Il Garante Privacy, con il Provvedimento n. 390 del 10 luglio 2025 (doc. web 10154148), ha sanzionato un’azienda per l’uso di un questionario post-malattia, che veniva proposto durante un colloquio, al rientro da assenze per malattia/infortunio: trattamento illecito di dati sulla salute. Al datore non è consentito indagare diagnosi, sintomi o terapie; la valutazione sanitaria compete al medico competente. Ammessa solo l’informazione generica sul motivo dell’assenza (malattia/infortunio/ricovero). Per i lavoratori — GPG incluse — significa più tutele e strumenti concreti per dire “no” a richieste indebite.
Clicca qui per scoprire i soggetti coinvolti nel trattamento dei dati personali.
La prassi errata
Negli ultimi anni diverse aziende hanno introdotto “colloqui di rientro” accompagnati da moduli con domande su patologie, farmaci, visite, prognosi. Sembra buon senso organizzativo; non lo è quando tocca la salute: il GDPR classifica questi dati come “categorie particolari”, con regole stringenti. Il Garante ha accertato che quel tipo di questionario non aveva base giuridica idonea, violava i principi di liceità, minimizzazione e necessità e invadeva la sfera sanitaria del dipendente, che in azienda non deve diventare un “paziente”.
Regola generale: cosa si può chiedere
Si può chiedere solo l’informazione generica sul motivo dell’assenza: se è dipesa da malattia, infortunio o ricovero e quando termina la prognosi. Non si può entrare nella diagnosi (quale malattia), nei sintomi, nelle terapie, nei referti, nelle abitudini di vita o in altre notizie sanitarie (compresa la sfera psicologica). La valutazione di idoneità alla mansione e il reinserimento lavorativo sono compiti del medico competente (D.Lgs. 81/2008) che opera con proprie cautele e segreto professionale, comunicando al datore solo giudizi di idoneità (idoneo/idoneo con prescrizioni/non idoneo), non le ragioni cliniche.
Casi particolari, eccezioni e CCNL
Le regole privacy sono orizzontali: valgono in tutti i settori, vigilanza privata compresa. Un CCNL o un regolamento interno non può legittimare la raccolta ampia di dati sanitari, salvo rarissimi casi. Eventuali prassi di “rientro” sono possibili solo se:
non coinvolgono dati di salute o li trattano esclusivamente tramite medico competente;
rispettano i principi GDPR (finalità specifiche, minimizzazione, conservazione limitata);
prevedono informative chiare e ruoli (titolare, responsabili) ben definiti.
Nel primo accesso in azienda successivo a malattia molto lunga o infortunio, può essere prevista la visita del medico competente, anche se non è più obbligatoria. Questo è lecito e (a volte) doveroso; non lo è il questionario sanitario gestito dal capo turno o dall’ufficio del personale.
Diritti, rischi e cosa fare subito
Se sei un lavoratore (o RLS/RSA):
Pretendi l’informativa: chi tratta i dati, per quali scopi, quali basi giuridiche.
Rifiuta domande su diagnosi, sintomi, farmaci. Rispondi solo sul fatto generico (malattia/infortunio/ricovero) e sulla data di rientro.
Chiedi il coinvolgimento del medico competente per ogni valutazione sanitaria.
Conserva copia di moduli o email: servono se presenterai reclamo al Garante per la privacy.
Esempio pratico (GPG): al rientro da un infortunio lieve, al collega viene chiesto un modulo con “tipo di lesione”, “terapia”, “visite specialistiche”. Risposta corretta: “Assenza per infortunio. Per l’idoneità mi rivolgo al medico competente.” Il capo non può insistere sulla diagnosi.
ATTENZIONE
Minacciare sanzioni disciplinari per il rifiuto di rivelare dati sanitari non necessari può aggravare la posizione del datore (illecito privacy + ritorsione). Se accade, rispondi per iscritto chiedendo base normativa e coinvolgimento del medico competente; valuta reclamo al Garante.
Come si fa (bene) il rientro senza violare la privacy
Check amministrativo: protocolli di malattia INPS, data fine prognosi, turnazione.
Idoneità: rimessa al medico competente quando previsto (es. rientri dopo infortunio significativo o malattia che può incidere sulla mansione).
Minimizzazione: niente archivi aziendali con schede cliniche; la cartella sanitaria resta presso il medico competente.
Data retention: tempi di conservazione coerenti (da evitare il “per sempre”).
Implicazioni per le Guardie Particolari Giurate
Per le GPG, il confine è cruciale: mansioni armate, notturno, servizi in piedi. Proprio qui è forte la tentazione di chiedere “di più” per sicurezza. Il provvedimento ricorda che sicurezza è diverso da diagnosi: le cautele passano dal giudizio di idoneità del medico competente (anche con prescrizioni: es. limitazione temporanea a mansioni particolari), non da questionari invasivi. Il servizio resta sicuro senza violare la riservatezza.
Domande frequenti
1) L’azienda può obbligarmi a un colloquio di rientro?
Un colloquio organizzativo (turni, consegne, ferie) è legittimo. Diventa illecito se entra nella sfera sanitaria (diagnosi, sintomi, terapie). La parte clinica spetta al medico competente. Se il colloquio devia su dati di salute, puoi rifiutare quelle domande e proporre di rivolgersi al medico.
2) Posso limitarmi a dire che l’assenza era per “malattia” o “infortunio”?
Sì. È l’informazione massima consentita al datore, insieme alle date utili alla gestione amministrativa. Non devi rivelare quale malattia, che farmaci prendi o se hai disturbi residui. La diagnosi non può essere pretesa e non deve circolare in azienda.
3) Se firmo il consenso, allora il questionario diventa lecito?
Nel rapporto di lavoro il consenso è spesso inidoneo, perché non è davvero “libero” (squilibrio tra datore e dipendente). Anche un modulo firmato non sana domande eccedenti o prive di base normativa. Per i profili sanitari resta competente il medico.
4) Quali rischi corre l’azienda?
Multe (in questo caso 50.000 € ad opera del Garante), ordine di cessazione del trattamento e possibili contenziosi. Se i dati sono stati diffusi internamente, può scattare l’obbligo di cancellazione e misure correttive (formazione, revisione procedure).
5) Nel CCNL Vigilanza Privata è previsto qualcosa?
I CCNL non possono derogare alla tutela dei dati sanitari. Possono regolare gli adempimenti organizzativi (rientro, formazione, idoneità) ma la parte clinica resta in mano al medico competente. In caso di dubbi, chiedi al tuo RSA e verifica con l’azienda l’informativa e la base giuridica.
6) Come mi tutelo se insistono?
Rispondi per iscritto: “fornisco le informazioni amministrative dovute; per ogni valutazione sanitaria contattate il medico competente”. Allega l’informativa che ti hanno dato (o chiedila). Se proseguono, valuta reclamo al Garante con gli allegati.
Leggi il Provvedimento del 10 luglio 2025 (doc. web 10154148) del Garante Privacy.
