Ordinanza ingiunzione o revoca n. 363 del 23/06/2025

Società Autocooperative Trasporti Italiani S.p.A. - comunicazione illecita delle causali di assenza nei turni di servizio

Il Garante ha esaminato il reclamo presentato da FAISA Cisal Molise nei confronti di Società Autocooperative Trasporti Italiani S.p.A., relativo alla divulgazione ai dipendenti delle causali di assenza dal lavoro, anche tramite dati riconducibili a categorie particolari. Il procedimento ha riguardato l’affissione delle tabelle dei turni di servizio nelle bacheche aziendali e il loro invio via e-mail con sigle idonee a far emergere informazioni sulla salute, su permessi per disabilità, infortuni, ricoveri e permessi sindacali.

Fatti e istruttoria

Il reclamo, presentato il 19 settembre 2023 e regolarizzato il 30 gennaio 2024, contestava che le causali delle assenze fossero indicate con abbreviazioni quali "MAL", "104", "INF", "SOSP", "PS", "ric.osp." e "AVIS", rese disponibili a tutti i dipendenti. A seguito di richiesta istruttoria, la società ha difeso la prassi sostenendo che l’art. 10 della legge n. 138/1958 consente l’affissione dei turni e che le sigle erano funzionali alla gestione del servizio, poiché riferite ad assenze sopravvenute che impongono la rimodulazione della turnazione. Ha inoltre affermato che i turni erano esposti in luoghi non accessibili al pubblico e che le informazioni erano fornite per dare esecuzione a obblighi contrattuali.

Nel corso del procedimento, la società ha comunicato di aver eliminato tutte le abbreviazioni e gli acronimi oggetto del reclamo, sostituendoli con la sola lettera "A" per indicare genericamente l’assenza.

Qualificazione del trattamento e norme applicabili

L’Autorità ha ritenuto che le informazioni diffuse fossero idonee a rivelare dati personali e, in alcuni casi, categorie particolari di dati ai sensi dell’art. 9, par. 1, GDPR, in particolare dati relativi alla salute e all’appartenenza sindacale. Ha richiamato il principio per cui il datore di lavoro può trattare i dati dei dipendenti, anche particolari, solo se necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi previsti da legge, normativa UE, regolamenti o contratti collettivi, ai sensi degli artt. 6, par. 1, lett. c), 9, par. 2, lett. b), e 88 GDPR.

Il Garante ha inoltre ribadito l’obbligo di rispettare i principi di cui all’art. 5, par. 1, lett. a) e c), GDPR, in particolare liceità, correttezza, trasparenza e minimizzazione dei dati. In tale quadro, le causali delle assenze non sono state ritenute necessarie per garantire il regolare avvicendamento e la programmazione dei turni.

Illiceità della comunicazione delle causali di assenza

L’Autorità ha osservato che i turni erano accessibili non solo a personale direttamente coinvolto nel servizio, ma a un ampio numero di dipendenti non legittimati a conoscere in dettaglio i motivi di assenza dei colleghi. Per questo ha qualificato la condotta come comunicazione illecita di dati personali ai sensi dell’art. 2, comma 4, del Codice.

È stato precisato che i dipendenti addetti al servizio di trasporto non possono trattare informazioni di dettaglio sulle assenze dei colleghi se non sono autorizzati a farlo in ragione delle mansioni svolte. L’art. 10 della legge n. 138/1958, richiamato dalla società, è stato ritenuto insufficiente, poiché prevede solo l’affissione dei turni di servizio e non l’indicazione delle relative cause di assenza.

Valutazione finale e conseguenze sanzionatorie

Il Garante ha concluso che il trattamento dei dati particolari è avvenuto in assenza di un idoneo presupposto di liceità ai sensi dell’art. 9, par. 2, GDPR e in violazione dell’art. 5, par. 1, lett. c), GDPR. Ha ritenuto non superati i rilievi formulati con l’avvio del procedimento e ha escluso l’archiviazione.

Poiché la società aveva già modificato la prassi aziendale, il Garante ha escluso l’adozione di ulteriori misure correttive ex art. 58, par. 2, GDPR, ritenendo cessati gli effetti della condotta.

Sanzione pecuniaria e pubblicazione

Ai fini della quantificazione della sanzione, il Garante ha richiamato l’art. 83, par. 1, 2, 3 e 5, lett. a), GDPR, valorizzando:

• la natura, gravità e durata della violazione, riguardante la comunicazione a terzi di dati appartenenti a categorie particolari;
• il grado di responsabilità della società, che non ha rispettato indicazioni già fornite dall’Autorità in precedenti linee guida e decisioni;
• l’assenza di precedenti violazioni pertinenti;
• la collaborazione prestata nel corso dell’istruttoria e l’adeguamento spontaneo della prassi;
• le condizioni economiche del contravventore, desunte dal bilancio 2023.

All’esito, è stata applicata a Società Autocooperative Trasporti Italiani S.p.A. la sanzione amministrativa pecuniaria di euro 10.000,00. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito internet del Garante, nonché l’annotazione nel registro interno dell’Autorità. Avverso il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.