divieto al datore di lavoro, ai fini dell'assunzione, come nel corso dello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore”. Il Garante, pertanto, ha vietato l’utilizzo alle medesime modalità della predetta piattaforma in tutti i centri logistici di Amazon. 
• I sistemi di videosorveglianza: nel mirino del Garante è rientrato anche il trattamento dei dati raccolti attraverso sistemi di videosorveglianza, posizionati in aree riservate ai dipendenti (in particolare bagni e aree ristoro) e orientati in modo tale da consentire l’identificazione dei lavoratori. L’Autorità non ha ritenuto sufficiente la funzione di mascheramento (privacy mask) che consente l’oscuramento parziale dell’immagine, a maggior ragione, che il rischio di re-identificazione permane e che, in un caso, è stato accertato come tale misura non sia stata attivata fin dall’installazione della telecamera.

In conclusione, la vicenda evidenzia l’importanza di implementare dei presidi effettivi a tutela dei lavoratori e del trattamento dei loro dati personali. Come sottolinea il Garante, soprattutto in contesti a elevata complessità organizzativa e tecnologica, occorrono garanzie elevate per i lavoratori per tutto il ciclo vita del trattamento dei dati personali, a maggior ragione, in presenza di sistemi di monitoraggio che possono comportare gravi rischi per i diritti e le libertà fondamentali di una categoria così vulnerabile, quale è quella dei lavoratori.

Avv. Giulia Amadeo