Il  Garante per la Protezione dei Dati Personali con il Provvedimento n. 571 dell’11 settembre 2025, ha stabilito che gli attestati di formazione in materia di sicurezza sul lavoro sono dati personali del lavoratore, e come tali devono essere garantiti all’interessato. 

 “Gli attestati di formazione contengono dati personali riferibili ai lavoratori, la cui disponibilità deve essere garantita all’interessato, anche successivamente alla cessazione del rapporto di lavoro”.

In particolare, l’Autorità rileva che: «Gli attestati di formazione e i relativi registri contengono dati personali riferibili ai lavoratori, la cui disponibilità deve essere garantita all’interessato, anche successivamente alla cessazione del rapporto di lavoro.» (Provv. n. 571/2025, Considerato n. 4)

«La conservazione della documentazione formativa esclusivamente in archivio aziendale, in assenza di idonee modalità di accesso e di rilascio al lavoratore, viola i principi di correttezza e trasparenza, nonché la finalità dichiarata del trattamento.» (Provv. n. 571/2025, Considerato n. 6)

  “La mancata consegna degli attestati o la loro conservazione esclusiva presso l’organizzazione costituisce una violazione dei principi di trasparenza, correttezza e limitazione della finalità (art. 5, par. 1, lett. a e b, GDPR).”

Alla luce del Provvedimento 571/2025, i soggetti titolari del trattamento devono:

• Rilasciare l’attestato in originale al lavoratore al termine del corso, con sottoscrizione per ricevuta.
• Conservare copia conforme nel fascicolo aziendale, specificando nell’informativa privacy la finalità e i tempi di conservazione.
• Garantire l’accesso successivo del lavoratore ai propri dati formativi, anche se non più in forza.
• Predisporre procedure di rilascio sicure, in formato cartaceo o digitale, che assicurino l’integrità del documento.
• Evitare il trattamento eccedente dei dati personali contenuti negli attestati, in linea con il principio di minimizzazione (art. 5, par. 1, lett. c GDPR).

In caso di mancata ottemperanza, il Garante può applicare le sanzioni amministrative pecuniarie di cui all’art. 83 GDPR (fino a 20 milioni di euro o al 4% del fatturato annuo mondiale).