1. La vicenda sottoposta all’Autorità

Il provvedimento del Garante Privacy in esame, n. 288 del 21 maggio 2025, origina dal reclamo formulato innanzi all’Autorità Garante da una dipendente licenziata, che ha lamentato violazioni della normativa data protection.

La Società datrice di lavoro avrebbe elevato a carico della donna una serie di contestazioni disciplinari che riportavano, tra gli altri elementi, i riferimenti a contenuti tratti dal profilo privato della reclamante, attivo sul social network Facebook, nonché a stralci di conversazioni Messenger e WhatsApp con i colleghi.

Circostanza da non ignorare: le fonti sopra citate non sono state raccolte dalla Società condannata, ma usate dalla stessa, dopo averle ricevute da terzi soggetti.

Le questioni giuridiche affrontate nel provvedimento attengono, in somma sintesi, alla liceità dei trattamenti di dati personali, effettuati dalla Società datrice, per finalità disciplinari, relativi a comunicazioni interpersonali tra una dipendente e terzi, nonché a fatti non connessi al rapporto di lavoro.

2. Il quadro giuridico di riferimento

Come è prassi, l’Autorità Garante parte dal concetto di condizione di liceità del trattamento, da intendersi in senso ampio, come osservanza di tutte le norme dell’ordinamento quindi, anche, di quelle previsioni più specifiche e di maggior tutela, rappresentate, per quel che qui interessa, dalla legge n.300 del 1970, c.d. Statuto dei lavoratori.

Sappiamo, infatti, che in materia di protezione dei dati a carattere personale entrano in rilievo il corpus costituito dal Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (detto anche GDPR), al quale fanno da integrazione il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n.196, come modificato dal d.lgs. 10 agosto 2018, n.101), nonché quelle previsioni nazionali più specifiche e di maggior tutela, relative al trattamento dei dati personali nell’ambito del rapporto di lavoro (di cui all’art.88 e del cons. 155 del GDPR) e, in particolare, le disposizioni che vietano al datore di lavoro di raccogliere, anche a mezzo terzi, e trattare ulteriormente, informazioni sulle opinioni politiche, religiose o sindacali dei lavoratori, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale (cfr. art.113 Codice privacy, che richiama quanto disposto dall’art.8 dello Statuto dei lavoratori).

Ad ulteriore integrazione dell’articolato normativo sopra delineato si collocano i numerosi atti di c.d. soft law, di derivazione nazionale ed eurounitaria, che concorrono a definire il complesso panorama nel solco del quale la vicenda che ci occupa si inscrive.

3. I rilievi dell’Autorità Garante

In prima istanza, l’Autorità evidenzia di non poter condividere la tesi datoriale, rilevando che, anche la “semplice” utilizzazione delle informazioni in commento costituisce, in ogni caso, un trattamento di dati di carattere personale, a nulla rilevando che i contenuti in esame non fossero stati raccolti direttamente dall’azienda, bensì utilizzati da essa dopo averli ricevuti da soggetti terzi (colleghi della reclamante), destinatari delle comunicazioni medesime. Di conseguenza, la Società avrebbe dovuto conformarsi al corpus normativo ricostruito sin qui. Circostanza che non è avvenuta.

In secondo luogo, nel provvedimento viene evidenziata la natura riservata dei commenti pubblicati sulla bacheca Facebook della reclamante, atteso il carattere “privato” del profilo. Ma – e questo è un passaggio fondamentale, perché troppo spesso non compreso – anche qualora le informazioni personali fossero state pubblicate su un profilo “aperto”, il loro utilizzo, per finalità disciplinari, sarebbe stato illegittimo, perché divergente dalle finalità di comunicazione interpersonale e manifestazione del pensiero (che trovano il proprio fondamento nell’art.21 della Costituzione) perseguite dall’interessata.

È vero, infatti, che, soprattutto nel contesto del web, la messa a disposizione del pubblico di informazioni a carattere personale da parte di un interessato non legittima chiunque, per il solo carattere pubblico dei dati, a farne un uso per proprie ed ulteriori esigenze. Questo insegnamento è il precipitato del principio di finalità, che rappresenta uno dei pilastri dell’intera normativa data protection.

L’Autorità prosegue la propria ricostruzione ravvisando un ulteriore profilo di illiceità nella condotta della Società Autostrade per l’Italia S.p.A, giacché l’organizzazione ha fondato i rilievi disciplinari anche sulle conversazioni tra la lavoratrice e propri colleghi; conversazioni entrate nella disponibilità dell’azienda perché ricevute dai soggetti terzi, che erano parte di quello scambio di comunicazioni.

Sul punto, il provvedimento richiama, a livello sovranazionale, i principi affermati nella sentenza CEDU Bărbulescu v. Romania ma, ancor prima, nell’art.15 della Costituzione.

Volgendo lo sguardo alla giurisprudenza nazionale, la Suprema Corte di Cassazione (v. Cass. Sez. Lav., 10.09.18, n.21965), con riguardo ad una chat su Facebook composta da iscritti ad un sindacato, ha avuto modo di affermare che: “l’esigenza di tutela della segretezza nelle comunicazioni si impone anche riguardo ai messaggi di posta elettronica scambiati tramite mailing list riservata agli aderenti ad un determinato gruppo di persone, alle newsgroup o alle chat private, con accesso condizionato al possesso di una password fornita a soggetti determinati”; “i messaggi che circolano attraverso le nuove “forme di comunicazione”, ove inoltrati non ad una moltitudine indistinta di persone ma unicamente agli iscritti ad un determinato gruppo, come appunto nelle chat private o chiuse, devono essere considerati alla stregua della corrispondenza privata, chiusa e inviolabile”.

Ancor più di recente gli Ermellini (v. Cass. Sez. Lav., 28.02.25, n.5334) hanno ribadito che, attese la portata e le implicazioni del diritto fondamentale alla segretezza della corrispondenza, non può costituire elemento dirimente il fatto che il messaggio in chat non fosse stato appreso dal datore di lavoro di propria iniziativa.

Ulteriore passaggio meritevole di rilievo è quello ove l’Autorità rigetta l’argomentazione difensiva che aveva individuato nel legittimo interesse (di cui all’art.6, par.1, lett. f) GDPR) la base giuridica del trattamento dei dati sin qui richiamati. Il motivo del rigetto della tesi di Autostrade risiede, tra le altre cose, nell’aver omesso di effettuare un test di bilanciamento, che invece il titolare del trattamento è chiamato a condurre, tutte le volte in cui invochi tale condizione di liceità.

Ad avviso dell’Autorità, infatti, la Società non avrebbe dato prova dell’impossibilità di usare altri mezzi – meno pregiudizievoli per i diritti fondamentali della reclamante – per esercitare le proprie prerogative connesse alla gestione del rapporto di lavoro.

L’ultima, ma non per questo meno significativa, censura riguarda l’aver posto a base delle contestazioni disciplinari le opinioni espresse e le comunicazioni rese dalla lavoratrice in ambiti estranei al rapporto di lavoro, pertanto esulanti dal perimetro di valutazione dell’attitudine professionale della reclamante. E qui viene in rilievo lo scrutinio in merito al rispetto dell’art.113 del Codice privacy, il quale, a sua volta, rimanda, per quel che qui interessa, all’art.8 dello Statuto dei lavoratori. Dunque, è la previsione statutaria da ultimo richiamata a fungere da ulteriore parametro di legittimità del trattamento di dati personali della lavoratrice reclamante.

Le parole dell’Autorità, sul punto, non vogliono in alcun modo sacrificare le ragioni e le legittime esigenze datoriali, ma richiedono che il titolare del trattamento, anche quando incarna il ruolo di datore di lavoro, utilizzi con responsabilità le informazioni relative ai propri dipendenti (a prescindere, che siano pertinenti o meno rispetto alla prestazione lavorativa, dunque, a prescindere che si rientri o meno nell’art.8 Stat. lav.) rispettando i principi di liceità, ma anche, di adeguatezza, pertinenza e proporzionalità dei dati.

 4. Brevi conclusioni

Il provvedimento in oggetto, in sostanza, affronta il tema del contemperamento tra il dovere del lavoratore di soggiacere al potere direttivo e di controllo datoriale (di cui al combinato disposto degli artt.2086 e 2104 c.c.), con il diritto del medesimo, a non permettere che i propri dati ed informazioni raccolte tramite strumenti tecnologici siano utilizzati per fatti non rilevanti ai fini della valutazione della propria attitudine professionale e della prestazione lavorativa.

Nella prassi applicativa la fattispecie esaminata è sempre più diffusa, ma la necessità di trovare un bilanciamento tra le legittime istanze datoriali e le altrettanto sacrosante esigenze di riservatezza dei lavoratori rappresenta una delle sfide del momento.

Arianna Ciracò, avvocato in Prato

Visualizza il documento: Garante privacy provvedimento 21 maggio 2025, n. 288

Scarica il commento in PDF

L'articolo L’Autorità Garante per la protezione dei dati personali sanziona la Società Autostrade per l’Italia S.p.A. per indebito uso del profilo personale social e della messaggistica con i colleghi di lavoro ai fini del licenziamento sembra essere il primo su Rivista Labor - Pacini Giuridica.