Controlli aziendali sui social e privacy: il caso Autostrade e la sanzione del Garante
Il recente provvedimento del Garante per la Protezione dei Dati Personali nei confronti di Autostrade per l’Italia S.p.A., culminato in una sanzione da 420.000 euro, rappresenta una tappa fondamentale nella definizione dei limiti al controllo digitale dei lavoratori. Il caso riguarda il licenziamento di una dipendente, oggetto di due contestazioni disciplinari fondate su contenuti estratti dal suo profilo Facebook, da conversazioni Messenger e da messaggi WhatsApp, successivamente utilizzati dall’azienda per motivare il recesso.
I fatti: quando il digitale entra nel rapporto di lavoro
La dipendente, esattrice presso una stazione autostradale, era stata contestata per aver pubblicato post su Facebook critici verso alcune scelte ambientali dell’azienda (visibili solo ad “amici”), e per messaggi privati in cui condivideva opinioni simili con un attivista e con colleghi. Le informazioni non erano state cercate attivamente dalla società, ma erano state inoltrate spontaneamente da terzi (colleghi o interlocutori).
Le ragioni di Autostrade
Autostrade ha difeso il proprio operato sostenendo di aver agito nel legittimo interesse, senza violare alcuna norma poiché non aveva effettuato indagini dirette. Inoltre, la società ha affermato di aver condotto una valutazione interna per bilanciare il proprio interesse con i diritti della dipendente, richiamando anche precedenti giurisprudenziali.
La decisione del Garante: trattamento illecito dei dati
Il Garante ha però rigettato le argomentazioni aziendali, ritenendo illecito il trattamento per diverse ragioni:
- Violazione dei principi del GDPR: in particolare, di liceità, minimizzazione e finalità.
- Assenza di un valido test di bilanciamento a sostegno del legittimo interesse invocato.
- Trattamento di comunicazioni private (Messenger, WhatsApp), protette dall’art. 15 Cost. e dall’art. 8 CEDU.
- Utilizzo di dati non pertinenti rispetto all’attività lavorativa (opinioni personali su temi ambientali).
- Violazione dell’art. 113 del Codice Privacy, che vieta la raccolta di dati non rilevanti per la valutazione professionale del dipendente.
Il Garante ha sottolineato che anche informazioni reperite passivamente rientrano nel concetto di trattamento, e che la configurazione “privata” di un profilo social genera una legittima aspettativa di riservatezza. Inoltre, ha ribadito che una “social media policy” aziendale non legittima automaticamente l’uso di contenuti personali a fini disciplinari, se ciò avviene in violazione delle tutele privacy.
Una sanzione esemplare e un monito per le imprese
La sanzione, accompagnata dalla pubblicazione dell’ordinanza sul sito del Garante, ha tenuto conto anche della recidiva dell’azienda, già oggetto di provvedimenti per violazioni simili, oltre che della gravità delle condotte. Tuttavia, la cooperazione mostrata durante l’istruttoria ha rappresentato un attenuante.
Implicazioni più ampie: verso una nuova cultura del controllo digitale
Il caso Autostrade alza l’asticella sulla tutela della privacy (qui cosa significa privacy) nel contesto lavorativo. Il Garante invita le imprese a dotarsi di procedure strutturate per la gestione dei dati personali, soprattutto in ambito disciplinare, con test di bilanciamento reali e documentati. È stato inoltre riaffermato che le opinioni personali, espresse fuori dall’ambito lavorativo, non possono costituire base per azioni disciplinari se non interferiscono direttamente con la prestazione lavorativa.
Questa decisione si inserisce in una più ampia tendenza europea, che riconosce il diritto alla privacy digitale come un’estensione dei diritti fondamentali anche all’interno del mondo del lavoro. Il messaggio è chiaro: le nuove tecnologie e i social media non devono diventare strumenti pericolosi per la libertà dei lavoratori, ma essere gestiti nel rispetto della persona e della dignità, anche in ambito professionale.
