Il Garante per la protezione dei dati personali, con il provvedimento n. 363 del 23 giugno 2025, ha sanzionato una società che ha divulgato dati personali, anche di natura sensibile, relativi ai motivi dell’assenza dal lavoro del proprio personale.

In particolare, le informazioni relative ai motivi delle assenze, indicate mediante sigle sintetiche (“MAL” in luogo di malattia, “104” in luogo di “permesso assistenza disabili, l. n. 104/1992”, “SOSP” in luogo di sospensione/sanzione disciplinare, ecc.) venivano rese disponibili a tutti i dipendenti, mediante affissione delle tabelle dei turni di servizio sulle bacheche aziendali, nonché tramite l’invio di una e-mail ai dipendenti dell’azienda.

La Società giustificava tale diffusione per informare tutti i lavoratori che l’azienda non adotta alcun trattamento di favore nel predisporre la turnazione.

Al riguardo, il Garante ricorda che in base alla disciplina in materia di protezione dei dati personali, il datore di lavoro può trattare i dati personali dei propri dipendenti, anche relativi a categorie particolari di dati (tra cui sono ricompresi i dati relativi alla salute e quelli relativi all’appartenenza sindacale, art. 9, par. 1, Regolamento), se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi.

In ogni caso, il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

Il Garante specifica ulteriormente che i dati personali dei dipendenti non possono essere messi a conoscenza di soggetti diversi da coloro che sono parte del rapporto contrattuale e non possono essere trattati da coloro che, ancorché operino presso l’impresa, non siano autorizzati ad accedere a tali dati, in ragione delle mansioni svolte.

Pertanto, nel caso concreto, il Garante ha ritenuto di sanzionare la società in quanto la comunicazione delle informazioni relative ai motivi delle assenze da lavoro è avvenuta al difuori delle specifiche competenze e degli obblighi sanciti dalla normativa e, trattandosi di categorie particolari di dati, è stata effettuata in violazione dell’art. 9 del Regolamento, nonché del principio di minimizzazione dei dati, in quanto le informazioni sulle cause delle assenze da lavoro non risultano necessarie a garantire il regolare avvicendamento e la programmazione dei turni di lavoro.

Allegato: GarantePrivacy-10161545-1.0