Comunicare la malattia del dipendente è legale?

La privacy del lavoratore è tutelata. Divulgare l’assenza per malattia viola la privacy perché rivela dati sensibili sulla salute. Il datore di lavoro deve usare cautele (cifratura) e rischia di dover risarcire il danno.

Nelle dinamiche quotidiane di un ufficio o di un’azienda, capita spesso che un collega sia assente. La gestione di questa assenza, però, tocca corde molto delicate che riguardano la privacy. Se il responsabile comunica al team “Mario Rossi oggi è assente”, fornisce un’informazione organizzativa. Ma se specifica “Mario Rossi è assente per malattia”, sta condividendo un dato personale protetto. È una situazione comune, che porta molti lavoratori e datori di lavoro a chiedersi:

L’assenza per malattia è un dato sensibile?

L’informazione relativa all’assenza di un dipendente per malattia è a tutti gli effetti un dato sensibile (ora definito “dato particolare” dalla normativa europea). Questo perché, anche senza specificare la patologia di cui soffre il lavoratore, l’informazione è “idonea a rivelare lo stato di salute dell’interessato”. Non importa se si tratta di un banale raffreddore o di una condizione più seria: la legge tutela la riservatezza su

Come deve gestire il datore i dati sulla salute?

Il datore di lavoro, sia esso un soggetto pubblico (come un Comune o una scuola) sia una persona giuridica privata (un’azienda), è tenuto per legge a trattare questi dati con cautele straordinarie. La normativa (come ribadito dalla Corte d’Appello di Palermo, sezione I, sentenza 6 ottobre 2025 n. 1399) impone che i dati sensibili idonei a rivelare lo stato di salute siano trattati solo con modalità organizzative che proteggano l’identità del lavoratore.

Se l’azienda deve gestire internamente i certificati medici, deve farlo usando strumenti come la

Quali errori deve evitare il datore di lavoro?

L’errore più grave è la diffusione di questo dato, ovvero comunicarlo a soggetti indeterminati o non autorizzati. Costituisce una violazione grave, ad esempio, dare notizia dell’assenza per malattia di un dipendente pubblicandola sull’albo pretorio dell’ente (nel caso della Pubblica Amministrazione) o sul sito internet ufficiale.

Un dirigente che invia una e-mail a tutto il reparto scrivendo “L’Avvocato Bianchi sarà assente fino a venerdì perché malato” commette un illecito trattamento di dati. Allo stesso modo, viola la privacy la P.A. che pubblica una determina dirigenziale online menzionando il nome del dipendente assente per malattia (o, come nel caso analizzato dalla Corte, menzionando anche la pendenza di un processo per mobbing, anch’esso legato a condizioni di salute).

Annuncio pubblicitario

Cosa rischia chi diffonde i dati sulla malattia?

Il datore di lavoro che tratta illecitamente i dati personali dei dipendenti, diffondendo informazioni sul loro stato di salute, è tenuto al risarcimento del danno. La legge (nello specifico l’art. 15 del D.lgs 196/2003, applicato nel caso citato) configura questa responsabilità in modo simile a quella prevista per l’esercizio di attività pericolose (art. 2050 del codice civile). Si tratta di una forma di responsabilità aggravata: il datore di lavoro è considerato responsabile a meno che non fornisca una prova liberatoria molto rigorosa.

Come si prova il danno e come ci si difende?

In un’eventuale causa per risarcimento, l’onere della prova è così ripartito:

• il lavoratore danneggiato deve dimostrare di aver subito un danno (ad esempio un danno morale, di immagine o una sofferenza psicologica) e il nesso di causa, cioè che quel danno è stato causato direttamente dalla diffusione illecita della notizia sulla sua malattia;
• il datore di lavoro (l’autore dell’illecito), per evitare la condanna, deve fornire la cosiddetta prova liberatoria.

Per liberarsi dalla responsabilità, il datore deve dimostrare non solo di essere stato diligente, ma di aver adottato tutte le misure idonee a prevenire il danno, tenendo conto del progresso tecnico e scientifico. Oppure, deve provare che il danno è stato causato da un evento imprevedibile e inevitabile (caso fortuito, forza maggiore) o dal fatto di un terzo o della stessa vittima.

Il risarcimento del danno è automatico?

Un punto fondamentale è che il risarcimento non scatta automaticamente solo perché c’è stata la violazione. La giurisprudenza esclude che si tratti di un danno in re ipsa (cioè “nel fatto stesso”). La semplice lesione dell’interesse protetto (la privacy) non è sufficiente per ottenere un risarcimento. Il dipendente deve provare che da quella violazione (es. la pubblicazione del suo stato di malattia sul sito aziendale) è derivato un danno effettivo, come ansia, stress, imbarazzo in ambiente lavorativo o discriminazione da parte dei colleghi.