Oggi la tutela dei dati personali sul luogo di lavoro è un valore cardine nelle norme del legislatore. In materia troviamo il GDPR e il Codice della Privacy che fissano confini invalicabili, per quanto riguarda l’utilizzo di badge o della videosorveglianza, e che stabiliscono il contenuto dei diritti del lavoratore e i corrispettivi obblighi del datore, come titolare del trattamento.

Il recente provvedimento del Garante Privacy secondo cui è vietata la divulgazione dei motivi dell’assenza dei dipendenti dall’ufficio, tanto che se un datore decide di utilizzare una bacheca pubblica nei locali aziendali si espone a una multa dell’Authority.

A tutela del diritto alla riservatezza, sempre prevalente sulle esigenze organizzative aziendali, la decisione segue un consolidato orientamento del Garante (provvedimenti 341/2014 e 105/2020), ma anche le linee guida pubblicate il 10 luglio 2007 per il settore pubblico, ma valide anche per i privati.

Vediamo allora in sintesi la vicenda e che cosa ha stabilito l’Authority, perché è di monito per la generalità delle aziende.

La prassi aziendale finita nel mirino dell’Authority

Il provvedimento cui si fa riferimento è il n. 363 dello scorso 23 giugno e trae origine da una prassi di un’azienda di trasporti, per cui i superiori diffondevano la notizia sulle ragioni della mancanza dei dipendenti.

Lo facevano utilizzando un’apposita bacheca che, con l’affissione di tabelle dei turni di servizio, finiva per includere anche dati personali e sensibili, in palese violazioni delle comuni regole sulla privacy nei luoghi di lavoro.

È interessante notare che le informazioni sugli appena citati motivi, erano indicate con sigle sintetiche facilmente decifrabili da qualsiasi dipendente che si avvicinasse alla bacheca.

Ad esempio compariva:

  • MAL al posto di malattia;
  • INF per infortunio;
  • PS per permesso sindacale;
  • SOSP al posto di sanzione disciplinare;
  • 104 in luogo di permesso assistenza persone con disabilità.

Non solo. La lettura di queste informazioni private era agevolata da un doppio canale di comunicazione. Infatti, oltre all’affissione delle menzionate tabelle presso il deposito aziendale dei mezzi di trasporto usati per la gestione del servizio, i motivi delle assenze erano conoscibili anche grazie all’invio di e-mail a tutto il personale.

La giustificazioni dell’azienda bocciate dal Garante

La prassi in oggetto non è rimasta impunita, perché attraverso apposito reclamo sindacale al Garante da parte di alcuni dipendenti, l’inevitabile conseguenza è stata una consistente sanzione amministrativa pecuniaria per la violazione di comuni regole di privacy sul lavoro.

Non bastarono infatti le difese adottate dall’azienda a evitare la multa. La datrice sosteneva infatti che il ricorso alle citate sigle servisse per mere ragioni organizzative interne, per trasparenza ed evitare che qualche dipendente, costretto a sostituire il collega assente, ne contestasse l’assenza.

Un classico caso, insomma, in cui il fine non giustifica i mezzi (invasivi) utilizzati. E neanche il richiamo all’art. 10 della legge 138 del 1958 sull’orario di lavoro del personale degli automezzi pubblici di linea extra urbani, fatto dall’azienda nel procedimento presso il Garante, è valso a cambiare l’esito della questione. In particolare, secondo questa regola:

Le aziende esercenti devono affiggere i turni di servizio negli uffici, nelle autostazioni, nei depositi e nelle officine in modo che il personale ne possa prendere conoscenza.

Proprio per questo, la società di trasporti sosteneva anche che la regola in oggetto le imponesse di fornire dati utili circa i turni di servizio.

Il problema di fondo ruotava tutto sulla presenza delle menzionate sigle da cui era possibile trarre informazioni private e, non a caso, durante l’iter presso il Garante l’azienda datrice scelse di cambiare la prassi sostituendo tutte le sigle con una sola lettera A, a indicare l’assenza del dipendente.

Una sorta di implicita ammissione di colpa, che non è stata sufficiente a evitare la sanzione in denaro. Tanto più che nella decisione del Garante il richiamo alla legge del 1958 è stato ritenuto vano e inopportuno, perché questa normativa obbliga semplicemente a pubblicare i turni, ma non dà diritto di far conoscere a terzi i motivi di assenza.

Le norme violate e la multa inflitta al datore di lavoro

10mila euro è l’importo che l’azienda di trasporti dovrà pagare, nonostante il tentativo di difendere la contestata pubblicazione. Non basta infatti l’esigenza di organizzazione dei turni a giustificare una tale invasione dell’altrui sfera di riservatezza, perché ne deriva una lesione dei diritti fondamentali del lavoratori che non può che essere tutelata con un provvedimento dell’Authority.

Non occorreva una minuziosa dimostrazione giuridica, per intuire che questa prassi era un trattamento illecito di dati e faceva sì che soggetti terzi venissero a conoscenza di informazioni private riguardanti salute e appartenenza a un sindacato, in contrasto con principi costituzionali prima ancora che con la legge sulla privacy.

In particolare, la violazione del GDPR era in due specifici articoli. Anzitutto era violato l’art. 5 punto 1 lett. c) sul principio di minimizzazione dell’utilizzo dei dati personali, perché l’informazione deve essere sempre limitata a quanto è strettamente necessario per la gestione del rapporto. Perciò menzionare la ragione dell’assenza dall’ufficio significa dare troppe informazioni personali e violare il GDPR.

Non solo. La società datrice violava anche l’art. 9, relativo al trattamento dei dati particolari, in cui, in maniera molto esplicita, si afferma che:

È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

Che cosa cambia con il nuovo provvedimento

Come chiarito dal Garante con il provvedimento n. 363 di quest’anno, una prassi come quella vista sopra è da ritenersi sproporzionata rispetto agli scopi dell’azienda e – se è vero che la legge vigente ammette il trattamento di dati personali e sensibili come quelli sanitari o sindacali  – ciò è possibile, soltanto se indispensabile per rispettare obblighi di legge.

Ad esempio se un’azienda raccoglie informazioni sulla salute del lavoratore per adempiere a un obbligo previsto dalla normativa sulla sicurezza (come verificare che un addetto a mansioni rischiose non svolga attività incompatibili con il suo stato di salute), una prassi di questo tipo sarebbe giustificata.

Ma, in questo caso specifico, conoscere il motivo dell’assenza non era affatto necessario per la buona organizzazione dei turni del personale. La decisione dell’Authority contro pratiche invasive (ne è un esempio anche quella sul riconoscimento facciale) rappresenta un avvertimento per tutte le aziende.

Le esigenze di trasparenza e gestione interna non possono mai prevalere sul diritto alla riservatezza del lavoratore, e i datori di lavoro devono limitarsi a comunicare l’assenza del dipendente, senza specificarne le ragioni, adottare strumenti riservati di comunicazione interna, evitando sempre bacheche pubbliche o email collettive che possano esporre informazioni sensibili.

Al contempo, dovranno formare dirigenti e responsabili HR sul corretto trattamento dei dati, così da prevenire violazioni involontarie e conseguenti danni reputazionali.