È quanto deciso dal Garante Privacy con provv. 21 maggio 2025, che ha sanzionato il datore di lavoro (pende l’impugnazione)
La vicenda: una lavoratrice critica il proprio datore di lavoro per presunte condotte in danno all'ambiente tramite: (1) un post sul profilo Facebook personale; (2) una chat Messenger con un soggetto esterno; (3) una chat WhatsApp con colleghi. I destinatari inoltrano i contenuti alla società, che avvia iniziative disciplinari.
Aspettativa di riservatezza anche sui social: il Garante rileva che i post su un profilo Facebook non pubblico sono destinati a una cerchia ristretta (“amici”), generando una legittima aspettativa di riservatezza. Nemmeno i contenuti visibili online possono essere trattati “a ogni fine” solo perché accessibili.
Il principio di finalità limita il datore di lavoro: i dati pubblicati sui social servono a comunicazione interpersonale o espressione del pensiero, non al controllo della prestazione lavorativa: il datore deve indicare finalità specifiche e compatibili per poter trattare quei dati.
Legittimo interesse? Solo dopo un vero test di bilanciamento: il datore di lavoro invoca l’art. 6(1)(f) GDPR, ma non dimostra di aver svolto, secondo il principio di accountability, il necessario test in tre fasi (finalità–necessità–bilanciamento). Nel bilanciamento ha un peso notevole l’aspettativa di riservatezza della lavoratrice.
Rilevanza del contenuto fuori dal perimetro professionale: le comunicazioni riguardavano opinioni espresse in ambiti estranei al rapporto di lavoro. L’art. 113 del Codice Privacy (che rinvia a art. 8 Statuto lavoratori e art. 10 d.lgs. 276/2003) vieta al datore di acquisire e trattare dati su opinioni o fatti non pertinenti alla valutazione professionale, anche quando l’acquisizione è “casuale” o fatta da terzi.