Messaggi su WhatsApp non bastano: multa del GDPR per licenziamento irregolare

I messaggi su WhatsApp e le conversazioni private su Facebook non bastano per giustificare un licenziamento: usarli senza consenso come prove disciplinari viola il GDPR e costa caro. Lo dimostra il caso Autostrade per l’Italia, sanzionata con 420.000 euro dal Garante per la protezione dei dati personali per aver utilizzato comunicazioni private di una dipendente in un procedimento di licenziamento disciplinare. Un precedente destinato a fare scuola in tutte le aziende italiane.

Multa GDPR per licenziamento irregolare: cosa è successo ad Autostrade per l’Italia

La sanzione inflitta ad Autostrade per l’Italia – 420.000 euro – nasce da una condotta che il Garante protezione dati ha definito particolarmente grave: l’utilizzo, senza alcun consenso, di conversazioni personali su Facebook e WhatsApp di una dipendente come prova per un licenziamento disciplinare. In altre parole, l’azienda ha acquisito dati coperti da riservatezza senza alcuna base giuridica legittima, violando in modo diretto le norme del GDPR e la normativa italiana sulla privacy.

Questo episodio mette nero su bianco quanto sia rischioso per le aziende ignorare le regole dettate dal Regolamento europeo: non solo si rischiano sanzioni economiche pesanti, ma si compromette anche la fiducia e la reputazione costruite negli anni.

Perché i messaggi WhatsApp non bastano come prova di licenziamento

Il punto centrale della decisione del Garante è chiaro: le comunicazioni private — anche se avvengono su piattaforme digitali come WhatsApp o Facebook — sono protette dalla riservatezza e non possono essere usate liberamente dal datore di lavoro. Ecco perché:

👉 Leggi anche: AliExpress multata di 550 milioni dall'Ue: cosa cambia per i consumatori italiani

• Mancanza di consenso: la dipendente non aveva mai autorizzato l’azienda ad accedere o utilizzare le proprie conversazioni private.
• Assenza di base giuridica: per trattare dati personali a fini disciplinari occorre una base giuridica solida (consenso esplicito, obbligo legale o legittimo interesse proporzionato), che nel caso di specie non esisteva.
• Violazione del principio di minimizzazione: il GDPR impone di trattare solo i dati strettamente necessari; acquisire intere conversazioni private va ben oltre questo limite.
• Violazione della Costituzione: il provvedimento richiama l’articolo 15 della Costituzione italiana, che tutela la libertà e la riservatezza delle comunicazioni personali, diritto che non si sospende nel contesto lavorativo.

Diritti fondamentali e limiti dei poteri datoriali

Il provvedimento del Garante si inserisce in un quadro normativo ben preciso. Anche nel contesto lavorativo, il diritto alla privacy non può essere messo da parte in nome di esigenze aziendali. Per poter utilizzare comunicazioni private come elementi di prova in un procedimento disciplinare, non basta il sospetto o la necessità: serve un consenso esplicito o una solida base giuridica riconosciuta dal GDPR. Diversamente, il rischio di incorrere in una violazione della privacy — con le relative sanzioni — è concreto e immediato.

Il caso dimostra inoltre che i poteri di controllo del datore di lavoro sui dipendenti hanno confini precisi: la sorveglianza non può estendersi alle comunicazioni personali, nemmeno quando si sospetta un comportamento scorretto.

Quanto può costare ignorare il GDPR in un licenziamento

La multa da 420.000 euro inflitta ad Autostrade per l’Italia non è un caso isolato. Il Garante per la protezione dei dati ha intensificato i controlli sui rapporti di lavoro, e le sanzioni previste dal GDPR possono arrivare fino al 4% del fatturato annuo globale dell’azienda o a 20 milioni di euro, a seconda di quale importo sia più elevato. Oltre al danno economico, le aziende rischiano:

• Danni reputazionali difficili da recuperare;
• Contenziosi legali da parte dei lavoratori coinvolti;
• Invalidità del licenziamento stesso, con possibile reintegro del dipendente.

Cosa devono fare le aziende per evitare violazioni GDPR nei procedimenti disciplinari

Il caso Autostrade per l’Italia rappresenta un monito chiaro per tutte le organizzazioni. Ecco le misure concrete da adottare:

👉 Leggi anche: Catasto, Agenzia delle Entrate avvia controlli: 20mila lettere di compliance per immobili non dichiarati

1. Definire policy aziendali chiare sull’uso degli strumenti digitali e sui limiti dei controlli sui dipendenti, rendendole note a tutto il personale.
2. Formare HR e management sui principi del GDPR applicati al rapporto di lavoro, con aggiornamenti periodici.
3. Verificare la base giuridica prima di acquisire qualsiasi dato personale del dipendente a fini disciplinari.
4. Consultare il DPO (Data Protection Officer), se presente, prima di avviare qualsiasi procedimento che coinvolga dati personali.
5. Evitare l’acquisizione di comunicazioni private (WhatsApp, Facebook, email personali) senza un fondamento giuridico esplicito e documentato.

Lezioni per il futuro: prevenire è meglio che curare

La sentenza del Garante sulla protezione dei dati è destinata a fare scuola, indicando la strada da seguire a chi vuole tutelare davvero i diritti delle persone senza compromessi. Trascurare la corretta gestione dei dati personali può trasformarsi in un boomerang, sia dal punto di vista economico che reputazionale. Solo adottando politiche trasparenti e formando adeguatamente i propri dipendenti sui principi cardine del GDPR si potrà costruire un ambiente di lavoro in cui fiducia e rispetto reciproco siano davvero al centro.

FAQ: messaggi WhatsApp, privacy e licenziamento

Un’azienda può usare i messaggi WhatsApp di un dipendente per licenziarlo?

No, non senza una base giuridica legittima. Utilizzare conversazioni private su WhatsApp o altri canali personali come prova in un procedimento disciplinare, senza il consenso del lavoratore o senza un fondamento normativo adeguato, costituisce una violazione del GDPR e può rendere il licenziamento illegittimo.

Cosa rischia un’azienda che viola il GDPR in un licenziamento?

Rischia una sanzione amministrativa fino a 20 milioni di euro o al 4% del fatturato globale annuo, oltre a possibili contenziosi civili e all’invalidità del licenziamento stesso, con eventuale reintegro del dipendente.

Il datore di lavoro può controllare le comunicazioni dei dipendenti?

Solo entro limiti precisi stabiliti dalla legge (Statuto dei Lavoratori, art. 4, e GDPR). I controlli devono essere proporzionati, comunicati preventivamente e basati su una legittima finalità. Le comunicazioni personali su piattaforme private sono generalmente fuori dalla portata del controllo datoriale.

Il GDPR si applica anche ai rapporti di lavoro privati?

Sì. Il GDPR si applica a qualsiasi trattamento di dati personali, incluso quello effettuato nell’ambito del rapporto di lavoro, sia nel settore pubblico che in quello privato.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.