Malattia in bacheca, scatta la stangata: 10mila euro di multa per l'azienda

Esporre i motivi di assenza dei dipendenti, anche con sigle come MAL o 104, è illegale. Il Garante Privacy sanziona un’azienda per violazione della privacy.

La violazione della privacy affissa in bacheca. Una multa da 10.000 euro per aver violato la riservatezza dei propri dipendenti. È questa la pesante sanzione che il Garante per la protezione dei dati personali ha inflitto a un’azienda di trasporti con il provvedimento 363/2025 del 23 giugno. La colpa del datore di lavoro è stata quella di aver diffuso, attraverso le bacheche aziendali e comunicazioni via e-mail, i motivi specifici delle assenze del personale, rendendo pubbliche informazioni private e sensibili. Un atto che, secondo l’Autorità, costituisce una grave violazione delle normative sulla privacy, stabilendo un principio netto: l’organizzazione dei turni non può mai giustificare la lesione dei diritti fondamentali dei lavoratori.

Le sigle della discordia: dalla malattia al permesso sindacale

L’indagine del Garante ha preso le mosse da un reclamo sindacale presentato da alcuni lavoratori. La loro lamentela era chiara e circostanziata: l’azienda pubblicava i tabelloni dei turni di servizio indicando, accanto ai nomi dei dipendenti assenti, delle sigle che ne specificavano la causa. Abbreviazioni come “MAL” per malattia, “INF” per infortunio,

“104” per i permessi legati alla legge 104/1992, e “PS” per permesso sindacale. In questo modo, dati estremamente personali, idonei a rivelare lo stato di salute o l’appartenenza sindacale di una persona, venivano resi accessibili a tutto il personale, violando palesemente il diritto alla riservatezza.

La debole difesa dell’azienda

Di fronte alle contestazioni, la società ha tentato una difesa basata su due argomenti principali. In primo luogo, ha sostenuto che l’uso delle sigle fosse un metodo per garantire trasparenza e per prevenire eventuali conflitti tra i lavoratori chiamati a sostituire i colleghi assenti. In secondo luogo, ha richiamato l’articolo 10 della legge 138/1958

, che impone alle imprese di trasporto di affiggere i turni di servizio. Tuttavia, nel corso del procedimento, l’azienda ha fatto un parziale passo indietro, modificando la prassi e sostituendo le sigle specifiche con una generica lettera “A” per indicare l’assenza. Una mossa tardiva che non è bastata a sanare l’illecito già commesso.

La sentenza del Garante: il principio di minimizzazione è inderogabile

Il Garante ha respinto categoricamente le giustificazioni dell’azienda, dichiarando il trattamento illecito. L’Autorità ha evidenziato come tale comportamento violi due pilastri del Regolamento Ue 2016/679 (il Gdpr): l’articolo 5, che sancisce il principio di minimizzazione

(i dati trattati devono essere adeguati, pertinenti e limitati a quanto necessario), e l’articolo 9, che regola il trattamento dei dati particolari. La normativa, infatti, permette a un datore di lavoro di trattare dati sensibili come quelli sanitari o sindacali solo se strettamente indispensabile per adempiere a obblighi di legge. Nel caso specifico, conoscere la causa dell’assenza non era affatto necessario per la corretta gestione dei turni. Inoltre, il richiamo alla legge del 1958 è stato giudicato non pertinente, poiché essa obbliga a pubblicare i turni, ma non autorizza in alcun modo la divulgazione dei motivi di assenza. I colleghi, ha concluso il Garante, non sono soggetti legittimati a conoscere tali informazioni.

Un orientamento consolidato contro la curiosità aziendale

La decisione non rappresenta un fulmine a ciel sereno, ma consolida un orientamento già ben definito dall’Autorità. Il Garante ha infatti richiamato i propri precedenti (provvedimenti 341/2014 e 105/2020) e le linee guida del 2007 per il settore pubblico, valide anche per i privati, ribadendo che le esigenze organizzative non possono mai prevalere sul diritto alla privacy. La regola è quella della minimizzazione: l’informazione deve essere limitata a ciò che è strettamente necessario per la gestione del rapporto di lavoro. Qualsiasi dettaglio eccedente, come la ragione di un’assenza, deve rimanere confidenziale.

La sanzione e il valore di monito

Alla luce di queste considerazioni, il Garante non solo ha dichiarato illecito il trattamento dei dati, ma ha anche comminato una sanzione amministrativa pecuniaria di 10.000 euro. Per aumentare l’efficacia della decisione e fungere da monito per altri datori di lavoro, è stata disposta anche la pubblicazione del provvedimento sul sito istituzionale dell’Autorità. Un messaggio chiaro: la privacy dei lavoratori non è un dettaglio negoziabile.