Premessa

Il 10 luglio 2025, il Garante per la protezione dei dati personali ha emesso il provvedimento n. 390 con cui ha sanzionato una società operante nel settore metalmeccanico per aver adottato una prassi gestionale non conforme alle norme sulla privacy, consistente nell’utilizzo di un modulo denominato “Return to Work Interview” (RTWI) relativo alla racconta di dati post malattia.

Tale modulo veniva compilato dal responsabile gerarchico durante i colloqui con i lavoratori al rientro da un periodo di malattia, infortunio o ricovero, per raccogliere informazioni sul loro stato di salute e condizioni lavorative.

La vicenda e la posizione dell’azienda circa i dati post malattia

La questione ha avuto origine da una segnalazione sindacale che denunciava tale prassi, ritenuta invasiva e irrispettosa delle normative vigenti in materia di protezione dei dati personali.

L’Autorità ha quindi avviato un’istruttoria per accertare se il trattamento dei dati tramite il modulo RTWI rispettasse i principi previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR) e dal Codice della privacy italiano.

L’azienda giustificava l’utilizzo del modulo di raccolta dati post malattia come parte di una strategia aziendale volta alla tutela della salute psicofisica dei dipendenti, finalizzata a individuare situazioni di disagio e a facilitare il reinserimento lavorativo.

Secondo quanto dichiarato, la compilazione del modulo era volontaria e non comportava conseguenze in caso di rifiuto da parte del lavoratore.

Inoltre, l’azienda sosteneva che i dati raccolti fossero solo dati comuni, non appartenenti a categorie particolari, e che il trattamento fosse effettuato nel rispetto degli obblighi previsti dall’articolo 2087 del Codice Civile, che impone al datore di lavoro di adottare tutte le misure utili a tutelare l’integrità psicofisica dei lavoratori.

L’istruttoria del Garante – l’assenza di una informativa adeguata

Tuttavia, il Garante ha rilevato diverse irregolarità e violazioni della normativa sulla privacy. Innanzitutto, la raccolta dei dati post malattia tramite il modulo RTWI avveniva senza una base giuridica specifica e formalmente individuata, elemento fondamentale per la liceità del trattamento secondo il GDPR.

Non risultava inoltre presente un’informativa adeguata e specifica per i dipendenti che spiegasse in modo trasparente le finalità del trattamento, le modalità di conservazione e i soggetti coinvolti nel processo.

Un aspetto particolarmente critico riguarda il rischio concreto che, durante il colloquio, potessero essere raccolte informazioni relative a dati sensibili, in particolare dati sulla salute dei lavoratori, anche indirettamente.

Per legge, il trattamento di tali dati relativi ad una malattia è soggetto a stringenti garanzie e deve essere gestito esclusivamente dal medico competente nell’ambito della sorveglianza sanitaria, come previsto dall’articolo 41 del Decreto Legislativo 81/2008.

Il Garante ha sottolineato come il contesto e la natura stessa del colloquio potessero indurre il lavoratore, in un momento di particolare vulnerabilità, a fornire informazioni riservate legate al proprio stato di salute o eventuali limitazioni.

Il principio di minimizzazione

Inoltre, veniva riscontrata una violazione del principio di minimizzazione dei dati: molte informazioni raccolte con il modulo erano infatti già presenti negli archivi aziendali e quindi la loro nuova acquisizione risultava ridondante e ingiustificata.

Analogamente, la conservazione dei moduli RTWI per i dati post malattia per un periodo massimo di dieci anni è stata giudicata sproporzionata rispetto alle finalità del trattamento, senza una giustificazione adeguata che ne definisse criteri di durata trasparenti e predeterminati.

La stessa azienda aveva ammesso che, di fatto, i dati venivano cancellati entro un anno, ma tale dichiarazione non ha escluso la violazione normativa, data la previsione di durata massima eccessiva.

La base giuridica non presente

Sul piano giuridico, il Garante ha rilevato la violazione dell’articolo 8 dello Statuto dei lavoratori, che vieta al datore di lavoro di raccogliere dati non pertinenti ai fini della valutazione dell’attitudine professionale, quali appunto i dati post malattia.

La mera raccolta e conservazione di dati personali, soprattutto se sensibili o toccanti la sfera privata, è considerata attività vietata anche indipendentemente dalla successiva utilizzazione effettiva degli stessi.

Le domande presenti nelle varie versioni del modulo RTWI erano tali da stimolare il rilascio di informazioni su problemi di salute, disagi personali e questioni relazionali non direttamente connesse alla capacità di svolgere la mansione lavorativa e quindi vietate.

Esempi di tali quesiti includevano richieste relative alla causa dell’assenza (se riconducibile a infortunio sul lavoro), alla necessità di colloqui con il medico aziendale o a situazioni di disagio nel reparto di lavoro e cioè informazioni di esclusiva competenza del medico competente.

Anche il modulo più recente conteneva domande che, pur formulate in termini generici, risultavano comunque inappropriate nel contesto di un colloquio post-malattia, in quanto avrebbero potuto indurre il lavoratore a condividere dati personali non pertinenti.

La raccolta informazioni eccedente ed invasiva

Alla luce di tali elementi, il Garante ha ritenuto che l’impresa avesse messo in atto una raccolta di dati eccedente e invasiva, non adeguatamente collegata allo scopo dichiarato di tutelare la salute e favorire il rientro al lavoro, ma suscettibile di intercettare informazioni sensibili di natura personale e relazionale.

La sanzione del Garante

Come misura correttiva, il Garante ha disposto:

• il divieto di proseguire il trattamento basato sul modulo RTWI;
• la cancellazione dei dati già raccolti entro 60 giorni;
• una sanzione amministrativa pecuniaria di 50.000 euro.

La sanzione è stata motivata dalla gravità delle violazioni, dalla durata pluriennale del trattamento illecito e dal numero di lavoratori coinvolti.

Questo provvedimento rappresenta un monito chiaro alle aziende circa la necessità di conformarsi rigorosamente alle normative sulla protezione dei dati personali, specialmente quando si tratta di informazioni sensibili e di situazioni delicate come il rientro al lavoro dopo un periodo di malattia.

Pur riconoscendo l’importanza di tutelare la salute psicofisica dei lavoratori, le imprese devono assicurare che ogni raccolta e trattamento di dati personali sia basato su criteri di necessità, proporzionalità, trasparenza e rispetto dei diritti individuali.

Conclusione

In sintesi, l’adozione di prassi aziendali come colloqui o questionari post-malattia richiede:

1. una attenta valutazione degli aspetti privacy;
2. una chiara definizione delle finalità e delle basi giuridiche del trattamento;
3. l’adozione di informative trasparenti e il rispetto dei principi fondamentali del GDPR, come minimizzazione, limitazione della conservazione e sicurezza dei dati.

La violazione di tali principi non solo espone le aziende a sanzioni amministrative significative, ma può anche compromettere il rapporto di fiducia con i dipendenti, con ripercussioni negative sul clima e sull’organizzazione lavorativa.

Il caso del provvedimento n. 390/2025 sottolinea dunque quanto sia rilevante integrare la compliance privacy con le esigenze gestionali, assicurando che le misure adottate a tutela della salute non diventino occasioni di indebite intrusioni nella sfera personale dei lavoratori.