Nuovi adempimenti per le aziende stanno nascendo dall’intreccio tra la disciplina lavoristica sulla trasparenza retributiva e la disciplina sulla protezione dei dati personali: con il D.Lgs. 7 maggio 2026, n. 96 l’Italia ha recepito la Direttiva (UE) 2023/970 in materia di parità retributiva tra uomini e donne e di trasparenza delle retribuzioni. Il decreto è in vigore dal 7 giugno 2026 e si applica ai datori di lavoro del settore pubblico e privato, ai contratti di lavoro subordinato (a tempo determinato e indeterminato, anche parziale, comprese le posizioni dirigenziali) e — per i profili di reclutamento — anche ai candidati a un impiego.
La normativa ha un impatto diretto sui trattamenti di dati personali svolti dall’ufficio del personale: ogni obbligo di trasparenza (informativa ai candidati, comunicazione dei criteri retributivi, diritto di informazione, comunicazioni sul divario di genere, valutazione congiunta) si traduce in un trattamento di dati personali dei lavoratori che deve essere conforme al Regolamento (UE) 2016/679 (GDPR) e al Codice in materia di protezione dei dati personali. Non a caso il decreto è stato adottato previo parere del Garante per la protezione dei dati personali, reso il 26 marzo 2026, e contiene una specifica disposizione sulla protezione dei dati (art. 11).
Vediamo, dunque, quali sono gli obblighi di cui verificare il corretto adempimento, con particolare attenzione al profilo della protezione dei dati, alle istruzioni da impartire al personale HR ai sensi dell’art. 29 GDPR e alle procedure interne da adottare o integrare.
L’art. 11 del decreto richiama espressamente il GDPR per i trattamenti connessi agli artt. 7, 9 e 10, ribadisce la limitazione della finalità e riserva l’accesso ai dati individuali identificabili a rappresentanti, Ispettorato del lavoro e organismi per la parità. Sul piano pratico, ciò impone all’azienda di intervenire su più adempimenti.
- Basi giuridiche
La base giuridica prevalente è l’obbligo legale (art. 6, par. 1, lett. c, GDPR). Nei limiti in cui vengano in rilievo dati idonei a far emergere la condizione di disabilità o altri fattori di discriminazione intersezionale, occorre verificare l’eventuale ricorrenza delle condizioni dell’art. 9 GDPR; il decreto, peraltro, non impone la raccolta di dati ulteriori rispetto al sesso.
- Registro dei trattamenti (art. 30 GDPR)
Vanno inseriti o aggiornati i trattamenti relativi a: trasparenza pre-assunzione, comunicazione dei criteri retributivi, gestione delle richieste di informazione, reporting sul divario (≥100 dipendenti) e valutazione congiunta. Per ciascuno: finalità, base giuridica, categorie di interessati e di dati, destinatari, termini di conservazione, misure di sicurezza.
- Informative (artt. 13-14 GDPR)
Informativa candidati:
Finalità e base giuridica della selezione, divieto di trattamento dello storico retributivo, eventuali responsabili esterni della selezione.
Informativa dipendenti:
Misure anti-identificazione e controllo degli accessi trattamenti di trasparenza retributiva, diritto di informazione, destinatari (organismo di monitoraggio, Ispettorato, organismi per la parità), tempi di conservazione.
- Aggregazione dei dati
Per categoria e per sesso, con soglie minime che impediscano la re-identificazione nelle categorie poco numerose;
- Accesso ai dati retributivi individuali limitato
Secondo il principio del need-to-know e, per i dati identificabili, riservato ai soggetti indicati dall’art. 11, c. 2; - Segregazione logica dei dati retributivi e tracciamento degli accessi.
- Conservazione e responsabili del trattamento
Retention: allineare i tempi di conservazione alla necessità di gestire i dati dei quattro anni precedenti (art. 9, c. 6) e ai cicli di reporting.Responsabili del trattamento (art. 28 GDPR): payroll provider, software di gestione HR, società di selezione vanno coperti da accordo ex art. 28 e istruiti coerentemente con i nuovi obblighi (in particolare il divieto di acquisire lo storico retributivo).
Pertanto, per dare attuazione agli obblighi e renderli verificabili (accountability), l’azienda dovrebbe effettuare opportune verifiche sui seguenti documenti/ procedure:
- Aggiornamento delle informative sul trattamento dei dati per candidati e dipendenti (artt. 13-14 GDPR);
- Procedura di selezione conforme: annunci e titoli neutri, comunicazione della fascia retributiva, divieto di acquisizione dello storico retributivo (anche tramite terzi);
- Procedura di gestione delle richieste ex art. 7: modulistica, registro delle richieste, verifica della legittimazione, risposta entro due mesi, soglie di aggregazione;
- Procedura per l’informazione annuale ai lavoratori sul diritto di cui all’art. 7;
- Procedura di trasparenza dei criteri retributivi e (da 50 dipendenti) di progressione economica, anche tramite rinvio al CCNL e all’informativa ex D.Lgs. 152/1997;
- (Se l’azienda ha un n° ≥100 dipendenti) Procedura di raccolta, validazione e comunicazione dei dati sul divario e di valutazione congiunta, con consultazione dei rappresentanti;
- Aggiornamento del registro dei trattamenti (art. 30 GDPR);
- Valutazione preliminare sulla necessità di una DPIA (art. 35 GDPR) per i trattamenti su larga scala dei dati retributivi;
- Aggiornamento delle lettere di designazione/istruzione delle persone autorizzate (art. 29 GDPR; art. 2-quaterdecies Codice Privacy);
- Misure tecniche e organizzative: controllo accessi, segregazione e aggregazione/pseudonimizzazione dei dati retributivi;
- Aggiornamento della policy di conservazione (retention), allineata ai 4 anni e ai cicli di reporting;
- Revisione degli accordi con i responsabili del trattamento (payroll, software HR, società di selezione) ai sensi dell’art. 28 GDPR;
- Formazione del personale HR sulle nuove regole e sulle istruzioni operative.
Vi sono poi degli adempimenti differenziati, in base al numero di dipendenti aziendali, che trovi riassunti nell’infografica che puoi scaricare qui:
