Questionari post-malattia: impresa sanzionata per raccolta dati eccedente e invasiva

Il Garante per la protezione dei dati personali, con il provvedimento n. 390 del 10 luglio 2025, ha recentemente sanzionato una società per avere adottato, all'interno dei propri processi aziendali, una prassi consistente nell'utilizzo di un modulo denominato “Return to Work Interview”, compilato dal responsabile gerarchico al rientro in servizio dei lavoratori dopo un periodo di assenza per malattia, infortunio o ricovero. Il Garante ha rilevato, tra l'altro, la violazione dell'art. 8 dello Statuto dei lavoratori, che vieta al datore di lavoro di raccogliere dati non pertinenti ai fini della valutazione dell'attitudine professionale del lavoratore.

La vicenda

Il fatto origina da una segnalazione sindacale concernente l'adozione, da parte di un'impresa operante nel settore metalmeccanico, di una prassi gestionale consistente nello svolgimento di un colloquio con il lavoratore al rientro da un periodo di assenza per malattia, infortunio o ricovero. Tale colloquio si articolava attraverso la compilazione manuale di un modulo cartaceo, denominato “Return to Work Interview” (RTWI), a cura del responsabile diretto del dipendente.

L'Autorità garante per la protezione dei dati personali ha avviato un'attività istruttoria, al fine di richiedere chiarimenti alla società. Quest'ultima ha ricondotto l'utilizzo del modulo a una più ampia strategia aziendale di tutela della salute psicofisica dei dipendenti, funzionale a intercettare potenziali situazioni di disagio e agevolare il reinserimento lavorativo. Secondo quanto dichiarato, il modulo veniva successivamente trasmesso all'ufficio delle risorse umane, che ne prendeva visione unitamente al responsabile e, ove necessario, al medico competente, al fine di valutare eventuali misure correttive, come la modifica della postazione lavorativa o la gestione di dinamiche relazionali interne.

Nel corso dell'istruttoria, la società affermava che il modulo rappresenterebbe una prassi conforme agli obblighi di cui all'art. 2087 c.c., finalizzata alla salvaguardia del benessere del lavoratore, inteso in senso ampio, come stato di equilibrio psicofisico e relazionale. Secondo la società, l'impiego del modulo non implicherebbe alcun trattamento di dati appartenenti a categorie particolari, bensì unicamente dati comuni, trattati per finalità di organizzazione del lavoro e prevenzione. Sempre secondo quanto riferito nelle memorie difensive, la compilazione del modulo avveniva nel rispetto della volontarietà del dipendente, senza imposizioni né conseguenze in caso di rifiuto. 

In ordine alla base giuridica del trattamento, la società ha prospettato alternativamente la sussistenza di un obbligo di legge o, in subordine, il consenso libero dell'interessato e la sussistenza di un interesse legittimo del datore di lavoro al corretto svolgimento delle attività organizzative e alla tutela della sicurezza aziendale.

Esito della fase istruttoria

A conclusione dell'istruttoria, l'Autorità ha ritenuto che il trattamento dei dati effettuato mediante il modulo RTWI non rispondesse integralmente ai principi stabiliti dal GDPR (Reg. UE 679/2016) e dal Codice in materia di protezione dei dati personali (D.Lgs. 196/2003).

Secondo quanto accertato, il modulo veniva sistematicamente utilizzato per raccogliere informazioni in occasione del rientro in servizio dei dipendenti, sulla base di una prassi interna non formalizzata in un atto organizzativo vincolante, e in assenza di una specifica base giuridica chiaramente individuata.

L'Autorità ha osservato che, pur in presenza di dichiarazioni aziendali circa l'assenza di dati sanitari, la natura del colloquio e il contesto in cui esso si svolgeva potevano implicare un rischio concreto di acquisizione, anche indiretta, di informazioni appartenenti a categorie particolari di dati personali. In tali casi, l'art. 9 del Regolamento vieta il trattamento salvo ricorrano condizioni previste dalla norma, tra cui la necessità di adempiere obblighi in materia di diritto del lavoro, con adeguate garanzie per i diritti degli interessati.

L'Autorità ha così rilevato una pluralità di condotte illecite nel trattamento dei dati personali dei lavoratori da parte della società:

• l'assenza di un'idonea informativa, mancanza di una valida base giuridica per il trattamento, con violazione degli artt. 6 e 9 del Regolamento;
• violazione del principio di minimizzazione, ai sensi dell'art. 5 par. 1 lett. c);
• violazione del principio di limitazione della conservazione, ai sensi dell'art. 5 par. 1 lett. e);
• acquisizione di dati non pertinenti ai fini della valutazione dell'attitudine professionale, in contrasto con l'art. 113 del Codice.

Informativa

Secondo le indagini svolte dall'Autorità, la società ha omesso di fornire l'informativa specifica e adeguata riguardo al trattamento dei dati personali derivante dalla compilazione del modulo RTWI, in violazione dell'art. 13 del Regolamento e del principio di trasparenza di cui all'art. 5 par. 1 lett. a). Le scarne indicazioni presenti all'interno del modulo, in tutte le versioni esaminate, non risultavano esaustive, in quanto prive di elementi idonei a illustrare la natura del trattamento, le finalità perseguite, nonché le misure organizzative e di sicurezza adottate. Invero, l'indicazione relativa alle “persone presenti” al colloquio, così come formulata, lasciava intendere la possibile partecipazione di soggetti ulteriori rispetto all'intervistato e all'intervistatore. Neppure l'Informativa generale per i dipendenti, il Manuale sulla protezione dei dati o la specifica Policy aziendale contenevano riferimenti allo specifico trattamento qui in rilievo.

Base giuridica

L'utilizzo del modulo RTWI ha comportato il trattamento di dati personali, compresi dati appartenenti a categorie particolari (quali quelli relativi allo stato di salute), in assenza di una base giuridica valida, con conseguente violazione degli artt. 6 e 9 del Regolamento. In particolare, la raccolta delle informazioni non rientra nell'ambito della sorveglianza sanitaria disciplinata dall'art. 41 del D.Lgs. n. 81/2008, riservata esclusivamente al medico competente.

Le domande contenute nei moduli, soprattutto nelle versioni antecedenti all'ultima, portavano il lavoratore a rivelare informazioni sanitarie, anche mediante commenti scritti. L'Autorità ha osservato che, pur in presenza di dichiarazioni aziendali circa l'assenza di dati sanitari, la natura del colloquio e il contesto in cui esso si svolgeva potevano implicare un rischio concreto di acquisizione, anche indiretta, di informazioni appartenenti a categorie particolari di dati personali. Ciò si spiega considerando che il lavoratore, interloquendo con il proprio superiore gerarchico immediato in un momento di vulnerabilità (quale può essere il rientro dopo un periodo di malattia, infortunio o ricovero), poteva sentirsi indotto a fornire chiarimenti sulle proprie condizioni psicofisiche o su eventuali limitazioni funzionali, anche solo per giustificare un'assenza o richiedere accomodamenti.

Minimizzazione

Per quanto attiene alla violazione del principio di minimizzazione, la raccolta di informazioni mediante il modulo RTWI risultava eccedente rispetto a quanto strettamente necessario ai fini del rientro del lavoratore, anche tenuto conto delle finalità di tutela previste dall'art. 2087 c.c. Molti dei dati raccolti erano, infatti, già nella disponibilità dell'ufficio del personale, conseguentemente la raccolta dei dati risultava ingiustificata e ridondante.

Conservazione

In merito alla violazione del principio di limitazione della conservazione, la prassi di conservazione dei moduli RTWI per un periodo massimo di dieci anni è risultata sproporzionata rispetto alle finalità del trattamento. La durata indicata peraltro non è stata adeguatamente giustificata e difetta di criteri trasparenti e prevedibili. La dichiarazione della società secondo cui, in via di fatto, la cancellazione dei dati avviene entro l'anno, non è risultata sufficiente ad escludere la violazione, stante la previsione di una durata massima eccessiva e non determinata secondo parametri oggettivi.

Le conclusioni del Garante

In conclusione, rileva la raccolta di dati non pertinenti ai fini della valutazione dell'attitudine professionale del lavoratore con la conseguente violazione dell'art. 113 del Codice, che richiama l'osservanza dell'art. 8 L. 300/1970 e dell'art. 10 D.Lgs. 276/2003. Sul punto, la giurisprudenza ha chiarito che la sola acquisizione e conservazione di dati che contengono (o possono contenere) simili informazioni è tale da integrare, di per sé, la condotta vietata, anche qualora i dati non vengano successivamente utilizzati. Non è, infatti, necessario sottoporre i dati raccolti ad un ulteriore trattamento per incorrere nell'illecito, essendo sufficiente la mera disponibilità degli stessi.

I moduli in uso contenevano domande la cui formulazione, anche solo in apparenza neutra o opzionale, favoriva il rilascio di informazioni su stati di salute, disagi relazionali o problemi organizzativi, senza alcun collegamento diretto con l'idoneità alla mansione. In particolare, le versioni precedenti al 2021 includevano quesiti del tipo: “il dipendente considera l'assenza dovuta ad una causa di lavoro?”, “ci sono particolari problemi dei quali vorresti parlare?”, “hai necessità di un colloquio con il medico aziendale?” o “ci sono situazioni di disagio all'interno del reparto di cui vorresti parlarci?”.

Anche nel modulo attualmente in uso, la domanda sull'eventuale suggerimento di misure per migliorare l'ambiente di lavoro, sebbene formulata in termini generici, appare inopportuna nel contesto di un colloquio effettuato immediatamente dopo un'assenza per malattia, infortunio o ricovero, poiché poteva indurre il lavoratore a condividere elementi personali non pertinenti.

Secondo il Garante, la società ha favorito una raccolta informativa eccedente e potenzialmente invasiva, non correlata al fine dichiarato del colloquio, ma suscettibile di intercettare aspetti riservati della sfera personale e relazionale del lavoratore. 

A fronte delle molteplici violazioni accertate, l'Autorità ha ritenuto necessario adottare un provvedimento correttivo e sanzionatorio, ai sensi degli artt. 58 p. 2 e 83 del Reg. UE 679/2016. In particolare, è stata inflitta una sanzione amministrativa pecuniaria di 50mila euro proporzionata alla gravità delle condotte, alla durata del trattamento illecito (protrattosi per più anni) e al numero degli interessati coinvolti.

Fonte: Garante Privacy provv. n. 390 del 10 luglio 2025