Non è lecito per un datore di lavoro utilizzare post pubblicati dal dipendente sul proprio profilo social personale, né conversazioni avvenute su app di messaggistica, come motivo per un licenziamento disciplinare. È quanto ha stabilito il Garante per la protezione dei dati personali con un’ingiunzione emanata lo scorso 21 maggio (n. 288), sanzionando un’azienda con una multa da 420 mila euro.
Al centro della vicenda, la decisione di una società di interrompere il rapporto con un proprio dipendente sulla base di contenuti condivisi in ambienti digitali ritenuti privati. Il datore di lavoro aveva tentato di difendersi sostenendo di aver ricevuto i post e i messaggi da terzi e di non averli cercati attivamente, contestando inoltre la violazione della social media policy aziendale da parte del lavoratore.
Ma per il Garante questo non basta: una volta accertato il carattere privato di post e conversazioni — soprattutto se diffusi in ambienti a accesso limitato — il datore di lavoro non può farne uso per fini disciplinari. “Non è sufficiente che un contenuto sia tecnicamente accessibile online per poter essere utilizzato liberamente,” si legge nel provvedimento. La libertà di espressione del dipendente, tuttavia, non è assoluta: resta comunque soggetta al rispetto della reputazione aziendale, ai doveri di fedeltà e alla correttezza nell’esecuzione del rapporto di lavoro.
Il tema rimane delicato, soprattutto nel pubblico impiego, dove il codice di condotta (DPR 62/2013) consente di valutare anche comportamenti extralavorativi ai fini disciplinari. Ma, chiarisce il Garante, occorre sempre una cornice normativa specifica e rispettosa della privacy.
Non è l’unico intervento recente sul fronte dei diritti digitali sul lavoro. Con un altro provvedimento del 27 marzo (n.167), il Garante ha vietato l’uso delle impronte digitali per la rilevazione delle presenze e la prevenzione di atti vandalici, infliggendo una sanzione di 4 mila euro a un datore di lavoro. Neppure il consenso del lavoratore è ritenuto sufficiente a legittimare il trattamento di dati biometrici, in assenza di una norma specifica.
Infine, in tema di marketing, l’Autorità ha imposto (prov. n. 330 del 4/6/ 2025) l’obbligo del sistema di double opt-in per l’invio di e-mail promozionali, ribadendo che, anche in mancanza di una norma esplicita, i principi generali impongono una tutela rafforzata del consenso degli utenti. Una scelta che ha già portato a sanzioni, come quella da 45 mila euro inflitta a un’azienda per aver inviato comunicazioni pubblicitarie senza le dovute conferme.
Articoli simili
EU Kids Act: niente social prima dei 13 anni, account limitati fino ai 15
La Commissione Europea propone un nuovo pacchetto di norme per la sicurezza dei minori online: divieto di accesso ai social per gli under 13, "mini…
Il cliente mente sui redditi? L’avvocato non deve fare il detective fiscale
Una decisione del CNF ridisegna il confine tra il dovere informativo del difensore e gli accertamenti che spettano all'Amministrazione
Respinto il ricorso di un figlio che chiedeva la nomina di un amministratore per il padre: la sola disabilità fisica, anche totale, non basta se…
