Il Garante della privacy vieta la divulgazione dei motivi dell’assenza dei dipendenti
Il Garante per la protezione dei dati personali, con il Provvedimento n. 363 del 23 giugno 2025, ha sanzionato una società che ha divulgato dati personali, anche di natura sensibile, relativi ai motivi dell’assenza dal lavoro del proprio personale.
In particolare, le informazioni relative ai motivi delle assenze, indicate mediante sigle sintetiche (“MAL” in luogo di malattia, “104” in luogo di “permesso assistenza disabili, l. n. 104/1992”, “SOSP” in luogo di sospensione/sanzione disciplinare, ecc.) venivano rese disponibili a tutti i dipendenti, mediante affissione delle tabelle dei turni di servizio sulle bacheche aziendali, posizionate presso i depositi aziendali dei mezzi di trasporto utilizzati per la gestione del servizio, nonché tramite l’invio di una e-mail ai dipendenti dell’azienda.
Sarebbe stato più corretto indicare una sigla generica (es. A = assenza).
Il Garante della privacy vieta i questionari post-malattia
Il Garante per la protezione dei dati personali, nella Newsletter n. 537 del 1° agosto 2025, ha applicato una sanzione di 50mila euro ad un’azienda per aver gestito in modo scorretto le informazioni dei propri dipendenti, in particolare quelle sulla loro salute.
L’organizzazione sindacale ha evidenziato al garante una pratica diffusa all’interno dell’azienda: dopo assenze per malattia, infortunio o ricovero, i lavoratori venivano sottoposti a un colloquio accompagnato da un questionario.
Il documento, compilato da un diretto responsabile, veniva poi trasmesso all’Ufficio Risorse Umane che con il responsabile e/o con il medico competente valutava, in base a quanto rappresentato dall’azienda, eventuali iniziative a tutela della salute dei lavoratori, ad esempio modificando la postazione di lavoro o intervenendo sulle relazioni lavorative.
Nel corso dell’istruttoria il Garante ha però riscontrato numerose violazioni del Regolamento UE (GDPR), tra cui l’assenza di un’informativa chiara e trasparente ai dipendenti e la mancanza di una base giuridica per il trattamento dei dati, anche relativi alla salute.
L’Autorità ha inoltre ravvisato una conservazione di dati dei lavoratori non pertinenti (nel caso di assenze dal lavoro) e sproporzionati (fino a dieci anni), e un trattamento di dati non rilevante per valutare le capacità professionali del personale.
Il Garante ha dunque ordinato all’azienda il divieto del trattamento dei dati e la cancellazione di quelli già raccolti e conservati.