Multa da euro 10.000 per i tabelloni turni con i motivi di assenza dei dipendenti
Assenze siglate sui tabelloni turni, sono illegittime
È questo il cuore della controversia che ha portato il Garante per la protezione dei dati personali a comminare una sanzione di euro 10.000,00 nei confronti di Società Autocooperative Trasporti Italiani S.p.a. (“Società”). Il Provvedimento n. 363 del 23 giugno 2025 segna un punto fermo sull’interpretazione del Regolamento Europeo (GDPR), in ambito lavorativo, ribadendo che la riservatezza dei dipendenti deve prevalere sulle prassi organizzative interne, soprattutto quando sono coinvolte informazioni relative a categorie particolari di dati personali. Il caso, avviato a seguito del reclamo presentato da FAISA Cisal Molise nel settembre 2023, per conto di alcuni dipendenti, ha messo in luce una condotta aziendale ritenuta illecita e lesiva dei diritti degli interessati. La lamentela si concentrava sulla divulgazione di dati personali e particolari relativi ai motivi dell’assenza dal lavoro. La Società, infatti, rendeva disponibili a tutti i dipendenti le tabelle dei turni di servizio mediante affissione sulle bacheche aziendali, situate presso i depositi, e attraverso l’invio di una e-mail aziendale.
Assenze siglate violano minimizzazione e liceità
L’aspetto cruciale era l’utilizzo di sigle sintetiche per indicare la causale specifica dell’assenza. Queste abbreviazioni non lasciavano spazio a interpretazioni neutre, ma rivelavano in modo inequivocabile la natura dell’impedimento del lavoratore. Tra le più problematiche figuravano “MAL” (malattia), “104” (permesso assistenza disabili, Legge n. 104/1992), “INF” (infortunio), “ric.osp.” (ricovero ospedaliero) — tutte riferibili a dati sulla salute — ma anche “PS” (permesso sindacale), correlato all’appartenenza sindacale, e “SOSP” (sospensione/sanzione disciplinare). Il Garante ha ritenuto che la mera adozione di sigle sintetiche non fosse sufficiente a de-sensibilizzare l’informazione, in quanto le assenze siglate utilizzate erano idonee a far conoscere dati personali particolari a tutti i colleghi. L’Autorità, pur accogliendo l’autodifesa iniziale della Società secondo cui i turni erano affissi in luoghi non accessibili al pubblico esterno e che l’uso degli acronimi serviva a informare i lavoratori sull’assenza di trattamenti di favore, ha concluso che la comunicazione era comunque avvenuta verso un “ampio numero di soggetti non legittimati a conoscerli”, configurando di fatto una comunicazione illecita di dati personali. Il punto focale della violazione è stato individuato nel mancato rispetto dei principi di minimizzazione dei dati e di liceità del trattamento. Il provvedimento del Garante rappresenta un monito inequivocabile per l’intero mondo del lavoro, richiamando l’attenzione sulla gestione oculata dei dati dei dipendenti.
Assenze siglate in luogo di una generica indicazione di assenza
Per il Garante, l’uso di questa prassi costituisce una chiara violazione degli articoli fondamentali del GDPR, in particolare degli articoli 5, par. 1, lett. c) e 9, par. 2, lett. b). Il primo articolo stabilisce il principio di minimizzazione dei dati, in base al quale i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. Il secondo disciplina il trattamento delle categorie particolari di dati, come quelli relativi alla salute, ammettendo eccezioni al divieto generale solo se necessarie per adempiere a obblighi specifici o per esercitare diritti in materia di diritto del lavoro e della sicurezza sociale.
La Società aveva tentato di giustificare l’uso delle assenze siglate richiamando l’articolo 10 della legge n. 138 del 1958, che prevede l’affissione dei turni di servizio per informare il personale. Tuttavia, come ha rilevato il Garante, tale disposizione di legge “nulla riferisce in ordine all’indicazione delle possibili cause di assenza da lavoro”. Di conseguenza, l’operazione di trattamento è stata ritenuta effettuata in assenza di un idoneo presupposto di liceità. La divulgazione delle informazioni relative ai motivi delle assenze è avvenuta al di fuori delle specifiche competenze e degli obblighi sanciti dalla normativa.
Assenze a lavoro, colleghi legittimati a conoscerne i motivi?
Il Garante ha sottolineato che, anche in presenza di un legittimo interesse organizzativo (la necessità di garantire il regolare avvicendamento e la programmazione dei turni di lavoro) o di un obbligo legale (l’affissione dei turni), la pubblicazione delle assenze siglate eccedeva i limiti della necessità. Per assolvere all’esigenza di riorganizzazione dei turni, sarebbe stato sufficiente inserire una dicitura neutra che indicasse la sola indisponibilità del dipendente. L’indicazione della causale specifica, come “MAL” o “104”, non era funzionale allo scopo e violava il principio di minimizzazione. È fondamentale il chiarimento fornito dall’Autorità riguardo alla platea dei destinatari: i dati personali dei dipendenti non possono essere messi a conoscenza di soggetti diversi da coloro che sono parte del rapporto contrattuale o che siano autorizzati ad accedervi in ragione delle mansioni svolte. Pertanto, i colleghi, pur operando all’interno della stessa impresa e pur essendo coinvolti nella riorganizzazione del servizio, non rientrano tra i soggetti legittimati a trattare le informazioni di dettaglio sulle assenze. In tal senso, la diffusione delle assenze siglate a tutto il personale aziendale ha configurato una comunicazione illecita di dati particolari.
