Con il provvedimento n. 342/2026 del 14 maggio 2026, il Garante per la Protezione dei Dati Personali ha ribadito che dati sullo stato di salute o sul percorso psicologico dei dipendenti non possono essere accessibili, neppure in forma aggregata, da parte del datore di lavoro.
In particolare, il Garante ha analizzato una piattaforma, realizzata da un’apposita società, che utilizza tecniche di intelligenza artificiale e sentiment analysis per elaborare indicatori di stress psicologico a partire dai messaggi scambiati dai lavoratori su piattaforme utilizzate nell’ambito del rapporto di lavoro, quali Slack e Microsoft Teams.
Il servizio in esame può essere acquistato da enti e imprese al fine di consentire alle persone che decidano di farne uso, mentre prestano la propria attività lavorativa, di verificare il proprio livello di stress psicologico.
Nel caso di specie, a seguito dell’attività di istruttoria, l’Autorità non ha rilevato violazioni effettive della normativa privacy, né ha applicato sanzioni.
Tuttavia, il Garante ha specificato che la trasmissione di report aggregati ai datori di lavoro possa comportare, in determinate circostanze, il rischio di identificazione indiretta dei lavoratori e di conoscenza di informazioni riguardanti il loro stato emotivo e psicologico.
Per tale ragione, il Garante ha precisato che l’utilizzo delle nuove tecnologie, come ad esempio le applicazioni, anche se indirizzate a migliorare il benessere dei lavoratori, non possa comportare una raccolta di dati particolari da parte delle imprese.
Più precisamente, il Garante ha concluso che la trasmissione del report agli enti e alle imprese che eventualmente lo richiedano “possa verosimilmente determinare una violazione del quadro normativo in materia di protezione dei dati personali e tutela della dignità della persona che lavora (cfr., in particolare, artt. 5, 6, 9, 24, 25 e 88 del Regolamento e 2-ter e 113 del Codice). Ciò, in particolare, tenuto conto delle specificità delle singole realtà organizzative datoriali (ad esempio, sotto il profilo dimensionale o della numerosità e delle caratteristiche del personale impiegato)”.
Difatti, in tale Provvedimento, il Garante ha ribadito che la Società a cui fa capo la gestione dell’applicazione deve assicurare l’adozione di misure e accorgimenti intesi a prevenire qualsiasi forma di messa a disposizione, anche mediante il predetto report, dei dati delle persone che decidano di fruire del plug-in in favore degli enti e delle imprese che ne costituiscono i rispettivi datori di lavoro, al fine di evitare che gli stessi vengano in qualsiasi modo, anche in via indiretta, a conoscenza delle informazioni trattate mediante il sistema in questione.