Trasparenza retributiva e protezione dei dati: i profili privacy e GDPR del D.Lgs. n. 96/2026 di recepimento della direttiva (UE) 2023/970

Trasparenza retributiva e gdpr come limite

Il 6 giugno 2023 è entrata in vigore formale la direttiva (UE) 2023/970 “volta a rafforzare l'applicazione del principio della parità di retribuzione tra uomini e donne per uno stesso lavoro o per un lavoro di pari valore attraverso la trasparenza retributiva e i relativi meccanismi di applicazione”. Muovendo i propri passi dalla constatazione di una grave asimmetria informativa: senza conoscere quanto guadagnano i colleghi che svolgono lo stesso lavoro il lavoratore non può far valere il proprio diritto alla parità retributiva (riconosciuto dall’art. 157 del TFUE e dall'art. 23 della Carta dei diritti fondamentali dell'UE). La risposta normativa è di trasparenza: diritto di informazione individuale, obblighi di reporting sul divario di genere, valutazione congiunta delle retribuzioni. Trasparenza che aveva già improntato il precedente “Decreto Trasparenza” appunto, il dlgs. 104/2022, con cui non va confuso - seppur trasposizione della direttiva (UE) 2019/1152 che già operava per condizioni di lavoro trasparenti e prevedibili.

Quanto ora disciplinato dalla direttiva configura svariati trattamenti di dati personali – spesso del dato più delicato del rapporto, la retribuzione – e per questo il legislatore europeo ha fissato un limite espresso: il considerando 44 e l’art. 12 della direttiva ribadiscono (pleonasticamente) che ogni trattamento o pubblicazione di informazioni deve essere conforme al Regolamento (UE) 2016/679 (GDPR). Rectius: vanno soprattutto introdotte garanzie specifiche per impedire la divulgazione, diretta o indiretta, dei dati di un lavoratore identificabile - al contempo nulla osta a che il lavoratore divulghi volontariamente la propria retribuzione.

Il decreto italiano di recepimento (d.lgs. 7 maggio 2026, n. 96), in vigore e applicabile a sua volta dal 7 giugno 2026, traspone questa logica nel proprio art. 11, rubricato “Protezione dei dati”, a fungere da norma di chiusura dell’intero impianto.

La tensione strutturale tra trasparenza e riservatezza

L’art. 7 della norma nazionale riconosce al lavoratore il diritto di ottenere dal proprio datore di lavoro, una volta l’anno, le informazioni sui livelli retributivi medi - ripartiti per sesso - delle categorie che svolgono lo stesso lavoro o un lavoro di pari valore. Il punto di equilibrio è affidato a due regole speculari: da un lato il comma 6 sancisce che al lavoratore non può essere impedito di rendere nota la propria retribuzione, vietando le clausole di riservatezza salariale: è l’autodeterminazione informativa del singolo sui dati che lo riguardano. Dall’altro il comma 7 stabilisce che le informazioni diverse dalla propria retribuzione sono utilizzabili solo per esercitare il diritto alla parità e non possono determinare la conoscibilità, diretta o indiretta, delle condizioni economiche altrui. È la traduzione operativa del principio di trasparenza sul dato aggregato, oltre che della riservatezza sul dato individuale.

Il problema pratico è che un dato di “media” può cessare di essere anonimo quando la categoria di lavoratori da cui è stato ricavato è ristretta. Se in una categoria vi sono due sole persone, e un’unica donna, la media “per sesso” rivela di fatto la retribuzione della singola donna: è il classico rischio della k-anonymity, ovvero il rischio di re-identificazione dell'interessato o violazione della privacy per singolarizzazione.

Il Garante, nel proprio parere del 26 marzo 2026 sullo schema di decreto legislativo di recepimento della direttiva (UE) 2023/970 (GPDP, provv. 26 marzo 2026, n. 195 [doc. web n. 10242702]), ha colto con precisione il punto, osservando che - nelle organizzazioni con pochi dipendenti per categoria - l’informazione di cui all’art. 7 può comportare l’identificazione, sia pure indiretta, delle condizioni economiche dei singoli. Il decreto vi fa fronte in modo solo parziale: l’art. 7, comma 8, per i datori fino a 49 dipendenti rinvia a un decreto ministeriale le modalità di esposizione dei dati idonee a evitare la re-identificazione. Mentre le soglie del reporting (obbligo dai 100 dipendenti, con cadenze e termini diversi per le fasce 100-149, 150-249 e oltre 250) governano solo la frequenza della comunicazione, non già il grado di disaggregazione. La tutela contro la re-identificazione, conseguentemente, dipende tecnicamente dai livelli di aggregazione che la fonte regolatoria secondaria dovrà fissare – e che il Garante chiede siano espressamente disciplinati.

Il perimetro degli obblighi per dimensione: dalle pmi ai grandi datori

Il decreto modula gli obblighi dei datori di lavoro su quattro soglie dimensionali – 50, 100, 150 e 250 dipendenti – il cui computo opera per singola entità giuridica e non a livello di gruppo: ogni società va perciò valutata in funzione del proprio organico. La soglia non è, sul piano della protezione dei dati, un dato neutro, perché a dimensioni minori corrispondono categorie di lavoratori più ristrette e, dunque, un rischio di re-identificazione più elevato, come già cennato.

Un primo nucleo di adempimenti grava su tutti i datori, qualunque sia la dimensione, con efficacia immediata dal 7 giugno 2026 e senza periodo transitorio: l’indicazione della retribuzione iniziale o della relativa fascia negli annunci e comunque prima del colloquio (art. 5, comma 1); il divieto di chiedere al candidato lo storico retributivo, anche per il tramite di selezionatori esterni (art. 5, comma 2); il divieto di clausole di segretezza salariale e la speculare facoltà del lavoratore di divulgare la propria retribuzione (art. 7, comma 6); nonché l’accessibilità dei criteri di determinazione della retribuzione e il diritto del singolo di ottenere - una volta l’anno e con risposta entro due mesi - i livelli retributivi medi ripartiti per sesso (art. 7). Sono questi gli adempimenti che il titolare del trattamento dovrebbe presidiare sin d’ora, a prescindere dal numero di dipendenti.

Le soglie introducono poi obblighi crescenti. Dai 50 dipendenti si aggiunge l’onere di rendere accessibili anche i criteri di progressione economica (art. 6), dal quale i datori sotto tale soglia restano esonerati; per i datori con più di 50 dipendenti resta inoltre fermo il preesistente rapporto biennale sulla situazione del personale maschile e femminile (art. 46 d.lgs. n. 198/2006), e che continua ad applicarsi accanto alla nuova disciplina. Solo dai 100 dipendenti scatta, invece, l’obbligo più strutturato, e più delicato sul piano dei dati, quello di comunicazione periodica del divario retributivo di genere (art. 9): divario medio e mediano, divari nelle componenti variabili, distribuzione per quartili retributivi e divario per categoria di lavoratori. I datori sotto i 100 dipendenti non vi sono tenuti, possono comunque comunicare i dati su base volontaria.

La prima comunicazione all’Ispettorato Nazionale del Lavoro è scaglionata per dimensione: i datori con almeno 250 dipendenti comunicano entro il 7 giugno 2027, con cadenza annuale; quelli da 150 a 249 dipendenti entro la stessa data, però con cadenza triennale; quelli da 100 a 149 dipendenti entro il 7 giugno 2031, anch’essi con cadenza triennale. All’estremo opposto, per i datori fino a 49 dipendenti – le micro e piccole imprese, dove il rischio di re-identificazione è massimo – le modalità di esposizione dei livelli medi ex art. 7 sono rinviate a un decreto ministeriale, sentito il Garante (artt. 7, comma 8, e 9, comma 4, lett. d). Nelle more l’obbligo può essere assolto pubblicando le informazioni aggregate nell’intranet o nell’area riservata del sito aziendale. La piccola dimensione - la direttiva la considera come ragione di alleggerimento del reporting - diventa paradossalmente così, in chiave privacy, la condizione che impone le cautele di aggregazione più stringenti.

Giova precisare en passant che la normativa in parola è applicabile anche ai candidati a posti di lavoro, in forza di un'espressa previsione della direttiva stessa (circa le tutele pre-assuntive per la trasparenza in fase di reclutamento), oltre che dell’art. 2 della normativa italiana. D’altro canto il decreto italiano esclude espressamente dall'applicazione i collaboratori coordinati e continuativi (co.co.co.), i lavoratori domestici e i lavoratori intermittenti (a chiamata), focalizzandosi su tutti i lavoratori subordinati (a tempo pieno o parziale, pubblici o privati).

Dati sui congedi, categorie particolari e discriminazione intersezionale

Un profilo spesso sottovalutato riguarda la natura dei dati. La valutazione congiunta delle retribuzioni (art. 10) impone di analizzare, tra l’altro, la percentuale di lavoratrici e lavoratori che hanno beneficiato di miglioramenti retributivi al rientro dal congedo di maternità, paternità, parentale o per assistenza.

Da simili informazioni potrebbero inferirsi o comunque evincersi, anche indirettamente, dati riconducibili alle categorie particolari dell’art. 9 GDPR (per es. lo stato di salute), come pure profili attinenti alla vita familiare. Il Garante ha perciò richiesto sia cautele rafforzate – come cifratura e conservazione separata dei tipi di dati – sia che ai rappresentanti sindacali siano di regola comunicati dati numerici o aggregati, limitando la trasmissione di dati individuali ai casi espressamente previsti e realmente necessari.

A ciò si aggiunge la nuova nozione di “discriminazione intersezionale” (art. 3): l’incrocio del genere con fattori quali origine etnica, religione, disabilità, età o orientamento sessuale moltiplica la sensibilità dei dati potenzialmente coinvolti e impone una valutazione dei rischi (anche inferenziali) più attenta.

I flussi verso i soggetti pubblici e il dato “senza restrizioni”

La direttiva (considerando 40) consente agli Stati di ricavare le informazioni incrociando dati già in possesso delle amministrazioni. Il decreto segue questa strada: l’art. 9, comma 4, demanda a decreti ministeriali la raccolta dei dati anche tramite l’acquisizione delle informazioni di INPS, INAIL e INL e di altri soggetti istituzionali, in una chiave di interoperabilità. Si tratta di un trattamento necessariamente su larga scala che, per il Garante, non può che imporre una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR, oltre alla puntuale definizione delle misure di sicurezza, dei tipi di dati e dei soggetti coinvolti. Vi è poi un nodo delicato nell’art. 11, comma 2: dopo aver (correttamente) riservato l’accesso ai dati identificativi a rappresentanti, Ispettorato e organismi per la parità, l’ultimo periodo dispone che, per le finalità di monitoraggio, le informazioni siano rese disponibili “senza restrizioni”. Per evitare un cortocircuito con i principi privacy di minimizzazione e finalità, il Garante ha però posto come condizione l’anonimizzazione effettiva di tali dati e la disciplina di pubblicazione, accessibilità e tempi di conservazione dei dati gestiti dall’organismo di monitoraggio (art. 14).

Il decreto introduce anche una regola di minimizzazione “a monte”, nella fase di accesso al lavoro. L’art. 5, comma 2, difatti vieta di chiedere al candidato informazioni sulle retribuzioni percepite negli attuali o precedenti rapporti, e impedisce di acquisirle indirettamente, anche per il tramite dei selezionatori esterni. È una tipica espressione della privacy by design e by default (art. 25 GDPR): il dato sullo storico salariale, non necessario alla valutazione del candidato e idoneo a perpetuare divari, semplicemente non deve entrare nel trattamento di dati personali. Specularmente, l’art. 5, comma 1, impone di indicare già nell’annuncio la retribuzione iniziale o la relativa fascia, su criteri neutri sotto il profilo del genere.

Cosa è già vigente e cosa attende i decreti attuativi

Il Garante aveva peraltro espresso parere favorevole al decreto italiano con cinque condizioni (art. 36, par. 4, GDPR),da leggere come la mappa dei profili ancora aperti: (a) sottoporre al Garante il futuro regolamento attuativo dell’art. 9, comma 3, estendendone il contenuto ad adeguati livelli di aggregazione dei dati lavorativi; (b) effettuare la DPIA per l’interconnessione delle banche dati istituzionali; (c) comunicare ai sindacati, di regola, dati aggregati, con dati individuali solo nei casi valutati come necessari; (d) fissare i tempi massimi di conservazione; (e) garantire l’anonimizzazione e le misure tecniche dei dati gestiti dall’organismo di monitoraggio. Il dato sistematico è evidente: il decreto fissa l’architettura, gran parte delle garanzie sostanziali è rinviata alla fonte secondaria, da adottare entro novanta giorni dall’entrata in vigore e “sentito il Garante” (art. 9, comma 4). Fino ad allora, il titolare del trattamento dovrà operare in un quadro ancora incompleto.

Sul piano temporale conviene tenere distinto ciò che è già operativo da ciò che resta sospeso. Sono immediatamente vigenti dal 7 giugno 2026, senza periodo transitorio, gli obblighi della fase di selezione (art. 5), la nullità delle clausole di segretezza salariale e la facoltà di divulgazione (art. 7, comma 6), l’accessibilità dei criteri retributivi (art. 6) e il diritto individuale all’informazione annuale (art. 7), oltre al regime di tutele: inversione dell’onere della prova, protezione contro le ritorsioni e rinvio sanzionatorio al Codice delle pari opportunità (d.lgs. 198/2006). Per questi profili il titolare dovrebbe già oggi aggiornare l’informativa privacy e le pertinenti procedure interne, come la policy sulla conservazione dei dati personali.

Resta invece sospeso, in attesa della fonte secondaria, proprio ciò che incide più direttamente sulle garanzie di protezione dei dati: le modalità operative di raccolta e trattamento dei dati per il reporting ex art. 9 e i relativi livelli di aggregazione, attese entro circa novanta giorni dall’entrata in vigore – quindi entro l’inizio di settembre 2026 – e da adottare “sentito il Garante”; le modalità di esposizione dei dati per i datori fino a 49 dipendenti (artt. 7, comma 8, e 9, comma 4, lett. d); l’acquisizione e l’interoperabilità dei dati di INPS, INAIL e INL (art. 9, comma 4), che presuppone la DPIA richiesta dal Garante; nonché gli atti di indirizzo sulla nozione di “lavoro di pari valore” e la disciplina di composizione e funzionamento dell’organismo di monitoraggio (art. 14), attesi su un orizzonte più ampio, nell’ordine dei 180 giorni, entro la fine del 2026.

Alla data odierna tali decreti non risultano ancora adottati. Per le imprese dai 100 dipendenti, peraltro, la prima comunicazione non scade prima del 7 giugno 2027: il differimento incide perciò soprattutto sulla certezza dei livelli di aggregazione, non tanto sull’adempimento in sé. Si conferma così il dato sistematico già segnalato: gli obblighi vigenti presidiano la trasparenza, ma le garanzie che impediscono alla trasparenza di tradursi in esposizione dei singoli – aggregazione, anonimizzazione, tempi di conservazione, DPIA – vivranno davvero nei decreti attuativi. Fino alla loro adozione il titolare opera in un quadro incompleto e deve colmarlo in via prudenziale, applicando cum grano salis i principi del GDPR e le cinque condizioni poste dal Garante.

In conclusione

La trasparenza retributiva non è nemica della riservatezza e protezione dei dati, le due esigenze vanno tenute in equilibrio con metodo. Il d.lgs. n. 96/2026 ha recepito correttamente il principio-cardine – trasparenza sull’aggregato, riservatezza sull’individuo – affidando la parte più delicata, quella che decide se un dato “medio” resti davvero anonimo, a decreti attuativi ancora da emanare. Per il professionista e per il titolare del trattamento la lettura del decreto va perciò integrata con le condizioni del Garante e tradotta in adempimenti concreti: aggiornare le informative ex artt. 13-14 GDPR e d.lgs. 104/2022, mappare le “categorie di lavoratori” evitando aggregazioni che espongano i singoli, predisporre la DPIA per i flussi dati verso gli enti della P.A., definire tempi di conservazione e misure di sicurezza (cifratura, conservazione separata per i dati sui congedi) adeguati al rischio, governare gli accessi dei rappresentanti dei lavoratori su base aggregata. La parità retributiva, in altri termini, si conquista con una buona data governance quale condizione perché la trasparenza non si trasformi in indebita esposizione e frustri la ratio della normativa appena varata.