Con il provvedimento n. 288/2025 pubblicato il 25 giugno scorso, il Garante per la Protezione dei Dati Personali (“Garante” o “Autorità”) ha irrogato una sanzione di 420 mila euro nei confronti di Autostrade per l’Italia S.p.a. (“Autostrade” o “ASPI”) per aver trattato in modo illecito i dati personali di una dipendente, poi utilizzati per giustificarne il licenziamento.
L’inquadramento della vicenda
Prima di analizzare la fattispecie oggetto del provvedimento, bisogna preliminarmente ricordare come il datore di lavoro possa trattare i dati personali dei propri dipendenti, anche relativi alle cd. “categorie particolari”, se ciò è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l’esecuzione di un contratto di cui l’interessato è parte (o comunque di misure precontrattuali adottate su sua richiesta), ai sensi delle disposizioni degli art. 6, par. 1, lett. b) e c); art. 6 parr. 2 e 3; art. 9, parr. 2, lett. b) e 4; art. 88 del Regolamento 2016/679 (“GDPR”).
Per quanto concerne invece il trattamento di dati “comuni”, il datore può trattare i dati se ciò è necessario per il perseguimento di un legittimo interesse, “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali” (art. 6, par. 1, lett. f) del GDPR). Inoltre, il titolare deve ovviamente rispettare anche i principi generali prescritti dall’art. 5, in materia di trattamento di dati personali, quali liceità, correttezza e trasparenza, limitazione delle finalità e minimizzazione dei dati.
Infine, va sottolineato come il datore debba anche rispettare le singole norme nazionali relative al trattamento dei dati nell’ambito dei rapporti di lavoro, soprattutto quelle che vietano di raccogliere, anche tramite terzi, le ulteriori informazioni relative a opinioni politiche, religiose o sindacali del lavoratore, oltre a fatti non rilevanti ai fini della sua attitudine professionale (ai sensi dell’art. 88 del GDPR e dell’art. 113 del Codice Privacy in materia di pertinenza dei dati raccolti).
È lecito utilizzare i contenuti social e le conversazioni private in app di messaggistica per licenziare un dipendente?
Il Garante ha istruito il caso riguardante la vicenda della reclamante, ex dipendente ASPI, che nel 2024 si era vista recapitare da Autostrade due contestazioni disciplinari, che avevano ad oggetto anche dei commenti scritti dalla stessa sui propri profili Facebook e Messenger, oltre a dei messaggi inviati tramite WhatsApp. Dopo aver premesso che l’utilizzo di tali informazioni rientra nell’attività di raccolta e ulteriore trattamento di dati personali, a nulla valendo il fatto che la società non abbia avuto un “ruolo attivo” nella loro ricerca (tali messaggi erano stati recapitati alla società da terze persone), l’Autorità si è quindi chiesta se fosse presente un’idonea base giuridica o comunque una condizione di liceità del trattamento.
Il Garante si è soffermato sul fatto che i messaggi fossero stati comunicati alla società da una persona che sul social Facebook era “amica” dell’interessata e che dunque la reclamante intendesse mantenere riservati i contenuti condivisi, alla stregua di corrispondenza privata (approccio già adottato dalla Corte di Cassazione fin dal 2018). Il datore può quindi utilizzare i dati raccolti, ma soltanto con finalità determinate, esplicite e legittime, e trattarli solo con modalità a esse compatibili. Pertanto, il titolare può utilizzare, per trattamenti ulteriori, solo quei dati personali raccolti in maniera lecita e in forza di idonea base giuridica, dopo aver soddisfatto i requisiti previsti per la liceità del trattamento originario, tenendo conto del contesto e avendo avuto riguardo della finalità originaria e del rispetto dei principi generali di protezione dei dati. Di conseguenza, i dati personali pubblicati sui social network non possono quindi essere utilizzati indiscriminatamente e a ogni fine.
Il Garante ha inoltre richiamato l’orientamento dalla Corte costituzionale in riferimento a casi simili, alla stregua della quale la libertà e la riservatezza delle comunicazioni sono diritti fondamentali dell’individuo, che possono essere limitate solo in casi ben specifici, ai sensi dell’art. 15 della Costituzione, che tutela anche lo scambio di messaggi a mezzo WhatsApp o social network. Tale principio è stato, peraltro, perdipiù, ribadito dalla Corte di Cassazione in un recentissimo provvedimento (vd. Cass. n. 5354/2025).
ASPI avrebbe inoltre dichiarato di aver provveduto ad effettuare una valutazione di bilanciamento degli interessi legittimi (LIA) di cui non ha provveduto a fornire idonea documentazione. Valutazione che, comunque, non avrebbe potuto legittimare il trattamento di tali informazioni da parte di Autostrade, stante la loro natura riservata. Ai sensi dell’art. 113 del Codice Privacy, il “divieto per il datore di lavoro di acquisire e trattare informazioni sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore, riguarda anche la “raccolta” indipendentemente dalla modalità di acquisizione dei dati, qualora comporti dopo l’acquisizione dell’informazione, anche un’attività di verifica della veridicità e attendibilità dell’informazione stessa, preordinata all’utilizzo in un procedimento disciplinare”.
Pertanto, l’Autorità ha ritenuto che Autostrade abbia trattato i dati personali della reclamante senza un’idonea base giuridica, ai sensi dell’art. 5, par. 1, lett. a) e dell’art. 6 del GDPR. Inoltre, la società ha violato anche il rispetto dei principi di finalità e minimizzazione (art. 5, par. 1, lett. b) e c)), in quanto è mancato del tutto un legittimo interesse, oltre a non essere stato in alcun modo valutato l’impatto che il trattamento avrebbe avuto sui diritti e sulle libertà dell’interessata. ASPI avrebbe dovuto, infatti, usare altri mezzi, meno pregiudizievoli per i diritti fondamentali della reclamante.
Inoltre, ad aggravare il comportamento della società, ha contribuito il fatto di aver trattato in modo illecito informazioni il cui contenuto era estraneo al rapporto di lavoro e, quindi, al di fuori della valutazione dell’attitudine professionale dell’interessata. In relazione alle predette violazioni, pertanto, il Garante ha ritenuto di sanzionare Autostrade per la cifra di 420 mila €.
Avv. Simona Lanna e Dott. Lapo Lucani
