Da giugno la domanda arriva sempre uguale, e quasi sempre con la stessa faccia preoccupata: «adesso un dipendente può chiedermi quanto guadagna il collega?». La risposta breve è no. La risposta utile è più lunga, perché il decreto legislativo 7 maggio 2026, n. 96, pubblicato in Gazzetta il 1° giugno e in vigore dal 7 giugno, un diritto nuovo lo dà davvero, e quel diritto si ferma esattamente sulla soglia della riservatezza degli altri. Il problema è che la soglia non è segnata da un cartello: bisogna calcolarla, azienda per azienda, categoria per categoria.

Il decreto recepisce la direttiva (UE) 2023/970 sulla trasparenza retributiva. La finalità è combattere il divario retributivo di genere, non aprire gli archivi delle buste paga. Ma nel passaggio dalla finalità alla pratica si apre un varco in cui è facilissimo violare il GDPR credendo di stare rispettando una legge sul lavoro. È il motivo per cui vale la pena entrare nel dettaglio, con l’avvertenza che qui non sto scrivendo da consulente del lavoro: sto guardando la norma con gli occhi di chi fa il DPO.

Cosa dà davvero l’articolo 7

Conviene leggerlo comma per comma, perché ogni comma sposta un pezzo del bilanciamento.

Il comma 1 riconosce al lavoratore il diritto di richiedere e ricevere per iscritto, entro due mesi dalla richiesta, le informazioni sui livelli retributivi medi, ripartiti per sesso, delle categorie di lavoratori che svolgono lo stesso lavoro o un lavoro di pari valore. Il diritto si esercita non più di una volta all’anno, direttamente o tramite i rappresentanti dei lavoratori o gli organismi per la parità, su specifica delega. Tre parole fanno tutto il lavoro: medi, per sesso, categorie. Nessuna delle tre significa «di Mario Rossi».

Il comma 2 offre una scorciatoia che molti sottovalutano: il datore può assolvere l’obbligo pubblicando quelle informazioni nella intranet o nell’area riservata del sito aziendale. Comodo. Vedremo più avanti perché, secondo me, è anche l’opzione più pericolosa fra quelle che il legislatore mette a disposizione.

Il comma 4 introduce un obbligo attivo che in molte aziende è già scaduto senza che nessuno se ne accorgesse: i datori di lavoro informano annualmente tutti i lavoratori del loro diritto a ricevere queste informazioni e delle modalità per esercitarlo. Non è una risposta a una richiesta: è una comunicazione che parte da sola, ogni anno, verso tutti. Se non l’hai mai fatta sei già inadempiente su questo punto, indipendentemente dal fatto che qualcuno abbia chiesto qualcosa.

Il comma 5 dà al lavoratore il diritto di chiedere chiarimenti se le informazioni ricevute sono imprecise o incomplete, e impone che la risposta sia motivata. Tradotto: non basta mandare una tabella e considerare chiusa la pratica. Se la tabella non si capisce il ciclo riparte, e stavolta con l’onere di spiegare.

L’asimmetria che quasi nessuno nota

I commi 6 e 7 sono le due facce della stessa medaglia, e messi vicini spiegano tutto l’impianto.

Il comma 6 stabilisce che al lavoratore non può essere impedito di rendere nota la propria retribuzione, e dichiara vietate le clausole contrattuali che limitano questa facoltà. È una novità che tocca moltissimi contratti italiani, dove la riservatezza salariale è una clausola di prassi, copiata di modello in modello per anni. Quelle clausole oggi sono nulle e vanno tolte. Se il tuo contratto tipo contiene un divieto di divulgare il proprio trattamento economico, hai una revisione da fare, e non è opzionale.

Il comma 7 chiude dall’altra parte, con una formula che vale la pena rileggere due volte: le informazioni diverse da quelle sulla propria retribuzione sono utilizzabili esclusivamente ai fini dell’esercizio del diritto alla parità retributiva e non possono determinare la conoscibilità diretta o indiretta delle condizioni economiche individuali di altri lavoratori.

Ecco l’asimmetria: la mia retribuzione è mia e posso dirla a chi voglio; quella del collega non lo è, e il decreto me la nega anche per via indiretta. La parola «indiretta» è quella che sposta il baricentro dal diritto del lavoro alla protezione dei dati, e che trasforma un adempimento HR in un problema di calcolo.

Il bilanciamento, visto da un DPO

Qui esprimo un’opinione, e la esprimo netta perché credo sia il punto centrale di tutta la norma.

La stragrande maggioranza dei diritti che maneggiamo ogni giorno nel GDPR è a due parti: c’è un interessato che chiede e un titolare che risponde, e il conflitto, quando c’è, sta fra questi due. L’accesso, la cancellazione, l’opposizione funzionano così. Il diritto dell’articolo 7 è invece un diritto a tre parti: c’è chi chiede, c’è chi risponde, e c’è un terzo che non ha chiesto niente, non è parte del procedimento, non viene informato che sta accadendo, e che è l’unico a pagare il prezzo se il bilanciamento viene sbagliato.

Questa figura, il collega la cui retribuzione può essere dedotta, non ha strumenti. Non riceve una notifica, non può opporsi, non sa nemmeno che una richiesta è stata presentata. Se l’azienda gli fa un danno, lo scopre per caso, di solito quando ormai lo hanno scoperto tutti. Nella mia esperienza questo è esattamente il tipo di trattamento in cui le organizzazioni si comportano peggio, non per cattiveria ma per una ragione strutturale: chi non protesta non viene considerato un rischio. E qui il soggetto a rischio non protesta perché non sa.

C’è poi una cosa che il legislatore europeo aveva previsto e che secondo me nel dibattito italiano è passata troppo sottotraccia. L’articolo 88 del GDPR consente agli Stati membri di dettare regole più specifiche per il trattamento dei dati nel contesto lavorativo, ma al paragrafo 2 pretende che quelle regole includano misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali. I commi 7 e 8 dell’articolo 7 sono esattamente quelle misure. Non sono un inciso prudenziale del legislatore italiano: sono la condizione a cui l’intera disciplina è ammessa. Chi li tratta come una raccomandazione sta fraintendendo la gerarchia.

Il mio giudizio complessivo sulla norma, allora, è positivo con una riserva precisa. È positivo perché il bilanciamento c’è, è scritto e sta nel posto giusto: al comma 7 come vincolo di finalità e al comma 8 come clausola tecnica di protezione. La riserva è che il legislatore ha enunciato il principio e ha lasciato all’azienda l’unica parte difficile, cioè il calcolo. Non esiste una numerosità minima. Non esiste una regola su come costruire le categorie in modo che le celle non si svuotino. Non esiste un divieto di ripubblicare serie storiche confrontabili. Tutte cose che una norma tecnica avrebbe potuto dire in tre righe, e che invece diventano una valutazione discrezionale che il titolare dovrà difendere davanti a un’autorità, a posteriori, con il senno di poi di chi il danno lo ha già visto.

Perché la media non è anonimizzazione

Qui casca la maggior parte delle aziende, e non per malafede: per un’intuizione sbagliata. L’intuizione è «se faccio la media, il dato non è più di nessuno». Non è così, e non è un’opinione: è aritmetica.

Il considerando 26 del GDPR dice che per stabilire se una persona è identificabile bisogna considerare tutti i mezzi ragionevolmente utilizzabili, dal titolare o da chiunque altro, per identificarla direttamente o indirettamente. Il punto non è se il nome compare nella tabella. Il punto è se chi legge la tabella, con quello che già sa, arriva alla persona. E in azienda si sa molto: si sa chi fa cosa, da quanto tempo, chi è stato assunto a marzo e chi se n’è andato a settembre.

Vale la pena fare i conti davvero, con numeri finti ma realistici, perché finché resta un discorso astratto nessuno ci crede.

I casi piccoli, uno per uno

Una sola persona di quel sesso nella categoria. È il caso più semplice e il più frequente. La «media femminile» di una categoria con una sola donna è lo stipendio di quella donna. Non è una stima, è il dato esatto, pubblicato in chiaro sotto l’etichetta rassicurante di «media». E non lo risolvi arrotondando: se pubblichi 28.000 invece di 28.400 hai comunicato lo stipendio di quella persona con un margine di poche centinaia di euro, che per capire quanto guadagna un collega è più che sufficiente. Nelle aziende sotto i cinquanta dipendenti questo non è il caso limite: è il caso normale. Pensa al responsabile qualità, al responsabile IT, al capo dell’amministrazione. Sono ruoli con una persona sola, e quella persona è identificata dalla categoria stessa, prima ancora che dal sesso.

Due persone dello stesso sesso, e chi chiede è una delle due. Questo è l’esempio da tenere a mente, perché è quello che le aziende considerano innocuo. Categoria «addetti amministrativi»: cinque persone, tre uomini e due donne. Comunichi la media femminile: 28.400 euro. Anna, che è una delle due e guadagna 26.800, fa un solo passaggio: 28.400 per due fa 56.800, meno 26.800 fa 30.000. Ha appena scoperto lo stipendio di Beatrice, al centesimo. Non ha violato niente, non ha forzato niente, ha solo letto la risposta che le hai mandato tu.

Due persone in tutto, un uomo e una donna. Peggio ancora, ed è la configurazione tipica dei piccoli reparti. Qui entrambe le medie sono medie di una persona sola. Non serve nemmeno fare un calcolo: chiunque riceva quella tabella, dentro o fuori dalla categoria, conosce lo stipendio di tutti e due. E in questo caso il danno è simmetrico: anche chi ha fatto la richiesta si è esposto, spesso senza rendersene conto.

Tre persone dello stesso sesso. Qui molti si rilassano, e sbagliano. Media femminile 29.000 su tre donne: il totale è 87.000. Anna sa di guadagnare 26.800, quindi ricava che le altre due, insieme, prendono 60.200, cioè 30.100 di media. Non è ancora il dato individuale, ma è una forchetta strettissima. E se sa che Beatrice è stata assunta da poco mentre Carla è lì da quindici anni, la forchetta si sbilancia da sola nella direzione giusta.

Il comma 6 lavora contro il comma 7

Riprendiamo l’esempio delle tre donne, perché qui c’è il passaggio che secondo me è il più sottovalutato dell’intera norma, e non l’ho visto quasi da nessuna parte.

Anna sa che Beatrice e Carla insieme fanno 60.200. Le manca un dato solo. E quel dato lo può ottenere legittimamente, perché il comma 6 stabilisce che nessuno può impedire a un lavoratore di rendere nota la propria retribuzione. Se Beatrice, in pausa caffè, le dice che guadagna 30.000, Anna ricava Carla per sottrazione: 30.200 esatti. Carla non ha parlato con nessuno, non sa nulla, e la sua retribuzione è di dominio pubblico.

La regola generale è brutale nella sua semplicità: in una categoria di n persone, bastano n meno uno che parlino spontaneamente perché la retribuzione dell’ultimo diventi calcolabile con precisione assoluta. E parlare spontaneamente non è un illecito da prevenire: è una libertà che la stessa legge protegge e che il datore di lavoro non può contrattualmente limitare.

Ne discende una conseguenza operativa che ci tengo a mettere per iscritto, perché ribalta il modo in cui la maggior parte delle aziende valuta il rischio. Non puoi contare sul fatto che i colleghi non si parlino. È la mitigazione implicita su cui tutti si appoggiano quando decidono che una cella da tre persone «tanto è aggregata», ed è una mitigazione che il legislatore ha esplicitamente rimosso al comma precedente. Quando fai la tua valutazione del rischio devi assumere che le retribuzioni note volontariamente circolino, perché possono farlo per legge. Sotto questa ipotesi, una soglia di tre persone per cella non protegge nessuno.

Gli attacchi che nessuno prova

Fin qui il caso statico. Ma la maggior parte delle informazioni si perde nel confronto fra due dati che, presi da soli, sembravano innocui.

Due fotografie a distanza di tempo. Categoria con quattro persone, media 31.000: il monte retributivo è 124.000. Sei mesi dopo la stessa categoria ha cinque persone e la media è 32.200, cioè 161.000. La retribuzione del nuovo arrivato è la differenza: 37.000 euro esatti. Vale identicamente per chi se ne va. E in azienda si sa benissimo chi è arrivato e chi è uscito.

La stessa fotografia, senza che entri o esca nessuno. Variante più sottile: la squadra resta di quattro persone e la media passa da 31.000 a 31.750. La differenza, 750 euro, moltiplicata per quattro dà 3.000 euro di aumenti complessivi in quel periodo. Se in quel semestre è stato promosso solo Marco, e in una squadra di quattro lo sanno tutti, hai appena comunicato l’importo esatto dell’aumento di Marco.

Due categorie che si contengono. È l’errore che si fa quando si accetta di rispondere «con un dettaglio un po’ diverso» a una seconda richiesta. Pubblichi «impiegati amministrativi», otto persone, media 30.500, cioè 244.000. Poi, per accontentare qualcuno, pubblichi «impiegati amministrativi senior», sette persone, media 31.000, cioè 217.000. La differenza fra i due monti, 27.000 euro, è lo stipendio dell’unico junior. Due tabelle entrambe «aggregate», e una persona identificata.

La soppressione che non sopprime. Questo è l’errore tecnico più comune quando si comincia a fare le cose bene. Hai tre sottogruppi, ti accorgi che il terzo ha due persone e decidi giustamente di non comunicarlo. Poi però pubblichi il totale della categoria e i primi due sottogruppi. Il terzo si ricava per differenza in un secondo. Se sopprimi una cella devi sopprimerne una seconda, oppure non pubblicare il totale. Chi lavora con i dati statistici la chiama soppressione secondaria, ed è la prima cosa che si impara: nascondere un numero in una tabella che quadra non serve a niente.

L’incrocio con i dati dell’articolo 9. Ricorda che, se superi i cento dipendenti, sei anche tenuto a comunicare la percentuale di donne e uomini in ogni quartile retributivo. In un’azienda di quaranta donne su centoventi persone, «il 5 per cento delle donne è nel quartile più alto» significa due donne. Quel numero, messo accanto alla media di categoria, restringe il campo in modo drammatico. Le due informazioni sono state prodotte da uffici diversi in momenti diversi, ed è precisamente per questo che nessuno le guarda insieme.

Messi in fila, questi attacchi dicono una cosa sola, ed è la ragione per cui torno alla scorciatoia del comma 2. La pubblicazione in intranet è, fra le modalità che il decreto consente, quella che espone di più: mette i dati davanti a tutti in modo stabile e confrontabile, li lascia lì mentre l’organico cambia sotto, e non lascia all’azienda nemmeno la possibilità di accorgersi di chi sta guardando cosa. Tutti i calcoli visti qui sopra richiedono due tabelle: la pubblicazione permanente le regala. Il legislatore l’ha offerta come semplificazione. Io, se mi chiedono un parere, la sconsiglio nelle organizzazioni piccole, e nelle grandi la ammetto solo con categorie ampie, una regola di soglia scritta e nessuna serie storica lasciata online: il dato dell’anno scorso si archivia, non si affianca a quello di quest’anno.

Dove metterei la soglia, e cosa rispondere quando non si può rispondere

A questo punto la domanda pratica è una sola: qual è il numero minimo di persone per cella? Il decreto non lo dice, quindi quello che segue è il mio parere, non una regola di legge.

Gli istituti statistici lavorano da decenni con soglie minime di tre o cinque unità. In questo contesto tre non basta, per il motivo visto sopra: bastano due colleghi che esercitino la libertà del comma 6 e il terzo è scoperto. Nella pratica parto da cinque persone per cella, dello stesso sesso, e la alzo quando il gruppo è omogeneo e le persone si conoscono bene, perché lì la conoscenza di contesto fa la parte del lavoro che l’aritmetica non fa. Non è un numero magico: è un punto di partenza che va motivato e scritto, e che in sede di verifica dovrai saper difendere. Quello che conta, più del numero, è che la soglia sia decisa prima, valga per tutti e non venga abbassata quando la richiesta arriva da qualcuno a cui è difficile dire di no.

E quando la cella è troppo piccola, cosa si risponde? Non «no» e basta, perché il diritto esiste e il silenzio è un inadempimento. Si risponde su tre livelli. Primo: si dà il dato al livello di aggregazione più fine che resta sicuro, che in una piccola impresa può voler dire l’intera azienda invece della singola mansione. Secondo: si motiva per iscritto perché non si scende oltre, richiamando il comma 7, che vieta la conoscibilità anche indiretta, e per chi sta sotto i cinquanta dipendenti il comma 8. Terzo: si documenta la valutazione fatta, perché quella motivazione è la tua prova di accountability, ed è anche ciò che ti protegge dall’accusa opposta, cioè di aver usato la privacy come scusa per non rispondere.

Su quest’ultimo punto voglio essere chiaro, perché il rischio di abuso esiste ed è speculare: la protezione dei dati non è un comodo paravento per nascondere un divario retributivo. Se le celle sono piccole ovunque e la risposta è sempre «non posso dirtelo», il sospetto che si stia coprendo qualcosa è legittimo, e un ispettore lo formulerà. La via d’uscita non è irrigidirsi: è aggregare verso l’alto fino a un livello che si possa comunicare davvero, e comunicarlo. Un dato aziendale complessivo, dato con chiarezza, dice molto di più di sei celle soppresse.

Minimizzazione: è qui che si gioca tutto

Se dovessi indicare un solo principio dell’articolo 5 su cui questa norma va letta, indicherei la minimizzazione. Ma vale la pena passarli in rassegna tutti, perché ognuno dice qualcosa di operativo.

Liceità. La base giuridica del trattamento interno è l’obbligo legale: è la legge a imporre il calcolo e la risposta. Ma attenzione, perché è il punto in cui vedo l’errore più frequente: la base giuridica copre l’adempimento, non tutto ciò che decidi di mettere nella risposta. Copre il dato aggregato necessario alla verifica della parità, non un centimetro oltre. Se dalla tua risposta si risale a una persona, quel pezzo di comunicazione è privo di base giuridica, e il fatto che tu stessi adempiendo a un’altra legge non è una scusante: è un’aggravante di superficialità.

Limitazione della finalità. Il comma 7 è, a tutti gli effetti, una clausola di limitazione della finalità scritta dentro una legge sul lavoro. Le informazioni ottenute servono a verificare la parità retributiva e a nient’altro. Questo ha una conseguenza pratica che consiglio di mettere per iscritto nella risposta: chi riceve i dati va avvisato del vincolo. Non perché una riga di testo impedisca a qualcuno di chiacchierare in pausa caffè, ma perché il vincolo esista, sia documentato e sia opponibile.

Minimizzazione. Il campo di battaglia vero. Minimizzare qui non significa mandare meno dati per prudenza generica: significa scegliere la granularità. Ogni ulteriore disaggregazione, per sede, per anzianità, per livello, per età, riduce il numero di persone nella cella e aumenta la probabilità di identificazione. La richiesta del lavoratore spingerà sempre verso il dettaglio, perché il dettaglio è ciò che rende utile il confronto. Il tuo compito è dare il livello di dettaglio più fine che non identifica, e saper spiegare perché ti sei fermato lì. È una decisione tecnica, non un atto di generosità o di ostruzionismo.

Esattezza. Il comma 5 la rende esigibile: se il dato è impreciso il lavoratore chiede chiarimenti e tu rispondi in modo motivato. Un dato retributivo sbagliato in una tabella di parità non è un refuso: è un’accusa implicita di discriminazione mossa alla tua azienda, oppure una discriminazione reale che resta nascosta. Entrambe le ipotesi meritano un controllo prima dell’invio, non dopo.

Limitazione della conservazione. Il decreto offre l’unico appiglio numerico utile: l’articolo 9 prevede che, su richiesta, siano forniti anche i dati dei quattro anni precedenti. È da lì che partirei per costruire una politica di conservazione difendibile, distinguendo però fra i dati aggregati, che quella storicità la richiedono, e le singole richieste dei lavoratori con i relativi allegati, che non hanno alcun motivo di restare in giro per anni.

Integrità e riservatezza. Un file con i divari per categoria che gira via posta elettronica interna, senza controllo di accesso, è un incidente in attesa di accadere. E quando accade non è un incidente qualsiasi: è la diffusione delle retribuzioni del personale, cioè una delle cose che fa più danno al clima interno di qualunque violazione tecnica.

Responsabilizzazione. Come sempre, è il principio che tiene insieme gli altri. Non basta aver scelto bene la soglia: devi poter dimostrare quando l’hai scelta, su quali criteri e chi l’ha approvata. Una soglia decisa il giorno in cui arriva la richiesta, sotto pressione, vale molto meno della stessa soglia decisa sei mesi prima a mente fredda e messa in una procedura.

Il rischio non è tuo, ed è per questo che non puoi accettarlo

C’è un punto che ripeto spesso quando si integrano privacy e sistemi di gestione, e che qui torna con particolare evidenza.

Nella ISO 31000 e nella ISO/IEC 27001 il rischio si misura sugli obiettivi dell’organizzazione: continuità, riservatezza degli asset, conformità, reputazione. Nel GDPR il rischio si misura sui diritti e sulle libertà delle persone fisiche. Il portatore del rischio non è l’azienda, è l’interessato. La conseguenza pratica è netta: un rischio residuo che l’azienda accetterebbe tranquillamente per sé può essere del tutto inaccettabile quando a subirlo è qualcun altro. I criteri di accettazione non sono trasferibili, e non si possono accettare i rischi degli altri con la stessa disinvoltura con cui si accettano i propri.

Nel caso della trasparenza retributiva questa asimmetria è al massimo grado, e per questo la ritengo il criterio decisivo. Quando l’ufficio del personale valuta se pubblicare una tabella un po’ troppo fine, sta implicitamente ragionando così: «se sbagliamo, cosa rischiamo noi?». È la domanda sbagliata. La domanda giusta è: «se sbagliamo, cosa rischia la persona che finisce identificata?». E la risposta, in un’organizzazione dove tutti si conoscono, è che quella persona si ritroverà la propria retribuzione nota a colleghi con cui dovrà lavorare per anni, senza averlo chiesto, senza poter tornare indietro e senza che nessuna misura correttiva possa rimediare. Non esiste una revoca per un’informazione che è stata capita.

Come andrebbero bilanciati questi diritti

Fin qui ho descritto il conflitto. Adesso provo a dire come si risolve, perché «bilanciare» è una di quelle parole che tutti usano e quasi nessuno traduce in un procedimento.

Una premessa che vale per tutta questa sezione, e che chiedo di prendere sul serio. Quelli che seguono sono consigli non vincolanti, pensati per il periodo che stiamo attraversando. Il decreto ministeriale dell’articolo 9, comma 4, deve ancora arrivare e sarà adottato sentito il Garante per la protezione dei dati personali: è lì che potranno comparire le regole tecniche su come si espongono questi dati, e ci si può ragionevolmente attendere che l’Autorità dica la sua anche in altre forme, come ha fatto in passato su temi analoghi. Quando succederà, quello che dice il Garante prevale su quello che dico io, e questa sezione andrà riletta con quel testo davanti. Nel frattempo qualcuno le richieste le riceve già, i due mesi decorrono lo stesso, e non rispondere non è un’opzione. Quindi metto per iscritto il metodo che uso, dichiarandolo per quello che è: una posizione argomentata e prudenziale, non una regola di legge.

Il punto di partenza è che nessuno dei due diritti vince in astratto. Il considerando 4 del GDPR lo dice con una chiarezza che raramente viene citata: il diritto alla protezione dei dati non è un diritto assoluto, va considerato in relazione alla sua funzione sociale e va bilanciato con gli altri diritti fondamentali secondo il principio di proporzionalità. Dall’altra parte c’è la parità retributiva, che non è una policy aziendale ma un principio dei trattati e della nostra Costituzione. Chi affronta questo dossier convinto che la privacy blocchi la trasparenza ha già sbagliato l’impostazione, ed è esattamente lo stesso errore, rovesciato, di chi pensa che la trasparenza autorizzi tutto.

Primo: chi sono le parti

Le parti sono tre, ma non hanno lo stesso statuto, e qui faccio l’affermazione più netta di tutto l’articolo. Da un lato c’è il richiedente, che porta un diritto fondamentale. Dall’altro c’è il collega, che ne porta un altro. In mezzo c’è il datore di lavoro, che non è parte di questo bilanciamento: ne è l’arbitro.

Ne discende che la comodità organizzativa dell’azienda non entra nella bilancia. «Sarebbe complicato ricalcolare le categorie», «il gestionale esporta così», «l’ufficio paghe non ha tempo» sono problemi reali, ma non sono argomenti: non hanno rango per pesare contro un diritto fondamentale. Vedo trattarli come se lo avessero praticamente ogni volta, e quasi sempre è il motivo per cui una tabella pericolosa esce così com’è, cioè perché rifarla costava mezza giornata.

Secondo: il test in tre domande

La proporzionalità non è un’impressione, è una sequenza. Prima di far uscire un numero mi pongo tre domande, in quest’ordine, e mi fermo alla prima che va storta.

È idoneo? Questo dato serve davvero a verificare la parità retributiva, o sto rispondendo a una curiosità? La finalità è scritta nel comma 7 e delimita tutto il resto.
È necessario? Esiste una forma meno invasiva che raggiunge lo stesso scopo? Se esiste, quella forma non è un’opzione: è l’unica ammessa. È la minimizzazione applicata al bilanciamento.
È proporzionato in senso stretto? Il beneficio per chi chiede supera il sacrificio imposto a chi non ha chiesto nulla? Con celle da due persone la risposta è no, sempre, perché il beneficio è marginale e il sacrificio è totale.

Terzo: la scala delle forme del dato

La seconda domanda, quella sulla necessità, ha una risposta pratica che secondo me è il contributo più utile che un DPO possa dare a questo dossier. Lo stesso contenuto informativo si può consegnare in forme molto diverse, e non sono equivalenti. Dalla meno alla più invasiva:

Il divario in percentuale fra i due sessi nella categoria: «in questa categoria le donne guadagnano il 4 per cento in meno degli uomini». Dice tutto quello che serve per verificare la parità e non consente di ricostruire nessun valore assoluto, nemmeno con due persone.
La mediana al posto della media. Le mediane non si sommano, quindi non si prestano ai calcoli differenziali visti prima. Con due persone coincide con la media e non aiuta, ma da tre in su regge molto meglio.
Le fasce al posto dei valori puntuali, con ampiezza scelta in funzione della numerosità e non a caso.
La media assoluta per sesso, che è la forma richiesta dalla lettera del comma 1, ed è quella che abilita tutti i calcoli di cui sopra.
I valori individuali, in qualunque veste, compresi i prospetti «senza nome»: mai.

Qui però nasce una tensione dentro la norma stessa, e va detta invece di girarci intorno. Il comma 1 chiede i livelli retributivi medi; il comma 7 vieta la conoscibilità anche indiretta delle retribuzioni individuali. Nelle organizzazioni piccole le due cose non possono stare insieme, perché la media di due persone è la retribuzione individuale dell’altra.

La mia posizione, e la considero difendibile, è che in quel conflitto prevalga la garanzia. Non per un generico favore alla riservatezza, ma per una ragione di gerarchia: i commi 7 e 8 sono le misure di salvaguardia che l’articolo 88 del GDPR pretende come condizione perché uno Stato membro possa dettare regole sui dati nel rapporto di lavoro. Senza quelle misure la disciplina nazionale non starebbe in piedi. Non sono un limite esterno alla norma: sono ciò che la rende ammissibile. Dove la media identificherebbe, quindi, si consegna il divario percentuale e si motiva per iscritto la sostituzione, richiamando il comma 7.

Quarto: la via d’uscita è già scritta nella legge

C’è un punto che rende tutto questo molto meno drammatico, e che nel dibattito ho visto quasi ignorare. Il bilanciamento corretto non è «meno dati al lavoratore»: è «i dati fini a un intermediario vincolato».

L’articolo 12 della direttiva prevede espressamente che gli Stati membri possano riservare l’accesso alle informazioni che consentono l’identificazione ai rappresentanti dei lavoratori, all’ispettorato del lavoro o all’organismo per la parità. E il decreto italiano quella strada l’ha già costruita: il comma 1 consente di esercitare il diritto tramite i rappresentanti o gli organismi per la parità su delega, il comma 3 prevede che le informazioni siano rese disponibili direttamente a quei soggetti, e l’articolo 9, comma 6, manda proprio a loro il dato più granulare, quello per categorie, che invece non si pubblica.

La differenza è sostanziale. Un rappresentante dei lavoratori o un organismo per la parità può ricevere un livello di dettaglio che al singolo collega non si può dare, perché è tenuto alla riservatezza, ha una funzione definita, risponde di quello che fa e non lavora nella stanza accanto alla persona di cui sta guardando lo stipendio. Il diritto del richiedente non viene sacrificato: viene incanalato. Se un dipendente sospetta una discriminazione e la cella è troppo piccola per rispondergli in chiaro, la risposta giusta non è «non posso dirtelo» e nemmeno consegnargli il numero: è dirgli che quel livello di dettaglio è disponibile per il suo rappresentante o per la consigliera di parità, e spiegargli come attivarli. In questo modo la verifica si fa davvero, e il collega non viene esposto a nessuno.

Quinto: la regola per i casi dubbi

Resterà sempre una zona grigia, dove il calcolo non dà una risposta secca. Lì serve un criterio di chiusura deciso in anticipo, altrimenti decide chi ha più fretta. Il mio è che nel dubbio prevalga la protezione del terzo, e non è una preferenza estetica: poggia su tre ragioni concrete.

Il terzo non è al tavolo. Non è stato avvisato, non può opporsi, non sa nemmeno che si sta decidendo su di lui. In ogni altro bilanciamento del GDPR l’interessato ha almeno la possibilità di farsi sentire; qui no.
I due danni non sono reversibili allo stesso modo. Se sbaglio per eccesso di prudenza, il richiedente ha ancora tutte le strade aperte: i rappresentanti, l’organismo per la parità, l’Ispettorato, il giudice. Se sbaglio per eccesso di trasparenza, il collega non ha nessuna strada: la sua retribuzione è nota e resta nota.
Esiste un’alternativa per uno e non per l’altro. Al richiedente posso offrire il canale dell’intermediario, che soddisfa il suo diritto per intero. Al collega esposto non posso offrire niente.

Attenzione però a non trasformare questa regola in un rifiuto sistematico, che sarebbe un abuso speculare e altrettanto sanzionabile. Vale nel dubbio, non come impostazione di partenza. E si accompagna sempre a due obblighi: dare comunque il dato al livello più fine che resta sicuro, e indicare la strada alternativa. Un «no» senza queste due cose non è prudenza: è ostruzionismo.

Sesto: mettere il bilanciamento per iscritto

Un bilanciamento che non è scritto, davanti a un’autorità, non è mai avvenuto. Non serve un trattato: serve una pagina per categoria, fatta una volta e riesaminata quando l’organico cambia in modo significativo. Quella pagina risponde a sei domande: quante persone ci sono nella cella per sesso, quale forma del dato ho scelto e perché, quali forme meno invasive ho scartato e per quale motivo, chi ha deciso, quando, e quale canale alternativo offro se il dato non si può dare.

Il posto naturale di questa pagina è dentro la valutazione d’impatto, se la fai, oppure allegata alla procedura di gestione delle richieste. E ha un effetto collaterale che vale da solo la fatica: quando la richiesta arriva davvero, la risposta è già decisa. Nessuno deve improvvisare un bilanciamento fra due diritti fondamentali avendo due mesi di tempo e un dipendente che aspetta.

Nel frattempo: come starei in questa finestra

Siamo in un intervallo scomodo: l’obbligo è pienamente in vigore dal 7 giugno, la regola tecnica che dovrebbe accompagnarlo non c’è ancora, e il Garante non si è ancora pronunciato. In una situazione così la tentazione è di scegliere fra due estremi sbagliati, cioè fermarsi in attesa di istruzioni oppure consolidare subito una prassi definitiva. Non farei né l’una né l’altra cosa. Ecco come mi comporterei, sempre a titolo di consiglio.

Rispondere, sempre. Il silenzio è l’unica scelta certamente sbagliata: il diritto esiste già e il termine dei due mesi non aspetta il decreto.
Stare larghi sulle categorie finché il quadro non si chiude. Un’aggregazione più ampia del necessario si può sempre affinare dopo; un dato uscito troppo fine non si può ritirare.
Non consolidare automatismi. Niente pubblicazioni ricorrenti in intranet, niente report schedulati, niente tabelle che si rigenerano da sole ogni trimestre. Tutto ciò che parte in automatico oggi va disinnescato domani, e nel frattempo produce serie storiche confrontabili.
Motivare per iscritto ogni scelta, citando i commi 7 e 8 e dichiarando espressamente che si tratta di una soluzione provvisoria in attesa del decreto ministeriale. Una decisione dichiarata provvisoria e argomentata è molto più difendibile di una prassi silenziosa, anche se dovesse rivelarsi più restrittiva del necessario.
Usare il canale dell’intermediario ogni volta che la cella è piccola. È l’unica soluzione che oggi funziona senza dover indovinare cosa dirà il Garante, perché è già scritta nella direttiva e nel decreto.
Tenere un elenco delle richieste e delle risposte date. Quando le regole tecniche arriveranno, quell’elenco è ciò che permette di tornare indietro sui casi trattati e sistemarli, invece di scoprire mesi dopo di aver sbagliato in serie.

Una riflessione finale su questo punto, che è più di metodo che di diritto. Nelle fasi di transizione la cosa peggiore che può fare un’organizzazione è congelarsi in attesa della certezza, perché la certezza normativa arriva sempre dopo i fatti. La cosa migliore è prendere decisioni consapevolmente provvisorie e scriverne il motivo. Se fra qualche settimana il decreto ministeriale, sentito il Garante, dirà qualcosa di diverso da quello che ho scritto qui, chi avrà documentato le proprie scelte dovrà solo aggiornarle. Chi non avrà documentato niente dovrà invece dimostrare, a posteriori, di aver ragionato. È una differenza che si vede tutta il giorno di una verifica.

Le soglie: chi deve fare cosa, e quando

Il diritto di informazione dell’articolo 7 vale per tutti i datori di lavoro, senza soglia dimensionale. Gli obblighi di comunicazione periodica dell’articolo 9 si applicano invece ai datori con almeno cento dipendenti, con un calendario scaglionato che conviene segnarsi:

da 250 dipendenti in su: primi dati entro il 7 giugno 2027, poi ogni anno;
da 150 a 249: primi dati entro il 7 giugno 2027, poi ogni tre anni;
da 100 a 149: primi dati entro il 7 giugno 2031, poi ogni tre anni.

I dati da comunicare sono sette, e non sono banali: divario retributivo di genere, divario nelle componenti complementari o variabili, divario mediano, divario mediano nelle componenti variabili, percentuale di donne e uomini che ricevono componenti variabili, percentuale di donne e uomini in ogni quartile retributivo, e divario per categorie distinto fra retribuzione base e componenti variabili.

Attenzione a come si distribuiscono, perché la distinzione è istruttiva. I primi sei vanno all’organismo di monitoraggio, che li pubblica, e possono essere resi pubblici anche dal datore. Il settimo, quello per categorie, non si pubblica: è reso accessibile ai lavoratori e ai loro rappresentanti, e trasmesso su richiesta all’Ispettorato del lavoro e agli organismi per la parità. È lo stesso principio del bilanciamento applicato con il righello: più il dato scende di granularità, più stretta diventa la cerchia che lo vede. Chi progetta il proprio sistema interno farebbe bene a copiare questa logica anche dove la norma non la impone.

C’è poi l’articolo 10: se il divario medio in una qualsiasi categoria è pari o superiore al 5 per cento, non è motivato su criteri oggettivi e neutri e non viene corretto entro sei mesi dalla comunicazione, scatta la valutazione congiunta con i rappresentanti dei lavoratori. Segnalo che è il momento di massimo rischio dell’intero impianto: la valutazione congiunta porta un tavolo di persone a ragionare su categorie sempre più fini, con l’obiettivo legittimo di capire da dove viene il divario, fino al punto in cui le celle si svuotano e i singoli riemergono. Se in azienda esiste un DPO, questo è il tavolo a cui deve sedersi.

Il pezzo che manca ancora, e scade tra poche settimane

Per i datori fino a quarantanove dipendenti il legislatore si è accorto del problema e ha messo una valvola: l’articolo 7, comma 8, dice che, al fine di evitare l’identificazione diretta o indiretta dei singoli lavoratori in conformità al GDPR, le informazioni possono essere fornite con le modalità previste dall’articolo 9, comma 4.

Solo che quelle modalità non esistono ancora. L’articolo 9, comma 4, lettera d), le rinvia a uno o più decreti del Ministro del lavoro, sentito il Garante per la protezione dei dati personali, da adottare entro novanta giorni dall’entrata in vigore. Il decreto è in vigore dal 7 giugno 2026: il termine cade all’inizio di settembre 2026.

Che il Garante sia chiamato in causa è la conferma migliore che il problema è stato visto per quello che è. Ma resta una finestra scoperta di tre mesi in cui il diritto del lavoratore esiste già, i due mesi per rispondere decorrono lo stesso, e la regola tecnica che dovrebbe proteggere le piccole imprese non c’è. Se sei sotto i cinquanta dipendenti il mio consiglio è di non improvvisare adesso una prassi che dovrai rifare fra poche settimane: rispondi con categorie ampie, motiva per iscritto i rifiuti parziali richiamando il comma 8, e aspetta il decreto prima di consolidare qualsiasi automatismo.

Prima dell’assunzione: il divieto che tocca ATS e recruiter

L’articolo 5 sposta la trasparenza a monte, e contiene due obblighi speculari.

Da un lato, ai candidati vanno fornite indicazioni sulla retribuzione iniziale o sulla fascia attribuita alla posizione, su criteri oggettivi e neutri rispetto al genere, e queste informazioni vanno messe negli annunci e nei bandi. Non in colloquio, non su richiesta: nell’annuncio.

Dall’altro, ai candidati non possono essere chieste informazioni sulle retribuzioni percepite nei rapporti attuali o precedenti. E qui c’è la parte che in azienda si dimentica sempre: le stesse informazioni non possono essere acquisite con altre modalità, neanche indirettamente, per il tramite di soggetti ai quali sia stata affidata la selezione. Cioè le società di ricerca e selezione e i portali che usi.

Sul piano della protezione dei dati questo è il caso più semplice e più trascurato di minimizzazione: il campo «retribuzione attuale» o «RAL attuale» va tolto dai moduli di candidatura e dal software di gestione dei curriculum, non semplicemente lasciato vuoto. Un campo che esiste prima o poi qualcuno lo compila. E va scritto nel contratto con il fornitore, perché se il recruiter esterno raccoglie quel dato per tuo conto il problema resta tuo: è il classico caso in cui il responsabile del trattamento fa quello che ha sempre fatto e il titolare scopre troppo tardi di non averglielo mai vietato.

I documenti da rimettere in ordine

Ci sono quattro documenti da toccare, e nessuno è facoltativo.

Il registro dei trattamenti, che deve ospitare la nuova finalità con i suoi destinatari e i suoi tempi di conservazione. L’informativa ai dipendenti, che va integrata perché il trattamento dei loro dati retributivi ora ha anche questa finalità e questi destinatari, compresi i rappresentanti dei lavoratori e, su richiesta, l’Ispettorato. La procedura di gestione delle richieste, che oggi in quasi nessuna azienda esiste. E i contratti: quelli di lavoro per le clausole di riservatezza salariale ormai vietate, e quelli con i fornitori della selezione.

Sulla valutazione d’impatto mi sbilancio. Il decreto non la impone e nessuno potrà dirti che è obbligatoria in astratto. Ma quando costruisci un sistema che classifica tutto il personale, calcola divari per sesso e per quartile, li conserva per anni, li mette a disposizione di più destinatari e produce comunicazioni che possono rendere identificabile qualcuno, la domanda dell’articolo 35 se la pone da sola. In quasi tutte le organizzazioni con cui ho lavorato la risposta onesta sarebbe sì. E c’è un motivo pratico che vale più del motivo formale: la DPIA è il posto giusto dove far vivere la soglia di numerosità minima, con la sua motivazione scritta, invece di lasciarla come un’intuizione nella testa di chi prepara la tabella.

Un’ultima annotazione di metodo, che è forse la più importante e la meno tecnica. L’articolo 38 del GDPR chiede che il DPO sia coinvolto tempestivamente e adeguatamente in tutte le questioni che riguardano la protezione dei dati. Questa è una di quelle, e nella pratica accade quasi mai: la trasparenza retributiva arriva in azienda come un tema di consulenza del lavoro, viene lavorata dall’ufficio del personale e dal consulente paghe, e il DPO la scopre a cose fatte, magari quando la prima tabella è già uscita. Se il tuo DPO non ha ancora visto questo dossier, il problema organizzativo è più grosso del problema normativo.

Il doppio binario sanzionatorio

Questa è la parte che di solito convince le direzioni più di ogni argomento di principio: gli errori qui si pagano due volte, davanti a due autorità diverse.

Sul lato lavoro, l’articolo 13 del decreto rinvia all’articolo 41 del codice delle pari opportunità: l’accertamento di una discriminazione comporta la segnalazione ai Ministeri competenti, che possono revocare i benefici concessi ed escludere fino a due anni da agevolazioni e appalti pubblici, oltre alle ammende previste per specifiche inosservanze. Per chi lavora con la pubblica amministrazione l’esclusione dagli appalti pesa molto più di una sanzione pecuniaria.

Sul lato protezione dei dati, una comunicazione che rende conoscibile la retribuzione di una persona identificabile è una violazione autonoma del GDPR, con il proprio regime, i propri reclami e la propria esposizione al risarcimento del danno. E c’è un dettaglio che raramente viene messo sul tavolo: l’interessato leso qui è anche un dipendente in servizio. Non è un cliente che se ne va, è una persona che resta, che lavora accanto a chi ora sa quanto guadagna, e che ha tutti i canali interni ed esterni per far valere le proprie ragioni. Il costo reputazionale di questa violazione si paga prima di tutto dentro l’azienda.

La direttiva europea aveva previsto lo scenario. L’articolo 12 impone che il trattamento avvenga in conformità al GDPR e vincola le informazioni allo scopo per cui sono ottenute, e il considerando 34 chiede espressamente garanzie contro la divulgazione, diretta o indiretta, di dati riferibili a un lavoratore identificabile. Il decreto italiano ha ripreso quell’impianto quasi alla lettera. Non è una svista: è un bilanciamento scritto apposta, che però lascia il calcolo a te.

In pratica: da dove cominciare

Definire le categorie di lavoratori che svolgono stesso lavoro o lavoro di pari valore, con criteri oggettivi e neutri rispetto al genere: competenze, responsabilità, impegno e condizioni di lavoro. Senza questo passo tutto il resto poggia sul vuoto, e le categorie non si possono ridisegnare a ogni richiesta per far tornare i conti.
Scrivere la regola di soglia: sotto quante persone per sesso una cella non si comunica, cosa si accorpa, come si motiva il rifiuto parziale. Decisa prima, non sotto la pressione di una richiesta.
Costruire la procedura: chi riceve la richiesta, come si verifica l’identità del richiedente e l’eventuale delega, chi calcola, chi approva, con quale modello si risponde, come si tiene traccia della data per i due mesi e del limite di una richiesta all’anno.
Preparare il modello di risposta con una regola che non ammette eccezioni: non si consegnano mai buste paga, libro unico o prospetti nominativi. La richiesta di trasparenza retributiva non è un accesso agli atti.
Fare la comunicazione annuale del comma 4, in forma tracciabile. È l’adempimento più semplice e quello più spesso dimenticato.
Ripulire selezione e contratti: via il campo sulla retribuzione precedente da annunci, moduli e software, istruzioni scritte ai recruiter esterni, revisione delle clausole di riservatezza salariale ormai vietate.
Aggiornare informativa e registro, e valutare la DPIA facendoci vivere dentro la soglia.
Coinvolgere il DPO adesso, non alla prima richiesta. E se il tavolo della valutazione congiunta si apre, farlo sedere lì.
Formare chi risponde. Il rischio non è nella policy: è nella persona dell’ufficio del personale che, in buona fede e con l’intento di essere utile, aggiunge una riga di troppo alla tabella.

L’errore da cui guardarsi più di tutti resta il primo che incontro ogni volta: credere che togliere il nome basti. Non basta. In una categoria di poche persone il nome se ne va e la persona resta, riconoscibile da chiunque conosca l’organigramma. E l’organigramma, in azienda, lo conoscono tutti.

Guardata da vicino, la trasparenza retributiva non è una minaccia alla riservatezza: è un buon esempio di come due diritti fondamentali possano convivere se qualcuno si prende la briga di fare i conti. Il legislatore ha fatto la sua parte scrivendo il limite. La parte che resta scoperta, cioè tradurre quel limite in una soglia numerica difendibile, è esattamente il mestiere di chi si occupa di protezione dei dati. Se vuoi capire dove sei messo, il modo più rapido è prendere il tuo organico, dividerlo nelle categorie che useresti e contare quante persone per sesso finiscono in ogni cella. Se molte celle hanno una o due persone non hai un problema di adempimento: hai un problema di calcolo, da risolvere prima che arrivi la prima richiesta.

PL Consulting affianca le organizzazioni nel bilanciamento fra obblighi di trasparenza e protezione dei dati dei lavoratori, dalla definizione delle categorie alla soglia di riservatezza fino alla valutazione d’impatto: scopri il servizio dedicato alla conformità GDPR e contattaci per una verifica del tuo organico prima che arrivi la prima richiesta.

Nota: le indicazioni contenute nella sezione sul bilanciamento dei diritti sono consigli non vincolanti, formulati in via prudenziale per il periodo intercorrente fra l’entrata in vigore del decreto e l’adozione delle regole tecniche previste dall’articolo 9, comma 4, che sarà adottata sentito il Garante per la protezione dei dati personali. Non costituiscono un’interpretazione ufficiale e andranno riviste alla luce di quel provvedimento e di eventuali indicazioni dell’Autorità. Ogni organizzazione ha inoltre una struttura dell’organico diversa, e la soglia oltre la quale un dato aggregato diventa identificante va determinata sul caso concreto. Questo articolo ha finalità informative generali e non sostituisce una valutazione professionale. Articolo aggiornato ad agosto 2026.

Trasparenza retributiva: cosa puoi dire davvero quando un dipendente chiede quanto guadagnano i colleghi