Colloqui di rientro post-malattia e trattamento di dati sanitari del lavoratore

Settembre 10, 2025 Camillo Bernardini 613 Visualizzazioni 0 Commenti 8 minuto di lettura

Di seguito un inquadramento tecnico-giuridico in tema di colloqui di rientro post-malattia e trattamento di dati sanitari del lavoratore: oggetto del divieto, ragioni dell’illiceità, conseguenze sanzionatorie e “lezioni apprese” per i datori di lavoro. La prassi del cosiddetto “rientro-intervista” svolta dal personale HR/linea, finalizzata a raccogliere informazioni sulla patologia, sulle cure o su esiti clinici, è stata ritenuta incompatibile con i principi del GDPR ed è stata sanzionata con 50.000 euro oltre a prescrizioni correttive.

1) Cosa ha vietato il Garante della privacy a un’azienda

Il provvedimento ha inibito la prassi aziendale di convocare sistematicamente i dipendenti, al rientro da assenze per malattia/infortunio, per colloqui (anche informali) in cui venivano:

acquisite informazioni su cause, diagnosi, terapie, referti o esiti clinici, talora annotate in schede HR o nel fascicolo personale;
chieste conferme su idoneità al lavoro o su limitazioni funzionali, al di fuori del canale medico-competente;
incoraggiate comunicazioni “spontanee” del dipendente, poi archiviate in sistemi informativi aziendali, accessibili a figure non sanitarie.

Sono stati vietati sia i colloqui esplorativi che la registrazione di qualsiasi dettaglio sanitario in ambito HR/linea, salvo le sole informazioni amministrativo-giuridiche strettamente necessarie (es.: data di assenza, titoli giustificativi, certificazione di rientro/idoneità rilasciata dal medico competente priva di diagnosi).

2) L’azienda non agiva per tutelare il lavoratore?

La finalità dichiarata (“accompagnare il rientro”, “prevenire recidive”, “adattare la mansione”) non legittima di per sé il trattamento, perché:

(i) Illiceità della base giuridica.
Il consenso del dipendente in contesto di subordinazione non è libero; l’“interesse legittimo” datoriale non può fondare il trattamento di categorie particolari di dati (salute). Il datore non dispone di una norma di legge che lo autorizzi a conoscere patologie, diagnosi o terapie: tale competenza spetta solo al medico competente nell’ambito di sorveglianza sanitaria.

(ii) Violazione del divieto di trattare dati sulla salute al di fuori del perimetro sanitario.
La valutazione di idoneità (eventualmente “con prescrizioni/limitazioni”) è atto sanitario demandato al medico competente; il datore può conoscere solo l’esito (idoneo/non idoneo/idoneo con prescrizioni), mai la diagnosi o i dettagli clinici.

(iii) Lesione dei principi di minimizzazione, pertinenza e limitazione della finalità.
Le domande poste e le note HR erano eccedenti e non necessarie rispetto a finalità organizzative/gestionali; inoltre, l’uso promiscuo (valutazioni di performance, gestione disciplinare) tradiva lo scopo dichiarato.

(iv) Difetto di accountability.
Mancavano o risultavano inadeguati: informativa specifica, registro dei trattamenti per i flussi di salute impropriamente gestiti da HR, valutazione d’impatto (DPIA) nonostante il rischio elevato, policy e istruzioni al personale, nonché cautele di sicurezza (accessi “need-to-know”, tracciamenti, tempi di conservazione).

Ne consegue che la “buona intenzione” non surroga i presupposti legali: in ambito lavoristico il trattamento di dati sanitari è eccezionale e canalizzato su attori qualificati (medico competente), con separazione netta dalle funzioni datoriali.

3) Quali sono le conseguenze per l’azienda

Sanzione amministrativa pecuniaria: € 50.000, graduata su gravità, durata, numero di interessati e misure correttive adottate.
Ordini correttivi: divieto di proseguire la prassi; cancellazione/anonimizzazione dei dati sanitari indebitamente raccolti; aggiornamento delle misure organizzative e tecniche (policy, profili di autorizzazione, logging).
Obblighi documentali: integrazione di informative, registro trattamenti, DPIA per i processi residui a rischio, formazione obbligatoria del personale HR/manager.
Rischi ulteriori:
- contenzioso risarcitorio da parte dei dipendenti (danno materiale/morale da trattamento illecito);
- rilievi ispettivi in materia di salute e sicurezza se la gestione di idoneità/mansioni è avvenuta fuori dal canale medico;
- profili disciplinari/deontologici se coinvolti professionisti tenuti al segreto;
- pregiudizio reputazionale.

4) Lezione per tutti i datori di lavoro (linee guida operative)

4.1. Chi può trattare cosa

Datore/HR: solo dati amministrativi necessari (periodo di assenza, giustificativi formali, esito di idoneità senza diagnosi), gestione turni/ferie/organizzazione; divieto di raccogliere/registrare cause di malattia, diagnosi, terapie, referti.
Medico competente: esclusiva gestione di sorveglianza sanitaria e giudizi di idoneità (anche con prescrizioni). Il giudizio comunicabile al datore non reca diagnosi; le prescrizioni vanno formulate in termini funzionali (es. limitazioni carichi, orari), non clinici.

4.2. Colloqui di rientro: come (eventualmente) impostarli lecitamente

Colloquio non sanitario, facoltativo, privo di domande su patologie/terapie; focus su esigenze organizzative, accoglienza, supporti non sanitari (formazione, smart working ove possibile).
Se emergono bisogni di adattamento per ragioni di salute, rinviare al medico competente per il giudizio di idoneità; il datore riceverà solo le prescrizioni operative.
Nessuna annotazione in chiaro di dati sanitari nei sistemi HR; usare campi strutturati per l’esito (idoneità/prescrizioni generiche) con tempi di conservazione minimi e accesso profilato.

4.3. Governance privacy

Registro dei trattamenti aggiornato; DPIA ove ricorrano trattamenti sistematici o su larga scala di dati sensibili.
Informative chiare ai dipendenti; policy interne con divieto espresso di domande/annotazioni sanitarie fuori dall’area medico competente.
Istruzioni e formazione mirate per HR, manager, preposti; designazione degli autorizzati al trattamento e segreto d’ufficio.
Sicurezza: separazione logica dei dati sanitari presso il medico competente; controlli accessi, audit trail, cifratura dove opportuno.
Relazioni industriali: coinvolgere RLS/RSU per protocolli di rientro compatibili con salute e privacy.

5) Q&A – Risposte puntuali

Cosa ha vietato il Garante della privacy a un’azienda?
La prassi dei colloqui post-malattia svolti da HR/linea con raccolta e registrazione di dati sanitari (diagnosi, terapie, referti) e valutazioni di idoneità fuori dal canale medico competente; ordinata la cessazione della prassi, la cancellazione dei dati e la ricalibratura dei processi.

L’azienda non agiva per tutelare il lavoratore?
La tutela dichiarata non legittima il trattamento: mancava base giuridica idonea, venivano trattati dati di salute al di fuori del perimetro legale, in violazione di minimizzazione e finalità, con gravi carenze di accountability.

Quali sono le conseguenze per l’azienda?
Sanzione di € 50.000; ordini di stop, cancellazione dati, adeguamenti organizzativi/tecnici; rischio di azioni risarcitorie dei dipendenti e di ulteriori rilievi ispettivi.

Quale lezione per tutti i datori di lavoro?
Separare nettamente gestione sanitaria (medico competente) e gestione HR; non chiedere né registrare dati clinici; limitarsi all’esito di idoneità con eventuali prescrizioni funzionali; dotarsi di policy, DPIA, informative, formazione e misure di sicurezza adeguate.

Conclusioni

Il colloquio post-malattia condotto da HR/linea con esplorazione dello stato di salute del dipendente è incompatibile con il GDPR: la salute è dato iper-protetto e il suo trattamento in ambito lavorativo è strettamente tipizzato e canalizzato sul medico competente. Le aziende devono riprogettare i processi di rientro puntando su accoglienza organizzativa, prescrizioni funzionali provenienti dall’area sanitaria, minimizzazione dei dati e accountability piena. La sanzione comminata non è un incidente isolato: è un monito a prevenire prassi invasive e a tradurre la privacy in procedura e governance quotidiana.