Ordinanza ingiunzione o revoca n. 390 del 10/07/2025

Magna PT S.p.A.: illecito trattamento dei dati nel colloquio di rientro al lavoro

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da Magna PT S.p.A. mediante il modulo RTWI ("Return to Work Interview") utilizzato al rientro dei dipendenti dopo assenze per malattia, infortunio o ricovero. Il procedimento è stato avviato a seguito di una segnalazione sindacale e si è concluso con l'accertamento dell'illiceità del trattamento, l'adozione di misure correttive e l'irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e attività istruttoria

La segnalazione, presentata ai sensi dell'art. 144 del Codice, lamentava che i lavoratori venissero sottoposti a un colloquio di rientro con compilazione di un questionario dopo assenze per malattia, ricovero o infortunio. La Società ha risposto a più richieste di informazioni ex art. 157 del Codice, descrivendo il modulo come strumento gestionale finalizzato a intercettare situazioni di difficoltà, facilitare il reinserimento e valutare eventuali misure organizzative o di tutela.

La Società ha inoltre rappresentato che:

• il modulo è stato progressivamente modificato nel 2020 e nel 2021;
• l'informativa in intestazione è stata ampliata nel tempo;
• il documento è conservato nel fascicolo personale del dipendente e accessibile a personale autorizzato;
• la compilazione sarebbe facoltativa e i dati sarebbero trattati per finalità di prevenzione e salute e sicurezza.

Fatti accertati

All'esito dell'istruttoria, il Garante ha accertato che, quantomeno dal 2020, la Società sottoponeva i dipendenti, al rientro da periodi di assenza, a un colloquio con il responsabile, che compilava il modulo con le informazioni fornite dal lavoratore. Il modulo veniva poi trasmesso all'Ufficio HR, che lo conservava nel fascicolo personale.

Il modulo è stato modificato in più versioni; quella in uso dal settembre 2021 conteneva una premessa sulle finalità preventive e richiami a ulteriori documenti aziendali. Tuttavia, il Garante ha ritenuto che le informazioni raccolte potessero riguardare anche dati relativi alla salute o comunque dati non pertinenti alla valutazione dell'attitudine professionale.

Valutazioni sulla normativa applicabile

Il Garante ha richiamato i principi generali dell'art. 5 GDPR e le regole sul trattamento dei dati personali dei lavoratori. In particolare:

• per i dati comuni, il trattamento può fondarsi su esecuzione del contratto o obbligo legale (art. 6, par. 1, lett. b) e c));
• per i dati particolari, opera il divieto generale di cui all'art. 9, salvo eccezioni tassative;
• nell'ambito del rapporto di lavoro, il trattamento di dati particolari è ammesso solo nei casi previsti dall'art. 9, par. 2, lett. b), in presenza di specifiche garanzie;
• l'art. 13 GDPR impone una informativa preventiva e adeguata;
• l'art. 113 Codice richiama l'art. 8 Statuto dei lavoratori e l'art. 10 d.lgs. 276/2003 in materia di dati non pertinenti all'attitudine professionale.

Il Garante ha inoltre ribadito che la sorveglianza sanitaria è di competenza del medico competente ai sensi del d.lgs. 81/2008 e non del datore di lavoro.

Assenza di un'idonea informativa

Secondo l'Autorità, il contenuto informativo presente nei moduli e nei documenti aziendali non era sufficiente a soddisfare l'art. 13 GDPR. Le poche righe inserite nei moduli non descrivevano in modo adeguato lo specifico trattamento, e non vi erano rinvii sufficientemente chiari a un'informativa dedicata e completa.

Il Garante ha anche osservato che l'espressione relativa alle "persone presenti" nel colloquio era ambigua e poteva far pensare alla presenza di soggetti ulteriori rispetto al lavoratore e all'intervistatore.

Illiceità della base giuridica e dati particolari

L'Autorità ha escluso che la Società potesse fondare il trattamento sul consenso dei lavoratori, sia per la generale inidoneità del consenso nel rapporto di lavoro, sia perché il trattamento riguardava dati particolari, rispetto ai quali il diritto interno non consente di utilizzare il consenso o il legittimo interesse come base giuridica alternativa in questa fattispecie.

Il Garante ha rilevato che alcune domande presenti nei moduli consentivano la raccolta di informazioni sullo stato di salute, su eventuali problemi di salute, su prescrizioni o limitazioni e su altre circostanze potenzialmente riconducibili a categorie particolari di dati.

Violazione del principio di minimizzazione

È stata accertata anche la violazione del principio di minimizzazione. Secondo il Garante, molte informazioni raccolte erano non pertinenti o comunque eccedenti rispetto alla finalità dichiarata, specie perché già note all'Ufficio HR o comunque non necessarie per la gestione del rientro.

L'Autorità ha ritenuto che la procedura determinasse una duplicazione ingiustificata di dati, compresi dati particolari, senza una chiara esigenza concreta e senza che fosse dimostrata la necessità di tali acquisizioni nel colloquio con il responsabile.

Violazione del principio di limitazione della conservazione

La Società aveva indicato un periodo massimo di conservazione di 10 anni, pur dichiarando di procedere spesso alla cancellazione prima del termine. Il Garante ha ritenuto tale impostazione non sufficientemente chiara e, in ogni caso, sproporzionata rispetto ai dati trattati.

L'Autorità ha evidenziato che non risultavano definiti in modo adeguato i criteri effettivi di cancellazione e che ciò impediva all'interessato di conoscere con precisione la durata della conservazione, in violazione dell'art. 5, par. 1, lett. e) GDPR.

Dati non pertinenti e art. 113 Codice

Il Garante ha inoltre ravvisato la violazione dell'art. 113 Codice, poiché le domande contenute nei moduli potevano condurre alla raccolta di informazioni non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore. In particolare, sono stati considerati problematici alcuni quesiti presenti nelle diverse versioni del modulo, idonei a far emergere informazioni sul rapporto di lavoro, sulle condizioni personali e su situazioni di disagio non pertinenti.

Esito del procedimento e provvedimenti correttivi

Il Garante ha ritenuto che le difese della Società non fossero sufficienti a determinare l'archiviazione. Ha quindi dichiarato l'illiceità del trattamento effettuato da Magna PT S.p.A. per violazione degli artt. 5, par. 1, lett. a), c) ed e), 6, 9, 13, 88 GDPR e 113 Codice.

Sono stati adottati i seguenti provvedimenti:

• divieto dell'ulteriore trattamento dei dati raccolti e conservati tramite i moduli RTWI;
• cancellazione dei dati entro 60 giorni dalla notifica;
• obbligo di comunicare e documentare le iniziative adottate per dare esecuzione al provvedimento entro lo stesso termine.

Sanzione amministrativa e pubblicazione

Ai sensi dell'art. 83 GDPR e dell'art. 166 Codice, il Garante ha applicato una sanzione amministrativa pecuniaria di 50.000 euro. Nella quantificazione ha considerato, tra l'altro:

• la gravità della violazione e il coinvolgimento di dati relativi alla salute;
• la durata, protrattasi almeno dal 2020;
• l'elevato numero di interessati, pari a tutti i lavoratori potenzialmente sottoposti al colloquio;
• il grado di responsabilità del titolare;
• la cooperazione con l'Autorità;
• le condizioni economiche del contravventore.

È stata inoltre disposta la pubblicazione dell'ordinanza ingiunzione e del provvedimento sul sito del Garante, con annotazione nel registro interno dell'Autorità.