Premessa

Il provvedimento n. 390 del 10 luglio 2025 emesso dal Garante per la Protezione dei Dati Personali rappresenta una pronuncia di primario rilievo:

• per definire una corretta strategia aziendale di gestione delle informazioni dei lavoratori relative a politiche legate all’art. 2087 c.c.
• nel definire i confini tra le legittime esigenze organizzative del datore di lavoro e la tutela della riservatezza e della dignità del lavoratore.

La prassi aziendale esaminata, consistente in un colloquio denominato “Return to Work Interview” (RTWI), sebbene motivata dalla Società interessata con finalità di tutela della salute e sicurezza, è stata giudicata illecita. L’Autorità ha ritenuto tale pratica invasiva della sfera personale e sanitaria del dipendente, in violazione di principi cardine del Regolamento (UE) 2016/679 (GDPR) e della normativa giuslavoristica nazionale.

Questa decisione non si limita a sanzionare una singola condotta, ma consolida un orientamento restrittivo del Garante, fungendo da monito e guida operativa per tutte le realtà aziendali. Essa chiarisce in modo inequivocabile la ripartizione di competenze tra imprenditore che organizza il lavoro e Medico Competente, riaffermando il ruolo esclusivo e centrale di quest’ultimo nel trattamento dei dati relativi alla salute dei lavoratori.

Breve ricostruzione della questione

Il procedimento trae origine da una segnalazione presentata da  O.S. USB Lavoro Privato Puglia, che lamentava la sottoposizione dei lavoratori a un “colloquio di rientro dal lavoro” – “Return to Work Interview” (RTWI) – con la contestuale compilazione di un questionario a seguito di assenze per malattia, ricovero o infortunio.

La prassi era la seguente: il lavoratore rientrato dalla malattia doveva sostenere un colloquio con il proprio responsabile; il modulo veniva compilato manualmente dal responsabile durante il colloquio; il documento veniva consegnato all’ufficio Risorse Umane, il quale, eventualmente in collaborazione con il responsabile stesso e/o con il Medico Competente, valutava l’adozione di iniziative a tutela della salute psicofisica del lavoratore, come modifiche alla postazione di lavoro o gestione di problematiche relazionali.

È emerso che la Società ha aggiornato più volte il modulo RTWI anche modificando l’informativa privacy e tale modulo risultava ancora in uso durante al termine del procedimento avviato dal Garante. In proposito, si noti da subito che ciò può essere inteso come una buona fede, almeno parziale, della società nel predisporre documenti finalizzati effettivamente ad implementare  il principio di sicurezza sul lavoro.

Astrattamente, le intenzioni dell’azienda potrebbero essere anche lodevoli e condivisibili (si pensi all’uso del questionario per gestire potenziali contrasti tra lavoratori, migliorare i rapporti umani nell’ambiente di lavoro, avere contezza del grado di benessere/malessere dei lavoratori); tuttavia, il modus operandi dell’azienda svela che i questionari erano diretti a svolgere forme di controllo.

La tesi difensiva della Società

Nel difendersi durante il procedimento la Società, nel merito:

• ha invocato l’adempimento del proprio dovere di tutela dell’integrità psicofisica dei lavoratori, sancito dall’articolo 2087 c.c.

Secondo la difesa, tale obbligo andrebbe interpretato in senso “dinamico”, non limitato al mero rispetto di specifiche norme, ma, in una “società del rischio”, esteso all’adozione delle migliori prassi per intercettare e prevenire situazioni di “malessere” sul luogo di lavoro.

• ha sostenuto la natura facoltativa della compilazione del modulo, affermando che il trattamento dei dati si fondasse sul consenso “libero” del lavoratore.

A supporto di tale tesi, la Società ha dichiarato che nessun dipendente ha mai subito conseguenze negative a seguito di un rifiuto di compilare il questionario.

In via subordinata, la Società ha addotto il proprio legittimo interesse, ai sensi dell’articolo 6, paragrafo 1, lettera f) del GDPR, all’organizzazione aziendale e alla tutela della salute psicofisica dei dipendenti.

Il problema della base giuridica

Il cuore del provvedimento risiede nella demolizione sistematica di ogni base giuridica addotta dalla Società per giustificare il trattamento dei dati tramite i moduli RTWI.

L’Autorità ha in primo luogo ribadito l’inidoneità del consenso del lavoratore come valida condizione di liceità. In linea con un orientamento consolidato a livello europeo e supportato dalle linee guida del Gruppo di Lavoro Articolo 29 (ora EDPB), il Garante ha sottolineato come lo squilibrio di potere intrinseco al rapporto di lavoro mini la libertà del consenso.

La prassi concreta, che prevedeva un colloquio diretto con il superiore gerarchico, e la formulazione imperativa utilizzata nei primi moduli (“il colloquio deve avvenire”) smentivano palesemente la presunta facoltatività della compilazione. Inoltre, e in modo dirimente, la normativa nazionale non contempla il consenso come base giuridica per il trattamento di dati relativi alla salute nel contesto lavorativo, il quale, ai sensi dell’art. 9, par. 2, lett. b) del GDPR, richiede una specifica autorizzazione contenuta in una norma di legge o in un contratto collettivo, che nel caso di specie mancava.

Viene negata anche l’applicabilità dell’interesse legittimo. Tale base giuridica, prevista dall’art. 6, par. 1, lett. f) del GDPR, non può mai essere invocata per il trattamento di categorie particolari di dati, come quelli sanitari, ai sensi dell’art. 9. Il Garante ha inoltre criticato l’approccio della Società, che sembrava considerare l’interesse legittimo come una sorta di base giuridica “di ripiego”, ribadendo che la condizione di liceità deve essere individuata ex ante, in modo chiaro, specifico e non intercambiabile.

La tutela della salute e le garanzie procedurali del sistema di sorveglianza sanitaria

Il punto focale dell’analisi del Garante è la netta demarcazione tra gli obblighi del datore di lavoro e la competenza del Medico Competente. L’obbligo di tutela della salute e sicurezza sancito dall’art. 2087 c.c. non conferisce al datore di lavoro un potere autonomo di indagine sanitaria diretta sui propri dipendenti. Tale obbligo generale deve essere adempiuto attraverso gli strumenti e le procedure specificamente previsti dalla normativa di settore, in primis il D. Lgs. 81/2008. Quest’ultimo affida in via esclusiva al Medico Competente il trattamento dei dati sanitari dei lavoratori per le finalità di sorveglianza sanitaria. Il datore di lavoro è legittimato a conoscere unicamente il giudizio di idoneità alla mansione e le eventuali prescrizioni o limitazioni operative che ne derivano, ma non può avere accesso alla diagnosi, all’anamnesi o ad altre informazioni di dettaglio sullo stato di salute del lavoratore.

La decisione in esame andrebbe letta in combinato con il Provv. n. 10 del 16 gennaio 2025 (un Medico Competente è stato sanzionato per aver rivelato informazioni sanitarie dettagliate verso del lavoratore al datore di lavoro). Queste, congiuntamente, consolidano un principio fondamentale sul trattamento dei dati: la sfera sanitaria del lavoratore viene gestita dal Medico Competente, mentre, la sfera gestionale-organizzativa è gestita dal datore di lavoro.

Il medico competente va considerato come una sorta di “traduttore” del dato clinico in dato legale, sicché, il suo compito è quello di elaborare i dati sanitari del lavoratore al fine di trasmettere al datore di lavoro l’esito (estremamente sintetico) dell’elaborazione: idoneo, non idoneo, idoneo con limitazioni.

Qualsiasi procedura aziendale che crei canali informativi paralleli o alternativi (come colloqui con HR o moduli compilati da manager) per la gestione di dati sanitari è, pertanto, intrinsecamente illegittima, in quanto mira a violare questa barriera protettiva.

Principio di trasparenza: l’importanza dell’informativa

(Il) caposaldo del data management è la trasparenza. Ogni trattamento di dati richiede un’informativa specifica e puntuale, soprattutto quando vengono trattati dati particolari.

Scorrendo il provvedimento in commento si vede che la trasparenza non era sufficiente: il documento presentava rinvii a policy interne, i diritti erano indicati in modo generico, vi erano riferimenti generici a soggetti terzi descritte come “persone presenti”.

Il Garante ha ovviamente richiamato il legame necessario tra trasparenza e liceità del consenso. Un consenso, per essere valido, deve essere “informato”. Se l’informativa è carente o fuorviante, il lavoratore non è messo nella condizione di comprendere appieno le finalità e le modalità del trattamento, e il suo eventuale assenso è giuridicamente nullo. Questo dimostra che la trasparenza non è un mero adempimento burocratico, ma il fondamento che abilita l’esercizio dei diritti dell’interessato e la validità stessa del trattamento.

Le informative devono essere granulari e specifiche per ogni finalità; un’informativa generica “per i dipendenti” non può coprire trattamenti specifici e invasivi come la raccolta di dati al rientro dalla malattia.

Necessità e minimizzazione

La modulistica ha certamente il pregio dell’ordine e dell’organizzazione. In un modo si possono organizzare informazioni per argomento e ciò permette di avere una migliore chiarezza e gestione del dato; tuttavia, ciò non significa che sia lecito richiedere i dati.

Il Garante ha giustamente ricordato che va evitata l’”inutile duplicazione” di dati che già si possiede (es., informazioni come durata, motivo e decorrenza dell’assenza – malattia, infortunio, ecc. – sono dati che l’azienda acquisisce tramite i certificati medici telematici e le comunicazioni all’INPS).

Raccogliere ripetutamente gli stessi dati attraverso un colloquio con il superiore gerarchico non solo è superfluo, ma espone inutilmente informazioni sensibili a personale (il manager di linea) che non ha titolo per trattarle per tali finalità.

Il Garante ha censurato anche la politica di conservazione dei dati raccolti.

Il ricorso al termine di prescrizione decennale (che è il termine ordinario di prescrizione anche nel rapporto di lavoro quando abbia a oggetto crediti retributivi) non può fungere da parametro per definire il termine di conservazione.

Ogni trattamento ha una finalità contingente e una “vita utile” che è ragionevolmente molto più breve di dieci anni; pertanto, anche la conservazione dei dati dovrà essere parametrata su questa funzione del trattamento.

Sul punto va anche sottolineato come la Società abbia anche tradito una profonda carenza in materia di trattamento dei dati proprio, allorché ha dichiarato di procedere a una cancellazione “caso per caso” dei documenti ritenuti non necessari (in pratica, se un documento è ritenuto utile è tenuto, altrimenti è distrutto). Tale prassi dimostra l’assenza di un criterio predefinito, oggettivo e trasparente per l’interessato, che deve essere messo in condizione di conoscere fin dall’inizio per quanto tempo i suoi dati saranno conservati.

Art. 8, l. 300/1970: quando l’indagine travalica il limite della pertinenza

Infine, il Garante ha ricondotto la condotta della Società alla violazione dell’articolo 113 del Codice Privacy, che fa salve le tutele previste dall’articolo 8 dello Statuto dei Lavoratori. Tale norma vieta al datore di lavoro di effettuare indagini, anche indirette, su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore.

Diverse domande presenti nei moduli sono state considerate illecite sotto questo profilo. Domande come “ci sono dei particolari problemi dei quali vorresti parlare?”, “ci sono particolari situazioni di disagio all’interno del reparto?” o chiedere se l’assenza sia legata a una “causa di lavoro” sono state qualificate come indagini indebite sulla sfera personale e sulle opinioni del lavoratore. L’Autorità ha precisato che la mera acquisizione e conservazione di tali dati integra già la condotta vietata, a prescindere da un loro successivo utilizzo. Questo principio cardine del diritto del lavoro italiano mira a proteggere il lavoratore da ingerenze indebite nella sua vita privata, che non abbiano una diretta e comprovata attinenza con lo svolgimento della prestazione lavorativa.

Una chiosa conclusiva

Del provvedimento in esame si potrebbe dire nihil novi sub sole. Il provvedimento consolida e applica con estremo rigore indirizzi applicativi e prassi esistenti da tempo in materia di data protection, riaffermando la centralità della dignità e della riservatezza del lavoratore come limite invalicabile all’esercizio del potere organizzativo del datore di lavoro.

L’Autorità rigetta con forza un approccio che si potrebbe definire di “paternalismo benevolo”, secondo cui le buone intenzioni del datore di lavoro (come il desiderio di migliorare il benessere dei dipendenti) possano giustificare l’utilizzo di mezzi illeciti e invasivi, ma lo fa sulla base di evidenze chiaramente in contrasto con le finalità dichiarate.

La tutela della salute sui luoghi di lavoro deve avvenire attraverso i canali e gli strumenti previsti dall’ordinamento, in particolare dal D. Lgs. 81/2008. Tali strumenti sono il frutto di un bilanciamento operato a monte dal legislatore, volto a contemperare le esigenze di sicurezza con il rispetto dei diritti fondamentali della persona.

In un’era di crescente interesse per la raccolta di dati nel contesto lavorativo, spinta da pratiche come la people analytics e i programmi di wellness aziendale, questa decisione del Garante funge da potente argine. Essa ricorda a tutte le aziende che l’efficienza organizzativa e la cura del personale, per quanto lodevoli, non possono mai avvenire a scapito dei principi fondamentali di protezione dei dati.

Il Garante non si oppone acriticamente all’uso di strumenti e dati per il miglioramento dell’organizzazione del lavoro, anzi, fa l’opposto: l’analisi puntuale e dettagliata del caso oggetto del provvedimento del Garante rivela proprio come il Garante si opponga con forza all’uso di strumenti d’indagine legittimi e trattamenti con finalità legittime, quando questi vengano usati in modo alterato per aggirare il sistema di tutela  del lavoratore delineato da principi, disposizioni e procedure imposte dalla legge.

Stefano Iacobucci, avvocato in Verona e professore a contratto nell’Università degli Studi di Ferrara

Visualizza il documento: Garante privacy 10 luglio 2025, n. 390

Scarica il commento in PDF

L'articolo Il caso dei questionari somministrati ai dipendenti  e la delicata gestione delle assenze per malattia sembra essere il primo su Rivista Labor - Pacini Giuridica.