Il datore di lavoro non può diffondere, neppure in forma di sigle o abbreviazioni, i motivi delle assenze dei dipendenti tramite bacheche aziendali o comunicazioni interne, in quanto queste comunicazioni violano il diritto alla riservatezza dei lavoratori. È questo il principio affermato dal Garante per la protezione dei dati personali con il provvedimento 363/2025 del 23 giugno. La vicenda prende avvio da un reclamo sindacale per conto di alcuni lavoratori del settore trasporto, i quali lamentavano che l’azienda avesse reso conoscibili a tutto il personale le ragioni delle assenze, riportate nei turni affissi nei depositi e inviati via e-mail. Le tabelle indicavano sigle quali “MAL” (malattia), “INF” (infortunio), “104” (permesso legge 104/1992), “PS” (permesso sindacale), rendendo così accessibili informazioni idonee a rivelare lo stato di salute o l’appartenenza sindacale dei colleghi. La società, nel difendersi, ha sostenuto che l’uso di sigle garantiva trasparenza e preveniva conflitti tra i lavoratori chiamati a sostituire i colleghi assenti, e ha richiamato l’articolo 10 della legge 138/1958, che impone alle imprese di trasporto di affiggere i turni di servizio. Nel corso del procedimento presso il Garante, ha comunque modificato la prassi, sostituendo le sigle con la sola lettera “A”, a indicare genericamente l’assenza. Il Garante ha ritenuto tale trattamento illecito. Nel provvedimento si sottolinea che la comunicazione dei motivi dell’assenza integra una violazione dell’articolo 5, paragrafo 1, lettera c (principio di minimizzazione) e dell’articolo 9, paragrafo 2, del Regolamento Ue 2016/679 (il Gdpr). La normativa consente al datore di lavoro di trattare dati particolari – come quelli relativi a salute o sindacato – solo se necessario per adempiere a obblighi di legge o contrattuali. Nel caso esaminato, l’indicazione delle cause dell’assenza non era indispensabile alla gestione della turnazione, potendo essere sostituita da un’informazione neutra sulla semplice indisponibilità del dipendente. Il richiamo all’articolo 10 della legge 138/1958 non è stato ritenuto idoneo a fondare la liceità del trattamento: la disposizione si limita a prevedere l’affissione dei turni di servizio, senza autorizzare la divulgazione dei motivi di assenza. Ne consegue che i colleghi non possono essere considerati soggetti legittimati ad accedere a dati di natura sanitaria o sindacale, che devono rimanere riservati a chi, nell’organizzazione, è specificamente autorizzato al trattamento. L’Autorità ha inoltre richiamato i propri precedenti (provvedimenti 341/2014 e 105/2020), nei quali era già stato affermato che i lavoratori non sono legittimati a conoscere i dettagli delle assenze dei colleghi, proprio perché si tratta di dati eccedenti e sensibili. Le linee guida del 2007 sul trattamento dei dati dei dipendenti in ambito pubblico sono state ribadite come parametro interpretativo valido anche per i datori di lavoro privati. Alla luce di tali rilievi, il Garante ha dichiarato illecito il trattamento e, applicando i criteri del Gdpr, ha comminato una sanzione amministrativa pecuniaria pari a 10.000 euro. Nella determinazione della misura, l’Autorità ha tenuto conto della natura dei dati coinvolti, dell’ampiezza della comunicazione, ma anche della collaborazione offerta dalla società e dell’assenza di precedenti. È stata altresì disposta la pubblicazione del provvedimento sul sito istituzionale, a fini dissuasivi e di trasparenza. La decisione consolida un orientamento: l’esigenza di informare il personale sull’organizzazione dei turni non legittima la diffusione di dati sensibili eccedenti. La regola resta quella della minimizzazione, cioè l’informazione deve essere limitata a quanto strettamente necessario allo svolgimento del rapporto di lavoro, senza trasformarsi in una indebita divulgazione di dati riservati.

Fonte: SOLE24ORE