Sicurezza dei dati HR in cloud: guida pratica per le PMI

Un software HR in cloud custodisce i dati più delicati della tua azienda: certificati di malattia, IBAN, cedolini, posizione al momento della timbratura, segnalazioni di whistleblowing. La sicurezza di questi dati in un servizio SaaS dipende da tre cose: le garanzie tecniche del fornitore, il contratto che vi lega e le regole che tu, come datore di lavoro, decidi di applicare. In questa guida trovi cosa chiedere al fornitore, quali certificazioni contano davvero, dove il Garante Privacy ha già sanzionato e quali impostazioni restano a carico tuo.

TL;DR

• Con un software HR SaaS tu resti titolare del trattamento, il fornitore è responsabile: la responsabilità è condivisa, non delegata.
• Le certificazioni da chiedere sono quelle che l’ACN usa come riferimento per i servizi cloud: ISO/IEC 27001 con 27017 e 27018, oppure CSA STAR Livello 2.
• La timbratura con GPS è il punto più sanzionato: registra la posizione solo all’atto della timbratura, mai in modo continuo.
• Le segnalazioni di whistleblowing vanno cancellate entro 5 anni dalla comunicazione dell’esito finale, separandole dagli eventuali atti disciplinari.
• Prima di firmare, usa la checklist di 10 domande più sotto e verifica le risposte per iscritto.

Indice

• Perché i dati del personale sono una categoria a parte
• Chi risponde di cosa: titolare e responsabile del trattamento
• Le certificazioni che contano davvero
• Geolocalizzazione e timbrature: dove si gioca la conformità
• Whistleblowing: riservatezza e tempi di conservazione
• Checklist: 10 domande da fare al fornitore prima di firmare
• Cosa resta a carico tuo, anche con il miglior fornitore
• Il nostro punto di vista
• Come ti aiuta HRpro
• Domande frequenti
• Fonti

Perché i dati del personale sono una categoria a parte

Un CRM contiene nomi e indirizzi email. Un gestionale HR contiene molto di più, e spesso dati che il GDPR tratta con particolare cautela. Pensa a cosa passa ogni mese dal tuo ufficio del personale:

• Dati sanitari: giorni di malattia, infortuni, permessi per visite, informazioni su invalidità o legge 104.
• Dati economici: retribuzioni, IBAN, trattenute, pignoramenti, rimborsi spese.
• Dati di localizzazione: la posizione registrata quando un dipendente timbra dallo smartphone o in trasferta.
• Dati disciplinari: contestazioni, giustificazioni, provvedimenti.
• Segnalazioni: le comunicazioni del canale whistleblowing, dove la riservatezza dell’identità del segnalante è un obbligo di legge.

Un accesso non autorizzato a questi dati non è solo un problema tecnico. Espone persone reali, i tuoi collaboratori, a danni concreti, ed espone l’azienda a sanzioni e a un danno di fiducia difficile da recuperare. Per questo la scelta di un software HR in cloud merita una valutazione più attenta di quella che riservi, ad esempio, a uno strumento di project management.

La buona notizia: un SaaS ben progettato è spesso più sicuro di un foglio Excel sul PC dell’amministrazione o di un server in ufficio senza aggiornamenti. Backup, cifratura, controllo degli accessi e registri delle attività sono gestiti in modo professionale.

Chi risponde di cosa: titolare e responsabile del trattamento

Quando adotti un software HR SaaS, i ruoli previsti dal GDPR sono chiari:

1. La tua azienda è il titolare del trattamento. Decidi quali dati raccogliere, per quali finalità e per quanto tempo conservarli.
2. Il fornitore SaaS è il responsabile del trattamento. Tratta i dati per tuo conto e solo secondo le tue istruzioni.

Il Comitato europeo per la protezione dei dati spiega nella sua guida per le piccole imprese su titolare e responsabile che questo rapporto va regolato con un contratto scritto: il responsabile agisce solo su istruzioni documentate, ti assiste in caso di violazione dei dati e ti permette di verificare che rispetti gli obblighi. Non è una formalità da archiviare: devi poter dimostrare di aver scelto un fornitore con garanzie sufficienti.

La responsabilità resta condivisa

Molte PMI pensano che, una volta in cloud, la sicurezza sia un problema del fornitore. Non è così. Il codice di condotta CISPE per i fornitori di infrastrutture cloud, pubblicato sul sito dell’EDPB, distingue con precisione: il fornitore protegge l’infrastruttura, il cliente decide quali dati inserire e per quanto tempo tenerli.

In pratica il fornitore ti dà gli strumenti, ma la configurazione è tua: chi vede i cedolini, chi approva le ferie, quando si cancellano i dati di un ex dipendente. Un fornitore che promette di “pensare a tutto” senza chiederti di definire alcuna regola è un segnale da approfondire, non una rassicurazione.

Cosa deve contenere l’accordo sul trattamento dei dati

L’accordo con il responsabile del trattamento (spesso chiamato DPA) dovrebbe indicare almeno:

• natura, finalità e durata del trattamento;
• categorie di dati e di interessati (dipendenti, collaboratori, candidati);
• misure di sicurezza tecniche e organizzative;
• elenco dei sub-responsabili, ad esempio il provider di hosting, e come vieni informato se cambiano;
• tempi e modalità di comunicazione in caso di violazione dei dati;
• restituzione o cancellazione dei dati alla fine del contratto.

Le stesse logiche valgono per chiunque tocchi i dati del personale, anche fuori dal software: un consulente esterno, uno sviluppatore che integra i sistemi, un professionista che lavora sui tuoi archivi. Se ti serve uno schema per impostare questi rapporti, questa guida su cosa scrivere in un contratto con un freelance per tutelarsi davvero aiuta a non dimenticare le clausole su riservatezza e dati.

Le certificazioni che contano davvero

“I nostri dati sono al sicuro” è una frase che non dimostra nulla. Le certificazioni, invece, sono verificate da terzi e puoi chiederne copia. Un riferimento utile, anche per un’azienda privata, è il quadro dell’Agenzia per la Cybersicurezza Nazionale.

Per la qualificazione dei servizi cloud di livello 1 (QC1) secondo le misure ACN è richiesta la certificazione ISO/IEC 27001 estesa con le linee guida ISO/IEC 27017 e 27018, oppure la certificazione CSA STAR di livello 2. La qualificazione ACN riguarda chi fornisce servizi alla pubblica amministrazione, ma gli stessi standard sono un ottimo metro per giudicare qualunque fornitore.

Quando un fornitore cita una certificazione, chiedi tre cose: il perimetro (copre il servizio che stai comprando o solo il data center?), la data di scadenza e l’ente certificatore. Se il software si appoggia a un provider di hosting certificato, la certificazione dell’hosting copre l’infrastruttura, non l’applicazione: entrambe contano.

Un’altra indicazione ACN utile per i software HR con app mobile: i dati salvati in locale sul dispositivo devono essere temporanei e trasferiti senza ritardo al sistema centrale, che resta l’archivio di riferimento. Tradotto: se l’app consente di timbrare anche senza rete, la timbratura deve sincronizzarsi appena possibile e non restare a lungo sullo smartphone del dipendente.

Geolocalizzazione e timbrature: dove si gioca la conformità

La timbratura da smartphone con verifica della posizione è comoda e riduce le timbrature fatte “per conto di un collega”. È anche il punto in cui il Garante Privacy è intervenuto più spesso.

Il principio è la minimizzazione (art. 5 GDPR): raccogli solo i dati necessari allo scopo. Lo scopo della timbratura è attestare che il dipendente ha iniziato o terminato il lavoro nel luogo previsto. Per farlo basta la posizione nel momento della timbratura, non il percorso della giornata.

Tre provvedimenti aiutano a capire il confine:

1. 2016. Il Garante ha esaminato in una verifica preliminare la localizzazione dei dipendenti tramite smartphone, un trattamento ammissibile solo con garanzie precise per i lavoratori.
2. Gennaio 2025. Con il provvedimento del 16 gennaio 2025 il Garante ha sanzionato con 50.000 € una società il cui sistema di geolocalizzazione, installato per tutela dei beni, sicurezza e organizzazione, registrava posizioni in modo continuo, anche durante le pause. Un controllo sproporzionato rispetto alle finalità dichiarate.
3. Maggio 2025. La newsletter del Garante dell’8 maggio 2025 riporta il caso di dipendenti in smart working a cui veniva chiesto di attivare la geolocalizzazione del pc, senza un’idonea base giuridica e con interferenze nella loro vita privata.

Il messaggio è coerente: la posizione legata all’atto della timbratura è difendibile, il tracciamento continuo no. Quando valuti un software, verifica che:

• la posizione venga rilevata solo al momento della timbratura;
• non esista una funzione di tracciamento in background attiva per impostazione predefinita;
• i dipendenti ricevano un’informativa chiara su cosa viene raccolto e perché;
• i dati di posizione abbiano un tempo di conservazione definito.

Ricorda anche che il controllo a distanza dei lavoratori in Italia segue regole proprie dello Statuto dei lavoratori, oltre al GDPR. Se pensi di usare la posizione per finalità diverse dalla rilevazione presenze, parlane prima con il tuo consulente del lavoro o con il DPO. Abbiamo approfondito il tema in timbratura GPS: è legale? Le regole per le PMI e in come timbrare con GPS senza errori.

Whistleblowing: riservatezza e tempi di conservazione

Il canale di segnalazione interno è il caso più delicato di tutti, perché la legge tutela l’identità di chi segnala. Nel suo parere sulle linee guida ANAC in materia di whistleblowing dell’ottobre 2025, il Garante indica di privilegiare le piattaforme informatiche, perché gli strumenti software consentono misure di sicurezza stringenti e una migliore tutela della riservatezza rispetto a email o cassette fisiche.

Due regole operative da conoscere:

• Conservazione massima 5 anni. La segnalazione e la documentazione collegata vanno cancellate non oltre 5 anni dalla comunicazione dell’esito finale della procedura.
• Separazione degli atti. Se dalla segnalazione nasce un procedimento disciplinare, quegli atti possono essere conservati secondo le regole del diritto del lavoro, ma non devono contenere l’identità del segnalante.

Un buon software deve quindi permetterti di tenere separati segnalazione e atti conseguenti, con accessi limitati al solo gestore del canale. Se stai impostando il canale da zero, parti da whistleblowing aziendale: obblighi e primi passi e chiarisci la differenza tra segnalazione anonima e riservata.

Checklist: 10 domande da fare al fornitore prima di firmare

Invia queste domande per iscritto e conserva le risposte: fanno parte della documentazione che dimostra la tua diligenza come titolare.

1. Dove sono ospitati i dati? In quale paese e presso quale provider di hosting.
2. Ci sono trasferimenti fuori dall’Unione europea? Se sì, su quale base giuridica.
3. Quali certificazioni avete? Perimetro, scadenza ed ente certificatore.
4. Mi fornite l’accordo sul trattamento dei dati? Con l’elenco aggiornato dei sub-responsabili.
5. Come sono cifrati i dati? Sia in transito sia a riposo.
6. Come si accede alla piattaforma? Autenticazione a più fattori, ruoli e permessi configurabili.
7. Esiste un registro degli accessi? Chi ha visto o modificato un cedolino, e quando.
8. Come gestite una violazione dei dati? Tempi di avviso e informazioni che ricevo per decidere se notificare al Garante.
9. Posso impostare i tempi di conservazione? Per presenze, posizione, documenti e segnalazioni.
10. Cosa succede ai dati se disdico? Formato di esportazione, tempi e conferma di cancellazione.

Se ti serve un supporto per la valutazione d’impatto (DPIA), chiedi anche se il fornitore mette a disposizione documentazione già pronta sulle misure di sicurezza. Per trattamenti come quelli HR, con dati sanitari e di posizione, la DPIA è spesso il passaggio che il titolare deve affrontare per primo.

Cosa resta a carico tuo, anche con il miglior fornitore

Il software più sicuro diventa vulnerabile se tutti in ufficio usano la stessa password. Queste misure organizzative dipendono da te:

• Ruoli minimi. Il capo reparto approva le ferie del suo team, non vede gli stipendi di tutta l’azienda.
• Uscite del personale. Disattiva subito l’accesso di chi lascia l’azienda, compresi gli amministratori.
• Autenticazione forte. Attiva l’autenticazione a più fattori per chi gestisce paghe e documenti.
• Tempi di conservazione. Decidi quanto tenere ogni categoria di dati e imposta le cancellazioni.
• Informativa ai dipendenti. Aggiornala quando attivi un modulo nuovo, ad esempio la timbratura con GPS.
• Meno file in giro. Evita di scaricare cedolini e report su chiavette o di inviarli per email: lasciali nella piattaforma, dove gli accessi sono tracciati.
• Consulente del lavoro. Definisci con lui cosa può vedere e come riceve i dati per l’elaborazione delle paghe.

Su quest’ultimo punto, scambiare file via email con lo studio paghe è una delle abitudini più rischiose. Ne parliamo in software payroll cloud per PMI: meno errori.

Il nostro punto di vista

Lavoriamo ogni giorno con titolari di PMI, uffici HR e consulenti del lavoro. La domanda che sentiamo più spesso non è “il cloud è sicuro?”, ma “come faccio a sapere chi vede cosa?”. Crediamo che la sicurezza dei dati HR parta proprio da qui: dalla chiarezza.

Per questo pensiamo che un software HR debba fare tre cose bene. Primo, raccogliere solo il necessario: la verifica GPS ha senso per confermare che una timbratura è corretta, non per sapere dove si trova un dipendente durante la giornata. Secondo, ridurre i passaggi manuali, perché ogni file esportato e inviato per email è un rischio in più: è uno dei motivi per cui generiamo tracciati compatibili con i software paghe italiani, così i dati arrivano al consulente in modo ordinato. Terzo, lasciare a te il controllo: puoi attivare o disattivare i singoli moduli in autonomia, e un modulo che non usi non raccoglie dati.

Un’ultima convinzione: la conformità non si compra, si costruisce. Il software giusto ti dà gli strumenti, ma le regole su ruoli e conservazione restano tue. Noi ti aiutiamo a impostarle, con la configurazione inclusa e senza costi di attivazione.

— Ufficio

Come ti aiuta HRpro

Con HRpro gestisci timbrature con verifica GPS, presenze, ferie, permessi, malattia e cedolini in un’unica app, accessibile dal telefono senza installazioni tradizionali e con una dashboard in tempo reale. Il canone base è di 50 € al mese, più una licenza da 3 a 5 € al mese per dipendente. Il modulo Whistleblowing costa da 25 a 45 € al mese e puoi attivarlo solo quando ti serve. Scopri tutti i moduli nella pagina prezzi di HRpro oppure parti dalle timbrature da smartphone con GPS con la prova gratuita.

Domande frequenti

Un software HR in cloud è conforme al GDPR?

Il software da solo non rende conforme l’azienda. La conformità dipende dal fornitore, che deve offrire garanzie e un accordo sul trattamento dei dati, e da te, che decidi finalità, accessi e tempi di conservazione. Scegli un fornitore che documenta le sue misure e configura la piattaforma secondo le tue regole.

Chi è responsabile se c’è una violazione dei dati dei dipendenti?

La tua azienda resta titolare del trattamento e deve valutare se notificare la violazione al Garante e, nei casi gravi, informare i dipendenti. Il fornitore, come responsabile, deve avvisarti senza ingiustificato ritardo e darti le informazioni necessarie. Per questo i tempi di avviso vanno scritti nel contratto.

Posso usare il GPS per controllare dove sono i dipendenti?

No, non in modo continuo. Il Garante ha sanzionato sistemi che registravano la posizione durante tutta la giornata, pause comprese. La posizione rilevata al momento della timbratura, con un’informativa chiara, è un’altra cosa: se pensi ad altri usi, confrontati prima con il tuo consulente del lavoro.

Per quanto tempo posso conservare le segnalazioni di whistleblowing?

Al massimo 5 anni dalla comunicazione dell’esito finale della procedura, secondo le indicazioni richiamate dal Garante nel 2025. Gli eventuali atti disciplinari che ne derivano seguono le regole del diritto del lavoro, ma non devono identificare il segnalante.

Fonti

• EDPB: titolare o responsabile del trattamento, guida per le piccole imprese
• Codice di condotta CISPE per i fornitori di infrastrutture cloud
• ACN: misure applicabili ai servizi cloud, livello 1
• Garante Privacy: verifica preliminare sulla localizzazione dei dipendenti tramite smartphone (2016)
• Garante Privacy: provvedimento del 16 gennaio 2025
• Garante Privacy: newsletter dell’8 maggio 2025
• Garante Privacy: parere sulle linee guida in materia di whistleblowing

Raccomandati

• Software payroll cloud per PMI: meno errori
• Guida archiviazione documenti HR per PMI
• Gestionale HR o software payroll per PMI
• Automazione HR: cosa automatizzare davvero in PMI