Con provvedimento del 21 maggio 2025, l’Autorità Garante per la Protezione dei Dati Personali ha irrogato una sanzione amministrativa di 420.000 euro a carico di una nota società italiana, per aver trattato in modo illecito i dati personali di una dipendente. Il trattamento ha incluso anche la raccolta e l’utilizzo di contenuti provenienti da comunicazioni private e via social, successivamente impiegati per giustificare un licenziamento disciplinare.
L’intervento dell’Autorità ha toccato diversi profili rilevanti in materia di trattamento dei dati nel contesto lavorativo, ma è stata l’occasione per ricordare alcuni principi generali, la cui rilevanza trascende l’ambito meramente giuslavoristico e riguarda l’intero sistema della protezione dei dati personali.
Accessibilità non equivale a liceità di qualunque trattamento
La vicenda in esame ha confermato un concetto tutt’altro che nuovo, ma che merita una rinnovata attenzione: la pubblicazione di dati personali su internet – inclusi i social network – non autorizza l’uso indiscriminato di tali dati da parte di terzi.
Come ribadito nel provvedimento, anche quando un contenuto è accessibile pubblicamente tramite un profilo social impostato come pubblico, la finalità per cui l’interessato ha reso disponibili quei dati è determinante. Le informazioni sono infatti solitamente pubblicate a fini comunicativi, espressivi, informativi o di intrattenimento, e non per essere utilizzate da altri soggetti per scopi estranei e ulteriori, come nel caso di una valutazione disciplinare da parte di un datore di lavoro.
Già nel 2014 la Suprema Corte aveva infatti chiarito che “l’immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell’interessato di permetterne l’utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalità diverse da quella per cui ne è stata consentita la divulgazione costituisce d’altronde un’eventualità già presa in considerazione da questa Corte, la quale ha affermato in proposito che la tutela apprestata dal d.lgs., n. 196 del 2003 (allora vigente) si estende anche ai dati già pubblici o pubblicati, dal momento che colui che compie operazioni di trattamento di tali informazioni può ricavare dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio ulteriori informazioni, quindi un «valore aggiunto informativo», non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignità dell’interessato, valore sommo (tutelato dall’art. 3, primo comma, prima parte, e dell’art. 2 della Costituzione) a cui si ispira la legislazione in materia di trattamento dei dati personali (Cass. 7 ottobre 2014 n. 21107)”.
In proposito, il Garante ha pertanto richiamato l’art. 5, par. 1, lett. b) del GDPR, che impone il rispetto del principio di finalità, secondo il quale i dati devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo compatibile con tali finalità, con una adeguata base giuridica.
La base giuridica del “legittimo interesse” e l’obbligo di bilanciamento
Quando un soggetto terzo intende utilizzare dati personali raccolti da fonti aperte al pubblico, è tenuto ad individuare la finalità del trattamento ed identificare, di conseguenza, una base giuridica valida, come prevista dall’art. 6 del GDPR. In questo caso e come molti di voi avranno previsto, si è tentato di invocare il legittimo interesse del datore di lavoro (art. 6, par. 1, lett. f), ma questa base giuridica non può mai essere utilizzata automaticamente.
L’invocazione del legittimo interesse presuppone l’effettuazione di una valutazione di bilanciamento tra l’interesse perseguito dal titolare e i diritti e le libertà fondamentali dell’interessato.
Tale bilanciamento deve essere concreto, documentato e condotto con metodo, sulla base di criteri oggettivi e trasparenti. Nel caso oggetto del provvedimento, la società non ha dimostrato di aver eseguito alcuna valutazione effettiva e, come ha osservato il Garante, anche qualora fosse stato effettuato, l’esito non avrebbe potuto giustificare il trattamento effettuato.
Finalità originaria e contesto del trattamento
L’Autorità sottolinea inoltre che “i contenuti presenti sui social network, pure nella sezione del profilo accessibile a chiunque, sono messi a disposizione dagli interessati per finalità di comunicazione interpersonale o di manifestazione del pensiero”. Finalità ben diverse da quelle perseguite da un datore di lavoro che tratta tali dati per valutare la correttezza dell’adempimento delle obbligazioni contrattuali e, aggiungo io, di qualunque altro soggetto che utilizzi i social network con finalità investigative.
Legalità, strategia e cultura del dato: un paradigma per le aziende
La vicenda oggetto del provvedimento del Garante rappresenta un monito chiaro per tutte le organizzazioni, pubbliche e private: il trattamento dei dati personali non può mai essere considerato un aspetto accessorio o meramente tecnico dell’attività aziendale. Al contrario, esso costituisce un elemento centrale della governance d’impresa.
La gestione strategica dei dati personali deve quindi essere oggetto di un’attenta pianificazione, supportata da un solido impianto normativo interno, da una formazione costante dei responsabili e degli incaricati, nonché da un’efficace attività di controllo e auditing.
In un contesto economico sempre più digitalizzato e interconnesso, in cui i flussi informativi attraversano ininterrottamente ambiti personali e professionali e la conformità al GDPR non può essere relegata a un adempimento formale, dovendosi tradurre, viceversa, in una cultura aziendale orientata al rispetto dei diritti, alla trasparenza e alla accountability, valori ormai imprescindibili per una gestione manageriale consapevole, sostenibile e conforme alle regole.
