Gli attestati di formazione del lavoratore contengono dati personali riferiti allo stesso, ai quali l’interessato ha diritto di accedere ai sensi dell’art. 15 del Regolamento (v. Provv. 24/4/2024, n. 246, in www.garanteprivacy.it, doc. web n. 10021452). Nessun dubbio sussiste in ordine alla circostanza che il lavoratore possa, conseguentemente, accedere ai dati relativi agli attestati in esame.

Tuttavia, nel caso di mobilità e di trasferimento da un datore di lavoro ad un altro, come, ad esempio, da un Ente locale ad un altro, sussiste il dubbio di chi debba essere il soggetto competente a rilasciare i dati in questione.

Sul tema si è espresso il Garante, che ha irrogato 1.000 (mille) euro a titolo di sanzione amministrativa pecuniaria a un datore di lavoro che si è rifiutato di rilasciare i dati sul presupposto che i relativi corsi di formazione erano stati effettuati presso il precedente datore di lavoro.

Nel recente orientamento del Garante per la protezione dei dati personali (Provvedimento dell'11 settembre 2025) emerge con chiarezza che un lavoratore – durante o dopo il rapporto di lavoro – può richiedere l’accesso ai dati personali che lo riguardano, anche in relazione agli attestati di formazione conseguiti. In un più datato provvedimento, del 19 giugno 2000, il Garante aveva già chiarito che «anche gli attestati di qualificazione professionale conseguiti durante il rapporto di lavoro possono costituire dati personali che il dipendente ha diritto di richiedere» in base alla legge n. 675/96.

Nel caso esaminato dal Garante, è stato rilevato che il datore di lavoro non ha fornito riscontro all’istanza presentata dal lavoratore, che chiedeva copia dell’attestato del corso base per la conduzione di piattaforme mobili elevabili (PLE). Nonostante il datore di lavoro dichiarasse di non possedere più il documento – in quanto scaduto da oltre un decennio – l’Autorità ha sancito che:

• il semplice rifiuto o la mancata risposta non soddisfano i requisiti richiesti dalla normativa in materia di protezione dei dati.

In particolare, è stata accertata violazione degli articoli 12 e 15 del GDPR: l’assenza di riscontro scritto motivato entro il termine previsto e la mancata indicazione del diritto di proporre reclamo all’Autorità di controllo o ricorso giurisdizionale.

Va dunque sottolineato che, anche se l’attestato risulta scaduto, o riguarda un rapporto concluso o con un altro datore di lavoro, non sussiste una automatica esclusione del diritto di accesso del lavoratore al proprio fascicolo personale.

Il concetto chiave è che l’attestato reca informazioni riferite a una persona fisica, e pertanto rientra nella nozione di dato personale ai sensi dell’articolo 4 GDPR.

➢Contenuti essenziali degli attestati di formazione

Gli attestati di formazione, nell’ambito del rapporto di lavoro, possono contenere informazioni quali:

• nome e cognome del lavoratore
• data del corso di formazione e ente erogatore
• descrizione del corso (es. corso base, formazione specifica, aggiornamento)
• durata in ore, modalità (in presenza, e-learning)
• eventuali valutazioni, qualifiche conseguite o crediti formativi
• numero d’attestato, riferimento normativo del corso (es. sicurezza sul lavoro ai sensi del D.Lgs. 81/2008)
• firma del soggetto che attesta la formazione

Queste informazioni, nel caso dell’attestato, riguardano direttamente la persona fisica e possono essere lette come “dato personale” ai sensi dell’art. 4, par. 1, lettera a) GDPR (“qualsiasi informazione riguardante una persona fisica identificata o identificabile”).

Ne deriva che il lavoratore può richiedere:

• la conferma che il datore di lavoro stia trattando tali dati;
• la copia dei dati personali (ossia, in concreto, dell’attestato);
• informazioni sulle finalità, categorie dei dati, destinatari, periodo di conservazione, ecc. (art. 15 GDPR).
  

Conclusioni

In sintesi, dall’analisi emerge che:

• gli attestati di formazione costituiscono dati personali in quanto contengono informazioni riferite a persona fisica, e pertanto rientrano nella tutela del GDPR e nella disciplina del diritto di accesso;
• il datore di lavoro (o ente formativo) titolare del trattamento deve garantire l’accesso, la copia dei dati, la trasparenza, la motivazione di eventuali dinieghi e rispettare i termini previsti;
• per i lavoratori e gli ex-lavoratori è un diritto attivo quello di richiedere copia degli attestati e ottenere riscontro, e non una mera facoltà discrezionale del datore;
• dal punto di vista gestionale, le organizzazioni sono chiamate ad adottare procedure, policy e controlli interni per evitare sanzioni e garantire piena conformità;
• la formazione – e la relativa documentazione – non è solo questione di adempimento normativo, ma è altresì terreno di esercizio di un diritto fondamentale del lavoratore all'accessibilità e alla visibilità dei propri dati personali.

La P.A. e i responsabili delle risorse umane devono dunque considerare il tema in modo integrato: non solo come “documentazione formativa”, ma come “dato personale” che richiede attenzione, processo, diritto di accesso e responsabilizzazione.