Il 24 febbraio 2026 il Garante per la protezione dei dati personali è intervenuto nei confronti di Amazon Italia Logistica, bloccando un trattamento di dati che riguardava note su salute, scioperi, vita privata e familiare dei lavoratori dentro un flusso HR collegato alle assenze. Il punto da leggere bene non è solo il nome dell’azienda. È il meccanismo. (comunicato ufficiale sul caso Amazon Italia Logistica del 24 febbraio 2026)
In 20 secondi
- Cosa è successo: il Garante ha vietato ad Amazon Italia Logistica il trattamento di note su salute, scioperi, attività sindacale, vita privata e familiare dei lavoratori.
- Perché conta: il problema non è solo Amazon, ma ogni flusso HR con campi liberi, accessi larghi e retention senza confini.
- Cosa controllare subito: cosa si può scrivere, chi può vedere il dato e quando deve sparire.
- Cosa non fare: trasformare colloqui di rientro e note operative in una scheda reputazionale del lavoratore.
In questa pagina separiamo i fatti accertati dal provvedimento del Garante dalle implicazioni operative per chi gestisce assenze, presenze e flussi HR.
Questa news è aggiornata al 20 aprile 2026 e ha taglio operativo. Non sostituisce il parere del legale privacy o del consulente sul caso concreto.
Cosa è successo davvero
Fatto accertato
Secondo il provvedimento n. 107 del 24 febbraio 2026, la piattaforma usata da Amazon era collegata al sistema di rilevazione presenze e segnalava ai manager la necessità di effettuare colloqui con i dipendenti dopo periodi di assenza o al verificarsi di determinati eventi.
Per alcune conversazioni la segnalazione era generata anche tramite il cosiddetto “Bradford Factor”, un algoritmo che attribuisce punteggi più alti alle assenze brevi e frequenti. I manager potevano poi inserire annotazioni sintetiche in un campo libero della scheda individuale del lavoratore.
Nelle note il Garante ha rilevato riferimenti a patologie specifiche, scioperi, attività sindacale, giudizi sull’uso delle assenze, dettagli familiari e aspetti della vita privata. Il provvedimento segnala inoltre retention molto lunga e accessi estesi a numerosi manager e ad alcuni profili tecnici.
Lettura operativa
Il problema non è “aver parlato con il dipendente” o “aver gestito un rientro da assenza”. Il problema nasce quando il flusso operativo si allarga e permette di scrivere troppo, far leggere troppo e conservare troppo.
| Punto del caso | Cosa ha rilevato il Garante | Controllo da fare subito |
|---|---|---|
| Campo note libero | Dentro finivano salute, scioperi, famiglia e giudizi | Sostituire le note aperte con causali chiuse e dati minimi |
| Accessi estesi | Visibilità ampia a manager e profili tecnici | Ridurre i permessi al solo ruolo che deve agire |
| Retention lunga | Le note restavano consultabili troppo a lungo | Definire scadenze di cancellazione o oscuramento |
Perché questa notizia riguarda anche chi non è Amazon
Fatto accertato
Nel doc. web 10224096 il Garante richiama il principio per cui, nel rapporto di lavoro, il datore non può raccogliere o trattare informazioni non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore, oltre ai principi di liceità, minimizzazione e limitazione della conservazione previsti dal GDPR.
Lettura operativa
Questo riguarda ogni azienda che collega assenze, colloqui di rientro, campi liberi e accessi troppo ampi nello stesso processo. Non serve avere migliaia di dipendenti per replicare lo stesso errore. Basta un gestionale HR, una piattaforma presenze o un flusso interno dove le note diventano un deposito di contesto personale.
I 5 errori operativi che il caso mette in luce
1. Usare i campi liberi come discarica informativa
Il campo libero è quasi sempre il punto in cui il processo crolla. All’inizio sembra utile perché “così il manager si ricorda il contesto”. Poi dentro ci finisce di tutto: salute, famiglia, giudizi, supposizioni, informazioni che non servono a chiudere l’evento operativo.
2. Mescolare gestione assenze e giudizio sul lavoratore
Se il colloquio di rientro smette di servire a chiudere un passaggio operativo e diventa un modo per classificare il comportamento della persona, il rischio sale subito. Non stai più gestendo un’assenza. Stai costruendo una memoria reputazionale.
3. Tenere i dati troppo a lungo
Se annoti qualcosa oggi e la ritrovi accessibile per anni, non stai più trattando un evento operativo. Stai costruendo uno storico personale del lavoratore.
4. Allargare troppo gli accessi
Un dato sbagliato visto da una persona è già un problema. Visto da molti profili diversi diventa un problema sistemico. Se ruoli, bisogno operativo e visibilità non coincidono, la piattaforma smette di aiutare il processo e inizia a moltiplicare il rischio.
5. Pensare che basti chiamarle “note manageriali”
Cambiare il nome non cambia la sostanza. Se dentro quelle note finiscono salute, vita privata, scioperi o contesto personale non necessario, non sei davanti a un semplice appunto organizzativo.
Cosa fare invece nel processo di rientro da assenza
Un flusso corretto non ha bisogno di note narrative sul lavoratore. Ha bisogno di pochi dati chiari, ruoli ben separati e scadenze definite.
Struttura minima corretta
| Punto da progettare | Regola minima |
|---|---|
| Dato registrato | Solo il dato operativo necessario |
| Modalità di inserimento | Causali chiuse, non campi liberi |
| Contenuti esclusi | Niente salute, famiglia, opinioni o attività sindacale |
| Visibilità | Solo al ruolo che deve agire |
| Durata | Data di eliminazione o non consultabilità definita |
Esempio pratico
| Serve | Non serve |
|---|---|
| assenza registrata | diagnosi |
| stato della richiesta | dettagli familiari |
| eventuale necessità di copertura o sostituzione | giudizi sul comportamento |
| esito amministrativo del flusso | note reputazionali o contesto personale non necessario |
Cosa dovrebbe controllare subito un’azienda
Se oggi usi un sistema HR o un gestionale presenze, la domanda utile non è “noi facciamo le stesse cose di Amazon?”.
La domanda utile è più scomoda: quali dati stiamo permettendo di scrivere, vedere e conservare senza un perimetro reale?
Controlla subito almeno questi punti:
- esistono campi liberi in cui si possono annotare salute, famiglia, scioperi, sindacato o dettagli personali;
- il flusso di rientro genera note permanenti invece di chiudersi sull’evento operativo necessario;
- le regole di retention sono troppo lunghe o mai riviste;
- i permessi di accesso sono più ampi del necessario;
- nessuno ha definito per iscritto cosa si può annotare e cosa no.
Se stai rivedendo il processo, i riferimenti più coerenti per andare oltre la notizia sono Sicurezza & GDPR e la checklist policy presenze.
La lezione pratica
Il problema non nasce quando un manager scrive una nota.
Nasce quando il sistema gli permette di scrivere troppo, farlo vedere a troppi e tenerlo troppo a lungo.
Fonti ufficiali
Dopo l’audit
Porta assenze, richieste e visibilità in un flusso tracciabile
Quando il processo è chiaro, il punto non è raccogliere più note. È far circolare meno dati inutili, con ruoli chiari e visibilità controllata.