La trappola che ogni dipendente e datore devono conoscere
Un’azienda, convinta di agire per il bene dei suoi dipendenti, è stata duramente sanzionata dal Garante Privacy. Un caso che svela l’inadeguatezza di molte procedure HR di fronte al GDPR e che funge da monito per chiunque tratti dati sulla salute.
Una prassi aziendale nata con le migliori intenzioni si è trasformata in un costoso boomerang. Un’importante azienda metalmeccanica aveva istituito, fin dal 2020, una procedura chiamata “Return to work interview”: un colloquio tra il lavoratore di rientro da una malattia o infortunio e il suo responsabile diretto. L’obiettivo, sulla carta, era nobile: facilitare il reinserimento e comprendere eventuali difficoltà del dipendente.
Questa procedura, però, si è scontrata con il muro del Garante per la protezione dei dati personali. Con il provvedimento 390/2025, l’Autorità ha definito il trattamento dei dati illecito, infliggendo una sanzione di 50.000 euro e ordinando la cancellazione immediata di tutte le informazioni raccolte. Un colpo durissimo che mette in luce la superficialità con cui, ancora oggi, vengono gestiti i dati sensibili dei lavoratori.
Anche le buone intenzioni possono costare caro: 50.000€ di multa per un’azienda che intervistava i dipendenti al rientro dalla malattia.
I quattro pilastri del fallimento: l’analisi del Garante
La decisione del Garante non lascia spazio a interpretazioni e si fonda su quattro violazioni gravissime dei principi cardine del GDPR. Questi errori rappresentano un manuale di “cose da non fare” per qualsiasi ufficio di risorse umane.
- mancanza di trasparenza: i dipendenti non erano informati. I moduli erano vaghi, i rinvii a policy aziendali generici e non era chiaro chi, oltre al responsabile, potesse partecipare al colloquio. Una violazione diretta del diritto del lavoratore a sapere come e perché i suoi dati vengono trattati;
- assenza di base giuridica: l’azienda non aveva alcun diritto di raccogliere quei dati. Non poteva invocare il “consenso”, perché in un rapporto di lavoro non è mai considerato veramente libero. Né poteva giustificarsi con l’obbligo di tutela della salute (art. 2087 c.c.) o con la sorveglianza sanitaria (D.lgs 81/2008), che è di competenza esclusiva del medico competente, non del capo reparto;
- violazione del principio di minimizzazione: si raccoglievano troppe informazioni, spesso inutili e ridondanti. Dati come la durata dell’assenza o le prescrizioni del medico erano già in possesso dell’azienda. Il colloquio diventava così un’indagine non giustificata, un’intrusione nella sfera personale del dipendente mascherata da procedura di supporto.
- conservazione eccessiva dei dati: i moduli venivano archiviati per ben dieci anni. Un tempo spropositato, secondo il Garante, rispetto alle finalità dichiarate. I dati sulla salute dei lavoratori restavano a disposizione dell’azienda per un decennio, senza alcuna reale necessità.
La lezione: la buona fede non basta contro il GDPR
Questo caso è emblematico: dimostra che la buona fede del datore di lavoro è irrilevante di fronte a una violazione delle norme. L’approccio del Garante è, e continuerà ad essere, estremamente rigoroso. Le esigenze organizzative non possono mai prevalere sul diritto fondamentale alla protezione dei dati personali, specialmente quando si tratta di informazioni sensibili come quelle sulla salute.
Progettare procedure HR senza un’analisi preventiva di conformità al GDPR non è più solo una negligenza, ma un rischio aziendale concreto. Continuare a sottovalutare l’impatto della privacy nella gestione del personale significa esporsi a sanzioni pesanti, danni d’immagine e conseguenze organizzative devastanti. Un avvertimento chiaro per tutte le aziende: la trappola della privacy è sempre pronta a scattare.
