Controllo del dipendente in malattia: limiti e regole sulla privacy

Il fatto e perché conta

Il datore di lavoro che dubita della genuinità di un'assenza per malattia è tentato di verificare in proprio: pedinamenti, controlli sui social, incarichi ad agenzie investigative. La materia è però delicata, perché interseca due piani: la disciplina dei controlli sul lavoratore (Statuto dei Lavoratori) e la protezione dei dati sulla salute (GDPR). Sbagliare strumento non significa solo perdere la causa: può generare un illecito autonomo.

Inquadramento normativo

Il punto di partenza è l'art. 5 della L. 300/1970 (Statuto dei Lavoratori), che vieta al datore di lavoro accertamenti sanitari diretti sullo stato di malattia del dipendente. Il controllo sull'effettiva esistenza dell'infermità è riservato agli enti pubblici competenti: il datore non può sostituirsi al medico né pretendere di conoscere la diagnosi.

Qui opera una distinzione che va tenuta ferma. Il certificato telematico trasmesso all'INPS comunica al datore solo la prognosi, cioè la durata presunta dell'assenza, non la diagnosi, cioè la patologia. La diagnosi è un dato sulla salute e ricade tra le categorie particolari di dati dell'art. 9 GDPR (Reg. UE 2016/679): il suo trattamento è di regola vietato, salvo basi giuridiche specifiche. Pretenderne la conoscenza è di per sé un trattamento illecito.

Sul versante dei controlli, occorre evitare confusioni ricorrenti. I cosiddetti controlli difensivi non si fondano sugli artt. 2 e 3 dello Statuto (che riguardano, rispettivamente, le guardie giurate e il personale di vigilanza), bensì si innestano sull'art. 4 St. Lav., riformato dal D.Lgs. 151/2015, in tema di controlli a distanza, e sull'elaborazione giurisprudenziale. La Cassazione, con la cosiddetta trilogia del 2021 (Cass. Sez. Lav. nn. 25731, 25732 e 25733 del 2021), ha precisato la nozione di controllo difensivo "in senso stretto", consentito solo in presenza di un fondato sospetto di illecito già insorto e nei limiti della proporzionalità. Resta sullo sfondo, sul piano del materiale acquisito, Cass. SU n. 13266/2016.

L'accertamento ufficiale dell'assenza passa invece per la visita fiscale. Con il D.Lgs. 75/2017 (art. 18), che ha introdotto il comma 5-bis dell'art. 55-septies del D.Lgs. 165/2001, è stato istituito il Polo unico della medicina fiscale, affidato all'INPS la competenza sui controlli per pubblico e privato.

Implicazioni pratiche

Per il datore di lavoro questo significa che il canale ordinario e sicuro è la richiesta di visita fiscale, non l'iniziativa personale. Il lavoratore in malattia è tenuto a essere reperibile nelle fasce orarie previste:

• settore privato: 10:00-12:00 e 17:00-19:00;
• settore pubblico: 09:00-13:00 e 15:00-18:00.

L'assenza ingiustificata alla visita può comportare conseguenze sul trattamento economico. Diverso è il caso dell'agenzia investigativa: l'investigatore privato non può accertare lo stato di malattia (riservato agli enti pubblici), ma può documentare condotte del lavoratore incompatibili con la malattia dichiarata o che ne ritardano la guarigione, restando nei limiti di liceità e proporzionalità.

Il controllo sui profili social, infine, va maneggiato con prudenza: raccogliere e conservare informazioni sulla salute desunte da post o foto può integrare un trattamento di dati ex art. 9 GDPR, sanzionabile dal Garante per la protezione dei dati personali.

Cosa fare in concreto

• Attiva la visita fiscale tramite il canale INPS: è lo strumento ufficiale per verificare l'effettività dell'assenza, senza esporsi a contestazioni.
• Non chiedere mai la diagnosi al dipendente né a terzi: limita la verifica alla prognosi comunicata e alla reperibilità nelle fasce orarie.
• Verifica le fasce di reperibilità corrette in base al settore prima di contestare un'assenza alla visita.
• Affida eventuali accertamenti su condotte esterne ad agenzie investigative solo in presenza di un fondato sospetto, con incarico circoscritto e proporzionato, evitando ogni indagine sullo stato di salute.
• Astieniti dal monitoraggio sistematico dei social del dipendente: la raccolta di dati sulla salute è ad alto rischio sanzionatorio.

Consigliamo, prima di avviare qualsiasi controllo difensivo, una valutazione preventiva di liceità e proporzionalità, anche per documentare il rispetto delle regole in caso di contenzioso.

---

Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.