Ordinanza ingiunzione o revoca n. 288 del 21/05/2025

Autostrade per l’Italia S.p.A. – uso disciplinare di contenuti tratti da Facebook, Messenger e WhatsApp

Il Garante ha esaminato il reclamo di una dipendente di Autostrade per l’Italia S.p.A. relativo all’impiego, in due contestazioni disciplinari, di contenuti provenienti dal suo profilo Facebook chiuso e da conversazioni su Messenger e WhatsApp. Il provvedimento si colloca nel contesto di un procedimento disciplinare connesso al rapporto di lavoro e affronta in modo centrale i limiti al trattamento dei dati personali del lavoratore e l’utilizzabilità di contenuti reperiti tramite terzi o comunque presenti online.

Origine del reclamo e sviluppo istruttorio

La reclamante ha lamentato che la Società avesse utilizzato, per fondare contestazioni disciplinari del 16 febbraio 2024 e del 21 marzo 2024, commenti, immagini e messaggi estratti dai suoi account social e di messaggistica. Nel primo caso la contestazione riportava contenuti del profilo Facebook; nel secondo, stralci di una conversazione Messenger con un terzo e di messaggi WhatsApp scambiati con colleghi. Il Garante ha avviato istruttoria ai sensi dell’art. 157 Codice privacy e ha richiesto chiarimenti alla Società.

La Società ha dichiarato di essere venuta a conoscenza dei contenuti tramite segnalazioni e inoltri da parte di terzi, sostenendo di non aver svolto ricerche attive sui social. Ha inoltre affermato che il trattamento fosse giustificato dal legittimo interesse ex art. 6, par. 1, lett. f) GDPR, finalizzato alla tutela dei propri diritti e alla gestione del rapporto di lavoro. Ha richiamato una social media policy interna e un precedente provvedimento del Garante del 2017.

Quadro normativo applicato

L’Autorità ha richiamato i principi generali di cui all’art. 5, par. 1, lett. a), b) e c) GDPR, le basi di liceità del trattamento rilevanti nel rapporto di lavoro, gli artt. 6, 9 e 88 GDPR, nonché l’art. 113 Codice privacy, che nel contesto lavorativo richiama l’art. 8 della l. 300/1970 e l’art. 10 del d.lgs. 276/2003. È stato inoltre menzionato l’art. 2-decies Codice privacy, in tema di inutilizzabilità dei dati trattati in violazione della disciplina di settore.

Il Garante ha sottolineato che, nel lavoro, il titolare deve rispettare non solo il GDPR ma anche le norme nazionali speciali di maggior tutela, che impongono limiti stringenti alla raccolta e all’ulteriore trattamento di informazioni non pertinenti all’attitudine professionale del lavoratore.

Trattamento dei contenuti Facebook

Secondo l’Autorità, l’uso dei commenti e delle immagini provenienti dal profilo Facebook della dipendente integra un trattamento di dati personali, anche se i contenuti sono stati acquisiti da terzi e non tramite una ricerca attiva del datore di lavoro. Il fatto che la Società non abbia avuto un ruolo "attivo" nella raccolta non esclude la configurabilità del trattamento, poiché la successiva utilizzazione nel procedimento disciplinare costituisce comunque un trattamento ai sensi dell’art. 4, n. 2, GDPR.

Il Garante ha rilevato che la reclamante aveva condiviso tali contenuti in un contesto con aspettativa di riservatezza, almeno nei confronti di soggetti estranei alla cerchia di amicizia o del gruppo chiuso. Ha quindi escluso che la mera disponibilità online del dato legittimi il suo impiego in un contesto diverso e per una finalità ulteriore, come la contestazione disciplinare.

Trattamento di Messenger e WhatsApp

Analoga valutazione è stata svolta per le conversazioni su Messenger e WhatsApp. Il Garante ha richiamato l’art. 15 Cost., che tutela la libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione, estesa dalla giurisprudenza alle forme elettroniche e informatiche, comprese le chat e la messaggistica istantanea.

L’acquisizione dei contenuti da parte della Società, tramite trasmissione da uno dei partecipanti alla conversazione, non è stata ritenuta sufficiente a legittimare l’uso disciplinare. È stato ribadito che la protezione della corrispondenza non viene meno per il solo fatto che il datore abbia appreso il messaggio da un interlocutore e non per propria iniziativa.

Inidoneità del legittimo interesse come base giuridica

La Società aveva invocato il legittimo interesse di cui all’art. 6, par. 1, lett. f) GDPR. Il Garante ha escluso che tale base giuridica potesse operare nel caso concreto, evidenziando che il titolare avrebbe dovuto dimostrare una valutazione preventiva, concreta e documentata di bilanciamento tra il proprio interesse e i diritti e le libertà fondamentali dell’interessata.

L’Autorità ha osservato che:

• non era stata prodotta una specifica documentazione del test di bilanciamento;
• non risultava valutato se l’interessata potesse ragionevolmente attendersi un simile trattamento;
• non era stata verificata l’esistenza di mezzi meno invasivi per perseguire le finalità di tutela aziendale;
• la Società si era limitata a valorizzare il fatto che i dati fossero stati trasmessi da terzi.

Il Garante ha richiamato anche la più recente giurisprudenza della Corte di giustizia e le linee guida EDPB sul legittimo interesse, ribadendo la centralità del principio di minimizzazione.

Violazione dell’art. 113 Codice privacy: pertinenza e attitudine professionale

Oltre alla mancanza di una base giuridica idonea, il Garante ha ritenuto che i contenuti utilizzati dalla Società fossero comunque estranei alla valutazione dell’attitudine professionale della lavoratrice. I messaggi e i commenti riguardavano opinioni e comunicazioni in ambiti esterni al rapporto di lavoro, con riferimenti a temi ambientali e a scambi personali, non a profili professionalmente pertinenti.

L’Autorità ha quindi ritenuto violato l’art. 113 Codice privacy, che recepisce le regole sulla raccolta di dati e pertinenza nel contesto lavorativo. Ha chiarito che la norma si applica anche quando il dato non sia stato ricercato attivamente dal datore di lavoro: ciò che rileva è l’uso successivo di informazioni non pertinenti e non necessarie rispetto alla valutazione dell’attitudine professionale.

Valutazione delle difese della Società

Il Garante ha respinto le argomentazioni della Società secondo cui il principio di finalità o il richiamo alla social media policy aziendale trasformerebbero la tutela del lavoratore in un "salvacondotto". Ha invece ribadito che, anche nell’esercizio del potere disciplinare, il datore deve rispettare i principi di proporzionalità, minimizzazione e corretto bilanciamento con i diritti fondamentali dell’interessato.

È stato inoltre precisato che il precedente del 2017 richiamato dalla Società riguardava un caso diverso e non sovrapponibile. La social media policy interna non è stata ritenuta idonea a superare i limiti fissati dall’ordinamento, soprattutto perché i contenuti utilizzati non risultavano nemmeno riconducibili, in modo diretto, a una indebita divulgazione di contenuti aziendali.

Esito del procedimento e misure adottate

All’esito dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento effettuato da Autostrade per l’Italia S.p.A. per violazione degli artt. 5, par. 1, lett. a), b) e c), 6 e 88 GDPR e dell’art. 113 Codice privacy. Ha ritenuto la violazione non minore, anche per la pluralità degli illeciti e per il coinvolgimento di dati relativi a comunicazioni private e a contenuti in rete utilizzati in un procedimento disciplinare.

Nel dispositivo sono state disposte:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019.

Nel testo fornito non è indicato un importo di sanzione pecuniaria. Il provvedimento richiama comunque i criteri di cui all’art. 83, par. 2, GDPR per la valutazione della gravità, del carattere doloso o colposo, delle categorie di dati coinvolti e delle circostanze aggravanti o attenuanti.