Troppi dati sui dipendenti: scatta la multa per violazione della privacy

Troppi dati sui dipendenti: scatta la multa per violazione della privacy. È quanto è accaduto a un’azienda metalmeccanica di rilevanza nazionale, colpita da una sanzione da 50.000 euro emessa dal Garante della Privacy per aver imposto controlli sanitari sistematici ai propri dipendenti al termine di ogni periodo di malattia. Un caso che riguarda migliaia di realtà produttive italiane e che chiarisce dove si trova il confine tra legittima verifica e raccolta illecita di informazioni personali.

Le verifiche, pensate per accertare lo stato di salute del personale prima del rientro in servizio, si sono trasformate in procedure invasive e potenzialmente vessatorie, mettendo in discussione la liceità di un approccio che, anziché salvaguardare la persona, ha finito per oltrepassare i limiti della correttezza. La vicenda solleva interrogativi cruciali su come garantire un ambiente di lavoro etico e rispettoso, in cui le regole interne non ledano mai i diritti fondamentali dei lavoratori.

Quando i controlli sui dipendenti diventano una violazione della privacy

Il nodo centrale del provvedimento è semplice: raccogliere più dati del necessario equivale a violare la privacy. L’obbligo di sottoporsi a visite mediche approfondite, indipendentemente dalla durata o dal tipo di assenza, ha suscitato forti perplessità per la possibile violazione dei principi sanciti dal GDPR. Questo Regolamento impone trasparenza, finalità chiare e un uso responsabile delle informazioni personali, in particolare quando si tratta di dati sensibili come quelli legati alla salute dei dipendenti.

Gli accertamenti interni erano condotti in modo da raccogliere una mole di informazioni non sempre pertinenti al fine del reintegro in servizio. Un simile approccio non solo incrina la fiducia tra azienda e lavoratore, ma rischia anche di indebolire quel senso di collaborazione su cui si fonda una cultura aziendale sana.

Le normative violate: GDPR e Statuto dei Lavoratori

Il provvedimento del Garante ha evidenziato il mancato rispetto di alcune disposizioni chiave. In particolare:

👉 Leggi anche: Catasto, Agenzia delle Entrate avvia controlli: 20mila lettere di compliance per immobili non dichiarati

• GDPR (Regolamento UE 2016/679): vieta la raccolta di dati personali eccedenti rispetto alla finalità dichiarata (principio di minimizzazione, art. 5).
• Statuto dei Lavoratori (L. 300/1970): vieta qualsiasi indagine su aspetti della vita privata non strettamente connessi all’attività professionale.
• Principio di proporzionalità: ogni trattamento di dati sanitari deve essere strettamente necessario e limitato allo scopo specifico.

La multa da 50.000 euro diventa quindi un caso emblematico per comprendere quanto sia essenziale tutelare la privacy dei dipendenti e mantenere un rapporto di reciproca fiducia in azienda. Troppi dati sui dipendenti: scatta la multa per violazione della privacy non è uno slogan, ma una concreta conseguenza amministrativa con impatti reputazionali significativi.

Quali dati sanitari può raccogliere il datore di lavoro?

Non tutti i controlli sanitari sono vietati. La legge distingue con precisione:

Controlli consentiti

• Visite del medico competente previste dal D.Lgs. 81/2008 (Testo Unico sulla Sicurezza), limitate alla valutazione dell’idoneità alla mansione specifica.
• Accertamenti disposti dall’INPS o da enti previdenziali per verificare lo stato di malattia.
• Visite di controllo richieste dal datore di lavoro tramite l’ASL competente, nei casi e con le modalità previste dalla legge.

Controlli non consentiti

• Visite mediche interne sistematiche al rientro da qualsiasi assenza per malattia, indipendentemente dalla durata.
• Raccolta di diagnosi, cartelle cliniche o informazioni sulla patologia specifica del lavoratore.
• Indagini sullo stile di vita, sulle abitudini o su condizioni di salute non correlate alla mansione.

Le conseguenze per le aziende: sanzioni e danni reputazionali

Ogni direzione aziendale chiamata a valutare le condizioni psicofisiche del personale deve agire con cautela e proporzionalità, evitando di acquisire dati ultra-personali che superino la finalità del singolo controllo. In caso contrario, le conseguenze possono essere severe:

• Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo globale (GDPR, art. 83).
• Provvedimenti correttivi del Garante, inclusa la sospensione del trattamento dei dati.
• Danno reputazionale con impatto su relazioni sindacali, clima interno e immagine pubblica.
• Contenzioso lavorativo da parte dei dipendenti che ritengano lesi i propri diritti.

Consenso informato e formazione: come prevenire la violazione

Il richiamo del Garante è anche un invito concreto a investire in procedure trasparenti. Il consenso informato dei lavoratori, quando correttamente acquisito, favorisce la costruzione di un clima aziendale basato sul rispetto e sulla collaborazione. Ma attenzione: nel rapporto di lavoro subordinato, il consenso da solo non è sufficiente a legittimare trattamenti di dati sanitari — occorre sempre una base giuridica autonoma prevista dalla legge.

Le azioni preventive che ogni azienda dovrebbe adottare includono:

👉 Leggi anche: AliExpress multata di 550 milioni dall'Ue: cosa cambia per i consumatori italiani

• Redigere o aggiornare il Registro dei trattamenti (art. 30 GDPR) includendo tutti i trattamenti di dati dei dipendenti.
• Nominare un DPO (Data Protection Officer) ove obbligatorio o comunque opportuno.
• Formare il personale HR e i responsabili di linea sui limiti della raccolta dati in ambito lavorativo.
• Effettuare una DPIA (Valutazione d’impatto) prima di avviare trattamenti sistematici di dati sanitari.
• Limitare l’accesso ai dati sanitari ai soli soggetti autorizzati (medico competente, HR strettamente necessario).

Al contrario, forzare pratiche di controllo e acquisizione di dati sanitari può generare tensioni e diffidenza, compromettendo la produttività e l’immagine dell’organizzazione. Assicurare la corretta gestione delle informazioni e l’equilibrio tra le esigenze di verifica e la riservatezza individuale significa porre le basi per un ambiente di lavoro sostenibile, dove competenze, dignità e benessere dei dipendenti continuino a essere al centro dell’attenzione.

FAQ: Troppi dati sui dipendenti e violazione della privacy

Un’azienda può obbligare i dipendenti a una visita medica al rientro dalla malattia?

Solo in casi specifici e attraverso canali previsti dalla legge (medico competente per idoneità alla mansione, ASL su richiesta del datore di lavoro). Non può imporre visite mediche interne sistematiche per qualsiasi assenza.

Quali dati sanitari può trattare il datore di lavoro?

Solo quelli strettamente necessari alla valutazione dell’idoneità alla mansione, forniti dal medico competente sotto forma di giudizio (idoneo/non idoneo), senza diagnosi o dettagli clinici.

Cosa rischia un’azienda che raccoglie troppi dati sui dipendenti?

Sanzioni amministrative del Garante della Privacy (nel caso citato, 50.000 euro), provvedimenti correttivi, danni reputazionali e possibile contenzioso con i lavoratori.

Il consenso del dipendente basta a rendere lecito il trattamento dei dati sanitari?

No. Nel contesto lavorativo il consenso non è una base giuridica sufficiente per i dati sanitari, poiché il rapporto di dipendenza non garantisce la libera manifestazione della volontà. Occorre una base legale specifica.

Come può un’azienda tutelarsi da sanzioni per violazione della privacy dei dipendenti?

Aggiornando il Registro dei trattamenti, formando il personale HR, nominando un DPO ove necessario ed effettuando una DPIA prima di avviare trattamenti sistematici di dati sensibili.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.