Avvertimento n. 342 del 14/05/2026

Avvertimento a Myndoor S.r.l. sul plug-in di sentiment analysis per l’ambiente di lavoro

Il Garante per la protezione dei dati personali ha adottato un avvertimento nei confronti di Myndoor S.r.l. in relazione al plug-in sviluppato per Slack e Teams, che analizza i messaggi dei lavoratori per stimarne il livello di stress e, in alcuni casi, può produrre report aggregati destinati al datore di lavoro. Il provvedimento nasce da accertamenti d’ufficio avviati dopo notizie di stampa e si concentra sui profili di liceità, minimizzazione, privacy by design e tutela della dignità dei lavoratori.

Origine del procedimento e attività ispettiva

L’Autorità ha svolto accertamenti ispettivi d’ufficio ai sensi dell’art. 58, par. 1, GDPR e degli artt. 157 e 158 del Codice, acquisendo documentazione e verbali delle operazioni compiute il 3 e 4 giugno 2025. Le notizie di stampa avevano fatto riferimento a un possibile uso del sistema presso enti della pubblica amministrazione; tuttavia, la Società ha dichiarato che l’ente inizialmente menzionato non aveva acquistato il plugin. Il provvedimento prende quindi in esame, in generale, il trattamento effettuabile da Myndoor nell’attuale configurazione del servizio nei confronti degli utenti che scelgano di utilizzarlo.

Funzionamento del plug-in e categorie di dati trattati

Dall’istruttoria è emerso che il servizio consente a dipendenti e altro personale di usare il plug-in per verificare il proprio livello di stress psicologico mediante l’analisi semantica dei messaggi inviati nelle chat Slack e Teams. Nella documentazione fornita dalla Società si legge che i dati di elaborazione possono includere dati comuni e, in astratto, anche categorie particolari di dati ai sensi dell’art. 9 GDPR; tali dati sarebbero trattati in forma anonima o pseudonimizzata e poi cancellati una volta generata la risposta. Sono inoltre previsti dati di utilizzo anonimi, come il numero di messaggi analizzati e le valutazioni di stress generate.

Report aggregati e limiti tecnici dichiarati

La Società ha precisato che, su richiesta del cliente, può essere generato un report settimanale con dati aggregati sui livelli di stress, ma solo se almeno 10 lavoratori hanno contemporaneamente attivato il plugin. Il report, riferito all’intera platea dei dipendenti del cliente e non a singole articolazioni organizzative, sarebbe consultabile solo tramite la piattaforma Myndoor, senza flussi automatici di trasmissione o dati grezzi. La Società ha dichiarato di non aver mai effettuato l’abbinamento tra il nominativo del lavoratore e i dati nel proprio database e di aver reso disponibile il report, in un unico caso, a una sola azienda, senza ulteriori comunicazioni di dati personali direttamente riconducibili a singoli individui.

Qualificazione dei ruoli e responsabilità

Il Garante ritiene che, nel rapporto con gli utenti che decidono di usare il servizio, Myndoor operi come titolare del trattamento ai sensi degli artt. 4, n. 7, e 24 GDPR, come peraltro indicato nell’informativa ex art. 13 GDPR prodotta in atti. Il datore di lavoro che acquista il servizio non avrebbe accesso ai dati necessari all’erogazione del servizio e, in questa impostazione, non porrebbe in essere un trattamento dei dati derivanti dall’utilizzo del plug-in, analogamente a quanto avviene per altre prestazioni rese ai dipendenti da soggetti terzi. Resta ferma, tuttavia, la criticità del possibile report aggregato richiesto dal cliente.

Quadro normativo richiamato: lavoratori, dignità e IA

Il provvedimento insiste sulla responsabilità generale del titolare ex art. 24 GDPR e sulla necessità di progettare i servizi rispettando sin dall’origine la protezione dei dati, anche in forza del principio di privacy by design e by default ex art. 25 GDPR. Vengono richiamati anche gli artt. 6, par. 2, e 88, par. 2, GDPR e l’art. 113 del Codice, che, in combinato con le norme di settore sul lavoro, vietano al datore di lavoro di raccogliere dati non pertinenti e tutelano la dignità dei lavoratori. Il Garante richiama inoltre il divieto di cui all’art. 5, par. 1, lett. f), del Regolamento (UE) 2024/1689 sull’intelligenza artificiale, che vieta l’uso di sistemi di IA per inferire emozioni di una persona fisica nel luogo di lavoro.

Valutazione del Garante e ragioni dell’avvertimento

Pur rilevando che, allo stato degli atti, non è provato che gli enti e le imprese acquirenti abbiano effettivamente trattato dati personali dei dipendenti che hanno usato il servizio, il Garante evidenzia che non può escludersi in assoluto che, in futuro, la trasmissione del report aggregato consenta la re-identificazione degli interessati, soprattutto in contesti organizzativi piccoli o particolari. Per questo motivo ritiene verosimile il rischio di violazione del quadro normativo in materia di protezione dei dati personali e tutela della dignità del lavoratore, con riferimento in particolare agli artt. 5, 6, 9, 24, 25 e 88 GDPR e agli artt. 2-ter e 113 del Codice.

Dispositivo

In applicazione dell’art. 58, par. 2, lett. a), GDPR e dell’art. 154, comma 1, lett. f), del Codice, il Garante avverte Myndoor S.r.l. che i trattamenti previsti possono verosimilmente violare il quadro normativo di settore e prescrive, in sostanza, l’adozione di misure e accorgimenti idonei a impedire qualsiasi forma di messa a disposizione, anche indiretta, dei dati delle persone che usano il plug-in ai rispettivi datori di lavoro. È inoltre disposta la pubblicazione del provvedimento sul sito internet dell’Autorità. Non viene irrogata alcuna sanzione pecuniaria, poiché il provvedimento non accerta una violazione già consumata, ma adotta una misura di avvertimento preventiva.