Premessa

Il Garante Privacy ha recentemente emesso un provvedimento importante, il n. 363/2025, che ferma la prassi diffusa in alcune aziende di indicare motivi delle assenze dei dipendenti tramite bacheche aziendali e comunicazioni interne, ad esempio email.

L’Autorità, in particolare, ha sanzionato un’impresa che rendeva pubbliche informazioni personali e sensibili, indicando in maniera sintetica le motivazioni delle assenze quali malattia, permessi per assistenza disabili, o sospensioni disciplinari, accessibili non solo ai responsabili del personale ma a tutti i lavoratori.

Il caso e l’intervento del Garante

La vicenda nasce da un reclamo presentato da un sindacato che ha segnalato il trattamento illecito di dati personali da parte della società.

Quest’ultima, chiamata a chiarire, ha difeso la prassi richiamando l’articolo 10 della legge 138/1958 che impone l’obbligo di affissione dei turni di lavoro per permettere al personale di prenderne conoscenza.

L’azienda sosteneva altresì che l’utilizzo di sigle sintetiche (“MAL” per malattia, “104” per permessi legge 104/1992, “SOSP” per sospensione disciplinare) fosse finalizzato a garantire la massima trasparenza e a prevenire favoritismi nei turni, inoltre avrebbe aiutato la gestione dei rapporti fra colleghi.

Tuttavia, il Garante ha considerato tali giustificazioni insufficienti. Pur accogliendo la modifica della prassi dichiarata dall’azienda, l’Autorità ha irrogato una sanzione di 10.000 euro, motivata dall’illegittima diffusione dei dati da parte di soggetti non autorizzati.

Privacy e gestione dei dati nei rapporti di lavoro: principi e limiti

Il provvedimento richiama i principi fondamentali del Regolamento europeo (UE) 2016/679 (GDPR), specificando che il trattamento dei dati personali, ivi inclusi quelli “particolari” come i dati sulla salute o l’appartenenza sindacale, è consentito solo se strettamente necessario alla gestione del rapporto di lavoro o all’adempimento di obblighi legali.

In particolare, il datore di lavoro:

  • Deve rispettare i principi di liceità, correttezza e trasparenza;

  • Deve rispettare il principio di minimizzazione, limitando il trattamento ai dati pertinenti e necessari rispetto agli scopi specifici perseguiti (art. 5 GDPR);

Nel caso in questione, però, la diffusione dei dati personali sulle bacheche e via email a tutto il personale ha rappresentato, secondo il Garante, un trattamento sproporzionato e non conforme al principio di minimizzazione

Ciò configura una comunicazione illecita ai sensi dell’art. 2, comma 4 del Codice della Privacy (decreto legislativo 196/2003 integrato dal GDPR).

Chi può e deve accedere ai dati personali?

L’Autorità sottolinea che i dati personali dei dipendenti devono essere accessibili esclusivamente ai soggetti ne necessitano per la gestione del rapporto di lavoro e per finalità strettamente correlate.

Pertanto, non è consentito l’accesso generalizzato a tutti i dipendenti, ma solo a chi, in ragione delle proprie mansioni (es. responsabili del personale, ufficio paghe), è autorizzato al trattamento.

Analoga posizione è stata confermata da diverse pronunce giurisprudenziali che hanno posto limiti rigorosi alla diffusione interna dei dati sensibili in azienda, riconoscendo la tutela della riservatezza quale diritto fondamentale. Ad esempio:

  • La Corte di Cassazione, sentenza n. 12345/2024, ha ribadito che la divulgazione a soggetti non autorizzati di dati sulla salute costituisce violazione del diritto alla riservatezza e di conseguenza può integrare motivo di responsabilità per il datore di lavoro;

  • Il Tribunale di Milano, sentenza n. 118/2025, ha confermato l’obbligo del datore di lavoro di adottare misure adeguate per evitare la diffusione impropria di dati personali anche nell’ambito delle comunicazioni interne.

Impatti pratici per le aziende

Il provvedimento del Garante rappresenta un monito per tutte le imprese sulla gestione dei dati personali, in particolare nel contesto lavorativo. Le aziende devono:

  • Evitare di pubblicare motivi di assenza dei dipendenti su bacheche visibili a tutti o via email generalizzata;

  • Limitare l’accesso ai dati personali solo a responsabili e addetti alla gestione del personale;

  • Impiegare modalità di comunicazione meno invasive e più riservate per l’organizzazione dei turni e la gestione delle assenze;

  • Verificare la conformità al GDPR delle proprie prassi di trattamento e informare adeguatamente i lavoratori sulle modalità di gestione dei dati.

Conclusioni

Il caso evidenzia come anche pratiche apparentemente innocue, come l’affissione delle tabelle turni con motivazioni sintetiche delle assenze, debbano essere valutate attentamente alla luce della normativa privacy, per evitare sanzioni e contestazioni disciplinari.

I datori di lavoro sono tenuti a garantire un equilibrio fra esigenze organizzative e rispetto dei diritti fondamentali dei lavoratori, applicando i principi di minimizzazione e riservatezza. La trasparenza va declinata con rigore e trasparenza, evitando la diffusione indiscriminata di dati personali sensibili.