L’attestato di formazione sulla sicurezza sul lavoro contiene dati personali riferiti al lavoratore e documenta un credito formativo nominale appartenente alla sua sfera personale. L’entrata in vigore del Nuovo Accordo Stato-Regioni del 17 aprile 2025 (ASR 59/2025) e il consolidamento degli orientamenti in materia di protezione dati — confermato dal Provvedimento n. 571/2025 del Garante per la Protezione dei Dati Personali — impongono a datori di lavoro, HR manager ed enti formatori di ridisegnare la gestione dei titoli formativi per ridurre i rischi di sanzione e contenzioso.
Il Quadro Normativo e la Svolta del Garante Privacy
Storicamente, l’articolo 37 del D.Lgs. 81/08 ha sofferto di una lacuna formale: pur sancendo il dovere di formazione, non ha previsto una sanzione contravvenzionale diretta per il datore di lavoro che omette di consegnare la copia fisica dell’attestato al dipendente. Questo ha favorito una prassi aziendale scorretta, basata talvolta sulla retention del documento anche in sede di dimissioni, licenziamento o vertenze economiche.
L‘Autorità Garante per la Protezione dei Dati Personali ha fornito un’importante conferma interpretativa con il Provvedimento n. 571/2025:
- Natura del dato (Art. 4 GDPR): L’attestato certifica il percorso individuale della persona e contiene dati personali riferiti al lavoratore. Rientra pertanto nell’ambito di applicazione della disciplina sulla protezione dei dati personali.
- Violazione del Diritto di Accesso (Art. 15 GDPR): Il titolare del trattamento che, a fronte di una richiesta di accesso, rifiuta o ritarda ingiustificatamente la messa a disposizione dei dati personali contenuti negli attestati può integrare una violazione degli articoli 12 e 15 del Regolamento UE 2016/679, esponendosi alle conseguenti misure correttive e sanzioni amministrative pecuniarie.
- Inopponibilità di ragioni estranee al diritto di accesso: Il Garante ha confermato che la circostanza che l’attività formativa sia stata svolta a cura e spese dell’azienda non esclude il diritto dell’interessato di accedere ai propri dati personali contenuti negli attestati.
Il punto è direttamente sostenuto dal Provvedimento n. 571/2025: nel caso esaminato, l’azienda aveva negato la consegna sostenendo che la formazione fosse stata svolta «a cura e spese dell’Azienda»; il Garante ha invece ricondotto la richiesta nell’esercizio del diritto di accesso e accertato la violazione degli artt. 5, 12 e 15 GDPR
Le Prescrizioni Tassative dell’Accordo Stato-Regioni 2025 (ASR 59/2025)
L’Accordo Stato-Regioni del 17 aprile 2025 (Rep. Atti n. 59/CSR) disciplina la tracciabilità della formazione e i ruoli procedurali:
- Parte I, Punto 6 (Rilascio dell’attestato): Il rilascio dell’attestato ai partecipanti grava sul Soggetto Formatore. Il documento deve contenere i requisiti minimi inderogabili (dati anagrafici, codice fiscale, normativa di riferimento, durata, modalità erogativa, data e luogo) e recare la firma del Legale Rappresentante del soggetto formatore o di suoi incaricati, preferibilmente in formato digitale.
- Parte I, Punto 7 (Fascicolo del Corso): Il Soggetto Formatore ha l’obbligo di istituire, custodire e archiviare il Fascicolo del Corso (comprensivo di dati anagrafici dei partecipanti, registro presenze, elenco dei docenti, progetto formativo, programma del corso e verbale di verifica finale) per un periodo minimo di 10 anni. È inoltre opportuno conservare evidenza dell’effettivo rilascio o messa a disposizione degli attestati ai fini della tracciabilità documentale.
Queste modifiche riallineano il testo all’Accordo ufficiale: il punto 6 stabilisce che l’attestato «deve essere rilasciato dal soggetto formatore» e ammette la firma del legale rappresentante o suoi incaricati; il punto 7 elenca invece tassativamente i documenti del fascicolo senza comprendere, tra gli elementi obbligatori, la prova del rilascio.
Il Cortocircuito Operativo B2B
Nelle dinamiche B2B, il Soggetto Formatore invia cumulativamente gli attestati al Datore di Lavoro (committente del servizio). Se l’azienda archivia i documenti nel fascicolo societario senza consegnarne copia al dipendente, la catena di custodia si interrompe.
Alla risoluzione del rapporto di lavoro, il dipendente sprovvisto del proprio attestato finisce per adire le vie legali o rivolgersi direttamente al centro di formazione, contestando la mancata attuazione dell’ASR 2025 e l’ostruzione dell’esercizio dei diritti GDPR.
Soluzioni Operative a Confronto per l’Adempimento dell’Obbligo di Consegna
Per superare il cortocircuito tra l’obbligo di rilascio in capo al Soggetto Formatore e la necessità di assicurare la disponibilità dell’attestato al lavoratore, le aziende devono strutturare processi tracciabili e privi di colli di bottiglia. L’obiettivo è garantire la disponibilità dell’attestato al dipendente, riducendo il rischio di contestazioni legali o sanzioni. L’analisi dei flussi documentali evidenzia tre strategie operative principali, ciascuna con precisi impatti su costi, tempi e tenuta giuridico-probatoria.
Opzione A: Gestione Cartacea Manuale (Verbale di Consegna autografo)
Prevede la stampa dell’attestato, la consegna fisica al dipendente e la contestuale sottoscrizione di un verbale di ricevuta da archiviare nel fascicolo personale.
- Vantaggi: Valore probatorio tradizionale immediato; nessun costo di infrastruttura software.
- Svantaggi e Limiti: Elevatissimo impatto burocratico e rischio di smarrimento dei verbali. Difficilmente applicabile su volumi medio-alti, personale in smart working, cantieristica dispersa o alta turnazione.
- Condizioni di convenienza: Indicato per micro-imprese fisiche (fino a 5-10 dipendenti) con personale interamente in presenza.
Opzione B: Trasmissione PEC/E-mail con Clausola di Responsabilità
L’ente formatore trasmette gli attestati via e-mail/PEC all’azienda inserendo una nota relativa alla successiva gestione documentale. L’azienda rigira la comunicazione al dipendente richiedendone riscontro.
- Vantaggi: Costi tecnologici azzerati, velocità di trasmissione e formalizzazione immediata dei passaggi documentali tra ente formatore e datore di lavoro.
- Svantaggi e Limiti: Se l’azienda cliente non formalizza il passaggio finale con il dipendente (es. mancata conferma di lettura o ricevuta), la prova dell’effettiva messa a disposizione nei confronti del lavoratore può rimanere incompleta.
- Condizioni di convenienza: Efficace nei rapporti B2B per regolare i confini operativi e documentali, a patto che l’azienda applichi rigidi protocolli interni di tracciamento e-mail.
Opzione C: Piattaforma Digitale LMS con Download Loggato
L’attestato con firma digitale viene caricato in un’area riservata accessibile dal lavoratore. Il sistema traccia e registra in automatico ogni operazione di accesso e download.
- Vantaggi: Consegna diretta e automatizzata; generazione di un registro di log (data, ora, IP, utente) utilizzabile quale evidenza informatica dell’accesso e del download, purché adeguatamente configurato, conservato e riconducibile all’utente; riduzione dei tempi di gestione manuale; agevolazione della compliance ASR 2025 e GDPR.
- Svantaggi e Limiti: Richiede un’infrastruttura software e la presenza di credenziali/accesso digitale per ciascun discente, nonché una corretta gestione degli ulteriori trattamenti di dati personali connessi alla piattaforma e ai relativi log.
- Condizioni di convenienza: Scelta ideale per organizzazioni medie e grandi, aziende con personale distribuito, enti di formazione ad alto volume o erogatori di formazione e-learning e blended.
Come gestire gli attestati di formazione?
La corretta gestione degli attestati di formazione non è solo un adempimento documentale, ma un elemento concreto di compliance HSE e privacy. Definire un processo chiaro, tracciabile e coerente con l’Accordo Stato-Regioni 2025 e con i diritti previsti dal GDPR consente di ridurre contestazioni, inefficienze e rischi sanzionatori, garantendo al tempo stesso al lavoratore la disponibilità della propria documentazione formativa.
