Con il provvedimento n. 363/2025, il Garante sulla protezione dei dati personali ha espresso parere sfavorevole in merito all’esposizione delle assenze dei dipendenti nelle bacheche aziendali o nelle comunicazioni interne, anche sotto forma di sigle o abbreviazioni.
La vicenda alla base del provvedimento
La FAISA Cisal Molise, su mandato di alcuni dipendenti della società SATI S.p.A. Società Autocooperative Trasporti italiani (di seguito “la Società”), ha presentato al Garante per la protezione dei dati personali un reclamo, lamentando la divulgazione di dati personali da parte della Società, anche di natura sensibile, relativi ai motivi dell’assenza dal lavoro del proprio personale.
Le informazioni relative ai motivi delle assenze erano indicate mediante sigle sintetiche (“MAL” in luogo di malattia, “104” in luogo di “permesso assistenza disabili, l. n. 104/1992”, “INF” in luogo di infortunio, “SOSP” in luogo di sospensione/sanzione disciplinare, “PS” in luogo di permesso sindacale, “ric.osp.” in luogo di ricovero ospedaliero, “AVIS” in luogo di donazione sangue) ed erano rese disponibili a tutti i dipendenti, mediante l’affissione delle tabelle dei turni di servizio sulle bacheche aziendali, posizionate presso i depositi aziendali dei mezzi di trasporto utilizzati per la gestione del servizio, nonché tramite l’invio di una e-mail ai dipendenti dell’azienda.
La società, chiamata a fornire informazioni circa il comportamento illecito, comunicava che l’utilizzo delle sigle garantiva trasparenza e preveniva conflitti tra i lavoratori chiamati a sostituire i colleghi assenti.
La stessa società comunicava, inoltre, di aver provveduto all’eliminazione di tutte le abbreviazioni e le sigle oggetto del reclamo, provvedendo ad esporre la sola lettera A per indicare genericamente l’assenza, “così da uniformarsi alle prescrizioni richieste al solo fine di evitare contenziosi”.
Dall’esame della documentazione prodotta, il Garante ha affermato che le sigle sintetiche utilizzate per ciascuna causale d’assenza dalla Società sono idonee a far conoscere dati personali, anche sensibili, riferiti ai propri dipendenti.
Per di più, le tabelle recanti i turni di servizio venivano affisse alle bacheche, posizionate presso i depositi aziendali, il cui accesso è libero per tutto il personale dell’impresa, e condivise anche con i dipendenti, mediante l’invio di una e-mail.
In via generale, il datore di lavoro può trattare i dati personali dei propri dipendenti, anche relativi a categorie particolari di dati (tra cui sono ricompresi i dati relativi alla salute e quelli relativi all’appartenenza sindacale), se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi.
Di contro, i dati personali dei dipendenti non possono essere messi a conoscenza di soggetti diversi da coloro che sono parte del rapporto contrattuale e non possono essere trattati da coloro che, pur operando presso l’impresa, non sono autorizzati ad accedere a tali dati, in ragione delle mansioni svolte.
Il Garante ha accertato che il trattamento dei dati cd. particolari da parte della Società risulta illecito, in quanto avvenuto in assenza di un idoneo presupposto di liceità di cui all’art. 9, par. 2, e in violazione del principio di minimizzazione di cui all’art 5, par. 1, lett. c, del Regolamento Generale sulla Protezione dei Dati.
In conclusione, si raccomanda, in tutte le interazioni riguardanti la gestione del rapporto di lavoro, di limitarsi a divulgare solamente i dati strettamente necessari che non rilevano aspetti sensibili della vita privata del lavoratore.
18 settembre 2025
Avv. Dott. Angelo Pisciotta