Divulgazione dei dati dei dipendenti: cosa è lecito?

Un nome in una bacheca, una diagnosi condivisa in chat o una comunicazione disciplinare pubblicata online possono trasformare una normale attività aziendale in una violazione della privacy. La divulgazione di dati personali di un dipendente va valutata in base allo scopo, ai destinatari e alla quantità di informazioni rese accessibili. Qui chiarisco quando la condivisione è lecita, quali errori sono più frequenti e come può agire il lavoratore coinvolto.

Quando comunicare i dati è lecito e quando diventa diffusione

La prima distinzione è anche quella che crea più confusione. Si parla di comunicazione quando le informazioni vengono trasmesse a destinatari determinati, per esempio all’ufficio paghe, al consulente del lavoro o al responsabile HR. La diffusione, invece, rende i dati conoscibili a un numero indeterminato di persone, come accade con una pubblicazione sul sito web, su una bacheca accessibile a tutti o in una chat aziendale molto ampia.

Io partirei sempre da una domanda semplice: chi deve conoscere questa informazione per svolgere una precisa attività lavorativa? Se la risposta riguarda solo due persone dell’ufficio del personale, inviare lo stesso documento a tutto il team viola normalmente il principio di minimizzazione, cioè l’obbligo di usare solo i dati necessari allo scopo.

La base giuridica può derivare dal contratto di lavoro, da un obbligo di legge, dal contratto collettivo o da un interesse legittimo adeguatamente valutato. Il consenso del dipendente non è una soluzione automatica, perché nel rapporto di lavoro esiste spesso uno squilibrio tra le parti e il consenso potrebbe non essere realmente libero.

Il fatto che i destinatari siano colleghi non rende automaticamente lecita la condivisione. Anche all’interno della stessa azienda i dati devono essere accessibili soltanto a chi è autorizzato in base alle proprie mansioni.

Quali informazioni richiedono più cautela

Non tutti i dati hanno lo stesso peso. Nome, qualifica e contatto aziendale possono essere necessari per lavorare, mentre stipendio, assenze, sanzioni disciplinari e informazioni familiari appartengono a una sfera più delicata. La valutazione deve considerare non solo il tipo di dato, ma anche il contesto in cui viene condiviso.

Dati sanitari e assenze

Comunicare a un responsabile che una persona sarà assente può essere necessario per organizzare il lavoro. Divulgare invece la diagnosi, il reparto ospedaliero o dettagli sulla terapia è normalmente eccedente. Nella pratica, l’errore più comune consiste nel confondere l’esigenza organizzativa con il diritto di conoscere la ragione personale dell’assenza.

Retribuzione e valutazioni professionali

La busta paga deve restare confinata ai destinatari legittimati. Lo stesso vale per giudizi, performance review, contestazioni e piani di miglioramento. Un file condiviso con tutto il reparto, anche se protetto da una password debole o facilmente reperibile, può creare una conoscibilità ingiustificata dei dati.

Dati sindacali e disciplinari

L’adesione sindacale rientra tra le categorie particolari di dati. Anche una sanzione disciplinare non può essere esposta come esempio pubblico per “dare un segnale” agli altri dipendenti. In un recente provvedimento, il Garante Privacy ha ritenuto illecito pubblicare online provvedimenti disciplinari riferiti a lavoratori, anche quando la pubblicazione era stata causata da un errore operativo.

La stessa prudenza serve per fotografie, nominativi e profili professionali. La presenza del dipendente sul sito aziendale può essere utile, ma la visibilità pubblica deve avere uno scopo reale e non dovrebbe includere informazioni superflue o private.

Gli errori che trasformano una gestione normale in una violazione

Molti casi nascono da procedure ordinarie gestite senza sufficiente attenzione. Il problema non è sempre un attacco informatico: spesso è una mail inviata al destinatario sbagliato, un campo “CC” compilato male o un documento caricato nella cartella condivisa errata.

• Usare una mailing list generale per comunicare ferie, malattie o provvedimenti individuali.
• Inserire diagnosi o motivazioni personali in un calendario visibile a tutto il personale.
• Pubblicare online una determina o un documento senza oscurare i dati del lavoratore.
• Lasciare curriculum, buste paga o valutazioni in una cartella accessibile a più reparti.
• Condividere screenshot di conversazioni HR in gruppi WhatsApp o strumenti di collaborazione.
• Ritenere sufficiente cancellare il file senza verificare copie, cache, allegati e destinatari.

Un errore non elimina automaticamente la responsabilità del titolare del trattamento. Dopo l’incidente contano la rapidità della rimozione, la limitazione della visibilità, la documentazione dell’accaduto e le misure adottate per evitare che si ripeta. Se esiste un rischio per i diritti della persona, l’azienda deve valutare anche gli obblighi relativi alla violazione dei dati personali, compresa l’eventuale notifica entro 72 ore al Garante.

Le conseguenze possono includere ordine di cancellazione o limitazione del trattamento, reclami, richieste risarcitorie e sanzioni amministrative. Il GDPR prevede, nei casi più gravi, importi fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, applicando il limite più alto previsto dalla norma. L’importo effettivo dipende comunque da gravità, durata, numero di persone coinvolte, intenzionalità e collaborazione dell’organizzazione.

Cosa deve fare l’azienda per condividere i dati in sicurezza

Una procedura efficace non deve essere complicata. Prima di inviare o pubblicare un dato, l’azienda dovrebbe definire finalità, destinatari e periodo di conservazione. Se uno di questi tre elementi non è chiaro, la condivisione probabilmente è più ampia del necessario.

Leggi anche: Tracker online - cosa fanno e come ridurre il tracciamento

Una verifica pratica in cinque passaggi

1. Individuare il dato e stabilire se contiene informazioni particolari o riservate.
2. Verificare la base giuridica e il collegamento concreto con il rapporto di lavoro.
3. Limitare i destinatari alle sole persone autorizzate.
4. Usare canali individuali, sistemi con permessi granulari e allegati protetti quando serve.
5. Controllare che il documento non resti online o accessibile più a lungo del necessario.

Per le comunicazioni individuali preferisco strumenti che rendano visibile il destinatario corretto e riducano il rischio di inoltri accidentali. Una mail con oggetto generico e allegato non cifrato non è sempre vietata, ma può essere una scelta debole quando contiene dati sanitari, disciplinari o economici.

Le aziende dovrebbero inoltre formare chi lavora in HR, amministrazione e IT. La tecnologia aiuta, ma non corregge una cultura interna in cui tutti possono aprire tutto. Permessi minimi, registri degli accessi e istruzioni chiare producono spesso più sicurezza di una nuova piattaforma acquistata senza una revisione dei processi.

Nel settore pubblico la cautela è ancora più importante quando entrano in gioco trasparenza, accesso agli atti e pubblicazione online. La presenza di un obbligo di pubblicazione non autorizza a rendere visibili tutti i dati contenuti nel documento: occorre pubblicare solo ciò che la norma richiede, oscurando le informazioni eccedenti.

Come può muoversi il dipendente dopo una divulgazione indebita

Il primo passo è conservare le prove senza aumentare ulteriormente la circolazione dei dati. Sono utili screenshot, data e ora, destinatari della comunicazione, copia del documento e indicazione del periodo in cui il contenuto è rimasto accessibile. Non è consigliabile inoltrare il materiale a molte persone per dimostrare l’accaduto.

Si può inviare una richiesta scritta al datore di lavoro, all’ufficio privacy o al Responsabile della protezione dei dati, se presente. La richiesta dovrebbe descrivere l’episodio, chiedere quali dati siano stati condivisi, con chi, per quale motivo e quali misure siano state adottate per rimuoverli e contenere il rischio.

Il lavoratore può esercitare, secondo il caso, il diritto di accesso, rettifica, limitazione, opposizione o cancellazione. La cancellazione non è assoluta: può essere esclusa quando l’azienda deve conservare il dato per un obbligo di legge o per difendere un diritto. Il titolare deve comunque rispondere entro un mese, con possibile proroga di altri due mesi nei casi complessi, informando l’interessato entro il primo mese.

Se la risposta manca o non risolve il problema, il dipendente può presentare un reclamo al Garante Privacy oppure rivolgersi all’autorità giudiziaria. Quando la divulgazione ha prodotto un danno concreto, per esempio reputazionale, professionale o personale, è prudente valutare anche il supporto di un avvocato esperto di lavoro e protezione dei dati.

La regola pratica che riduce quasi tutti i rischi

La domanda decisiva non è “posso condividere questo dato?”, ma “chi deve davvero conoscerlo e qual è il minimo indispensabile?” Se l’informazione serve a organizzare il lavoro, spesso basta una versione ridotta e destinata a poche persone. Se invece la pubblicazione serve solo a comodità, abitudine o desiderio di rendere tutto visibile, il rischio supera facilmente il beneficio.

Per il dipendente, la tutela più efficace nasce dalla tempestività: documentare l’accaduto, chiedere chiarimenti per iscritto e controllare il rispetto dei termini. Per l’azienda, la vera maturità digitale consiste nel progettare i flussi di dati prima dell’emergenza, così che un singolo errore non trasformi una normale attività amministrativa in una divulgazione difficile da rimediare.