È possibile utilizzare dati e informazioni vita privata della dipendente in un procedimento disciplinare? Con il provvedimento n. 288 del 21 maggio 2025 il Garante della privacy ha ritenuto violata la normativa in materia di trattamento dei dati personali nel momento in cui una nota società, al fine di elevare due contestazioni disciplinari nei confronti di una dipendente, ha utilizzato contenuti tratti dal suo profilo Facebook e stralci di conversazione personale avvenuta tramite la piattaforma WhatsApp e l’applicazione Messenger.
L’importanza della privacy nel contesto lavorativo è un tema di crescente rilevanza, specialmente alla luce dell’era digitale in cui viviamo. Con l’aumento dell’uso dei social media e delle piattaforme di messaggistica, è diventato più facile che mai condividere informazioni personali, ma ciò solleva anche interrogativi su quali dati possano essere utilizzati dai datori di lavoro. È essenziale per le aziende comprendere i limiti legali e le normative che governano il trattamento dei dati personali.
Nel giungere a tale decisione, l’Autorità ha preliminarmente rilevato che l’utilizzo di tali informazioni riferite alla dipendente configurasse un’attività di “raccolta” e successivo ulteriore trattamento di dati. Ciò pur non essendosi il datore di lavoro direttamente attivato per effettuare ricerche presso il profilo social o i canali di messaggistica istantanea della lavoratrice (i contenuti erano stati infatti inoltrati da alcuni partecipanti alle conversazioni o, comunque, da soggetti terzi).
Ad esempio, se una dipendente condivide una foto su Facebook in un contesto privato, il datore di lavoro non può semplicemente utilizzare quella foto per giustificare un’azione disciplinare senza violare la privacy della dipendente. La questione si complica ulteriormente quando consideriamo la diffusione di informazioni attraverso amici o colleghi, poiché ciò può compromettere la riservatezza della comunicazione originale.
In questo contesto, è fondamentale comprendere le implicazioni legali e le normative vigenti riguardo a come e quando sia lecito utilizzare dati e informazioni vita privata della dipendente in un procedimento disciplinare.
È fondamentale che i datori di lavoro stabiliscano politiche chiare riguardo all’uso dei dati personali e forniscano formazione ai propri dipendenti su questi temi. Le aziende dovrebbero avere procedure in atto per gestire le informazioni raccolte e garantire che vengano utilizzate solo per scopi legittimi e conformi alla legge.
Secondo l’Autorità infatti “l’assenza di un «ruolo attivo» della Società nella ricerca delle informazioni non ha alcun rilievo ai fini della identificazione dell’attività consistente nel successivo utilizzo nel procedimento disciplinare quale “trattamento”, in quanto ne costituisce solo una delle possibili manifestazioni (v. in senso conforme Cass. civ., sentenza 14/10/2014, n. 21107…”).
In un contesto disciplinare, la raccolta di dati personali dovrebbe essere accompagnata da una valutazione del rischio e da misure per salvaguardare i diritti dei dipendenti. Un approccio equilibrato può aiutare a prevenire conflitti e a mantenere un ambiente di lavoro sano e rispettoso.
Una volta ricondotta il comportamento datoriale a un trattamento di dati, si è reso necessario verificare se lo stesso fosse stato effettuato in presenza di un’idonea base giuridica, ossia di una delle condizioni di liceità del trattamento tassativamente indicate dall’art. 6 del Regolamento (GDPR).
È importante notare che le normative variano significativamente da paese a paese. In alcuni paesi, le leggi sulla protezione dei dati sono più severe, richiedendo un consenso esplicito per il trattamento di dati personali. Pertanto, le aziende devono essere consapevoli delle leggi locali e adattare le loro pratiche di conseguenza.
Nel caso trattato, le modalità con cui determinate informazioni erano state condivise dalla lavoratrice (tra colleghi e amici, comunque, in un ambito ristretto di persone) hanno fatto dedurre che le stesse fossero veicolate solo ad alcuni specifici e determinati soggetti e che, pertanto, comportavano una legittima aspettativa di riservatezza della dipendente “con la conseguenza che l’utilizzo di tali contenuti da parte di un terzo (in questo caso il datore di lavoro) avrebbe necessariamente richiesto l’effettuazione di un previo bilanciamento tra i diritti e gli interessi delle parti coinvolte”.
In aggiunta, la trasparenza è un elemento cruciale. Le aziende devono comunicare chiaramente ai dipendenti come saranno utilizzati i loro dati e quali misure di protezione sono in atto. Questo non solo aiuta a costruire fiducia, ma può anche ridurre il rischio di controversie legali.
Di riflesso, l’Organismo di Vigilanza ha evidenziato come nel caso di specie alcun “Test di bilanciamento” con i diritti e le libertà fondamentali della dipendente fosse stato effettuato dalla datrice di lavoro, tenuto altresì conto che, nel caso di specie, a sostegno delle contestazioni disciplinari si sarebbero potuti utilizzare altri mezzi meno pregiudizievoli (altri fatti menzionati nelle lettere di addebito disciplinare).
Negli ultimi anni, ci sono stati casi significativi di violazione della privacy nel luogo di lavoro che hanno portato a sanzioni severe per i datori di lavoro. Ad esempio, una nota azienda è stata multata per aver monitorato le comunicazioni dei dipendenti senza il loro consenso, sottolineando l’importanza di rispettare le normative sulla privacy.
L’Autorità ha rilevato inoltre profili di illegittimità nel trattamento di dati, per essere il contenuto di tali informazioni consistito “in opinioni espresse e comunicazioni intervenute in ambiti esterni al rapporto di lavoro e quindi al di fuori del perimetro relativo alla valutazione dell’attitudine professionale della lavoratrice”.
Infine, è essenziale che le aziende considerino il benessere dei dipendenti come una priorità. Creare un ambiente in cui i dipendenti si sentano rispettati e protetti nella loro vita privata può portare a una maggiore soddisfazione e produttività sul lavoro.
L’ingerenza del datore di lavoro nella sfera privata della lavoratrice è stata pertanto valutata eccessiva, considerato che l’ordinamento giuridico tutela – tra i diritti fondamentali dell’individuo – la libertà e la riservatezza delle comunicazioni (art. 15 Cost.).
Conseguentemente, il Garante dichiarando illecito, a norma degli artt. 5, par. 1, lett. a), b) e c), 6 e 88 del Regolamento (GDPR) e art. 113 del Codice della Privacy, il trattamento dei dati personali effettuato dalla Società, ha condannato il datore di lavoro al pagamento di una “salata” sanzione amministrativa.