Il Garante privacy ha riferito di aver avvertito una start-up italiana che, nell’ambito di una delle piattaforme di messaggistica aziendale, ha sviluppato un componente aggiuntivo in grado di rilevare, attraverso l’intelligenza artificiale (c.d. sentiment analysis) il livello di stress dei lavoratori che decidano volontariamente di utilizzarlo (cfr. il comunicato stampa del 28 maggio 2026).
Il provvedimento (qui il testo integrale) ha ricordato, in generale, con riferimento ai trattamenti effettuati nel contesto lavorativo, che i datori di lavoro devono rispettare le norme nazionali, che “includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (artt. 6, par. 2, e 88, par. 2, del Regolamento).
In particolare, l’art. 113 del Codice (“Raccolta dati e pertinenza”), fa espresso rinvio alle disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro e che vietano al datore di lavoro di raccogliere dati non pertinenti rispetto all’attività lavorativa (artt. 8 della l. 20 maggio 1970, n. 300, e 10 del d.lgs. n. 297/2003, la cui violazione è peraltro penalmente sanzionata, cfr. art. 171 del Codice), la cui osservanza, per effetto di tale rinvio e tenuto conto dell’art. 88, par. 2, del Regolamento, costituisce una condizione di liceità del trattamento.
Nella cornice normativa sopra delineata, le informazioni riguardanti la sfera emotiva dei lavoratori, dunque il relativo stato di benessere o stress psicologico, costituiscono informazioni riconducibili all’ambito di applicazione dell’art. 113 del Codice, la cui conoscibilità è dunque preclusa al datore di lavoro.
Analogamente, il perseguimento della finalità dichiarata dalla Società “di medicina preventiva, diagnosi e assistenza” – secondo il Garante - deve ritenersi radicalmente precluso al datore di lavoro, non solo in ragione delle richiamate disposizioni che vietano l’acquisizione di informazioni non pertinenti all’attività lavorativa e del tradizionale divieto incombente sul datori di lavoro di assumere in via autonoma iniziative di accertamento sanitario sui dipendenti (cfr. art. 5 della l. 20 maggio 1970, n. 300), ma anche tenuto conto della stessa circostanza che la predetta finalità è caratterizzata da una dimensione di natura pubblicistica che, nel quadro della disciplina sulla tutela della salute e della sicurezza sul luogo di lavoro, costituisce nel contesto lavorativo espressione di una competenza propria del solo medico competente (cfr. d. lgs. n. 81/2008, nonché, più in generale, art. 5 della l. 20 maggio 1970, n. 300).
Questo assunto – precisa il Garante – è confermato anche dal tradizionale riparto di competenze e separazione di ruoli tra il medico competente e il datore di lavoro, in cui risiede il principale elemento di garanzia delle norme che, nel disciplinarne compiti e funzioni, prevedono limiti, condizioni e presupposti per il trattamento dei dati nell’ambito di tale specifico contesto.
Da qui l’avvertimento secondo il quale i trattamenti previsti possono verosimilmente violare il quadro normativo in materia di protezione dei dati personali e tutela della dignità della persona che lavora (in particolare, artt. 5, 6, 9, 24, 25 e 88 del Regolamento e 2-ter e 113 del Codice).