Il Garante per la protezione dei dati personali, con provvedimento n. 363 del 23 giugno 2025, ha sanzionato una società che diffondeva informazioni relative alle ragioni di assenza dei propri dipendenti, rendendole note mediante sigle e acronimi riportati sulle tabelle dei turni.
Nel caso in esame, il Garante avviava, a seguito di un reclamo presentato da sindacato su mandato di alcuni dipendenti, degli accertamenti ispettivi nei confronti di una società di trasporti, la quale veniva segnalata per l’illecita divulgazione di dati personali di natura sensibile appartenenti ai propri dipendenti.
In particolare, il reclamo indicava l’avvenuta divulgazione, in favore di tutti i dipendenti della Società, delle informazioni relative ai motivi delle assenze di singoli dipendenti, che venivano indicate con sigle sintetiche nelle tabelle dei turni di servizio, le quali venivano poi condivise con la popolazione aziendale sia mediante affissione sulle bacheche aziendali, posizionate presso i depositi dei mezzi di trasporto, sia mediante trasmissione via mail a tutti i dipendenti.
A fronte dell’avvenuta richiesta di chiarimenti, la Società spiegava che la scelta era stata dettata dalla necessità di giustificare ai dipendenti le rimodulazioni dei turni settimanali di servizio cagionate dalle assenze sopravvenute di alcuni colleghi. Secondo quanto evidenziato dalla Società, dunque, la divulgazione serviva a motivare le scelte aziendali effettuate nel disporre la turnazione, dimostrando che non erano determinate da trattamenti di favore, onde evitare, così, conflitti interni.
Alla luce delle informazioni raccolte, il Garante rilevava l’illiceità del trattamento di dati personali particolari effettuato dalla Società.
Il Garante, in particolare, stabilita la natura di dati particolari delle informazioni indicate dalle sigle utilizzate, idonee a far conoscere lo stato di salute dei dipendenti interessati, ribadiva due principi di diritto fondamentali, applicabili al caso di specie.
Il Garante, dunque, riaffermava che, anzitutto, “in base alla disciplina in materia di protezione dei dati personali, il datore di lavoro può trattare i dati personali dei propri dipendenti, anche relativi a categorie particolari di dati (…), se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi”. E, inoltre, che “In ogni caso, il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.
In forza dei principii ricordati, dunque, il Garante evidenziava l’illiceità del trattamento realizzato in quanto, in primo luogo, la diffusione delle tabelle recanti i turni di servizio contenenti le dette sigle rendeva disponibili i dati sensibili dei dipendenti a soggetti che, ancorché operanti all’interno dell’azienda, non avevano motivo, né erano autorizzati ad accedere a tali dati. In secondo luogo, il trattamento identificato nella comunicazione dei dati a soggetti non autorizzati risultava, altresì, innecessario ed eccedente rispetto alle finalità espressamente consentite.
Il Garante, pertanto, accertata l’illiceità del trattamento, sanzionava la società applicandovi la sanzione amministrativa del pagamento di una somma pari a 10 mila euro.