Whistleblowing (D.Lgs. 24/2023): segnalare illeciti in azienda

In breve

Chi deve avere un canale: tutte le PA e i soggetti pubblici; nel privato le imprese con almeno 50 dipendenti medi, quelle dei settori regolati (finanza, antiriciclaggio, trasporti, prodotti, ambiente) e quelle con modello 231.
Che cosa si segnala: violazioni che ledono l'interesse pubblico o l'integrità dell'ente; nel privato soprattutto le violazioni del diritto UE nei settori elencati e i reati 231. Mai le liti personali di lavoro.
Tre canali in ordine: interno (riscontro in 3 mesi), esterno all'ANAC (se l'interno manca, non funziona o è rischioso), divulgazione pubblica (solo nei casi dell'art. 15).
Le tutele: ritorsioni nulle, licenziamento con reintegrazione, presunzione di ritorsività e onere della prova sul datore, riservatezza dell'identità, non punibilità per i segreti rivelati se necessario.
Le sanzioni ANAC: da 10.000 a 50.000 euro per ritorsioni, ostacoli, violazione della riservatezza, canale mancante; da 500 a 2.500 euro al segnalante calunnioso.

A chi si applica e per che cosa

Il decreto 24/2023 ha attuato la direttiva 2019/1937 e sostituito le tutele frammentarie precedenti (art. 54-bis D.Lgs. 165/2001 per il pubblico, L. 179/2017 e art. 6 D.Lgs. 231/2001 per il privato). L'ambito ha due dimensioni. La prima è chi è obbligato ad avere un canale: nel settore pubblico tutte le amministrazioni, le autorità indipendenti, gli enti pubblici economici, gli organismi di diritto pubblico, i concessionari di pubblico servizio, le società a controllo pubblico e in house; nel settore privato tre categorie (art. 2 c. 1 lett. q): chi ha impiegato nell'ultimo anno una media di almeno cinquanta lavoratori subordinati, chi opera nei settori degli atti europei elencati nell'allegato (servizi finanziari, antiriciclaggio, sicurezza dei trasporti, ambiente e altri) anche sotto quella soglia, e chi ha adottato un modello organizzativo 231 anche sotto soglia. L'obbligo è scattato il 15 luglio 2023 e, per le imprese private tra 50 e 249 dipendenti, il 17 dicembre 2023. La seconda dimensione è che cosa si può segnalare con protezione, e qui pubblico e privato divergono.

Chi segnala presso	Violazioni coperte (art. 2 c. 1 lett. a)
Soggetti pubblici	Tutte: illeciti amministrativi, contabili, civili o penali; condotte 231; violazioni del diritto UE nei settori dell'allegato; lesioni degli interessi finanziari e del mercato interno dell'Unione
Imprese private con almeno 50 dipendenti o dei settori regolati	Solo le violazioni del diritto dell'Unione (numeri 3-6): appalti pubblici, servizi e mercati finanziari e antiriciclaggio, sicurezza dei prodotti, sicurezza dei trasporti, ambiente, radioprotezione, alimenti e mangimi, salute pubblica, consumatori, privacy e sicurezza delle reti, interessi finanziari UE, concorrenza e aiuti di Stato, imposte sulle società
Imprese private con modello 231 sotto i 50 dipendenti	Solo segnalazioni interne su reati presupposto 231 e violazioni del modello; con almeno 50 dipendenti anche le violazioni UE con tutti i canali
Chiunque	Esclusi: contestazioni e rivendicazioni legate a un interesse personale sul proprio rapporto di lavoro; segnalazioni già regolate da norme speciali; sicurezza nazionale; informazioni classificate, segreto forense e medico

Il limite più frainteso è il primo: nel privato la frode contabile puramente interna, il furto di un collega, il reato comune non 231 non sono, in sé, oggetto di whistleblowing protetto, salvo che l'azienda abbia un modello 231 e il fatto sia un reato presupposto. Il dipendente che li segnala fa una denuncia lecita, ma non gode delle presunzioni del decreto. Le persone protette sono invece elencate in modo ampio (art. 3): dipendenti pubblici e privati, lavoratori autonomi e collaboratori, professionisti e consulenti, volontari e tirocinanti, azionisti e chi ha funzioni di amministrazione, direzione e controllo anche di fatto; la protezione vale durante la prova, prima dell'assunzione se le informazioni sono state acquisite nella selezione, e dopo la fine del rapporto. Sono protetti anche i facilitatori, i colleghi e i parenti entro il quarto grado, e gli enti di proprietà del segnalante.

Il canale interno

L'ente attiva, sentite le rappresentanze sindacali, un canale che garantisce la riservatezza dell'identità del segnalante, della persona coinvolta e del contenuto, anche con la crittografia (art. 4). La gestione è affidata a una persona o a un ufficio interno autonomo e formato, o a un soggetto esterno; nelle PA con responsabile anticorruzione è lui a gestirlo. La segnalazione può essere scritta, anche su piattaforma informatica, o orale per telefono, messaggistica vocale o incontro diretto da fissare in un termine ragionevole. Chi gestisce il canale deve rilasciare avviso di ricevimento entro sette giorni, tenere i contatti con il segnalante, dare «diligente seguito» e fornire riscontro entro tre mesi (art. 5); deve inoltre esporre nei luoghi di lavoro e sul sito le informazioni sul canale interno e su quello esterno. La segnalazione arrivata a un soggetto diverso (il capo, l'ufficio del personale) va trasmessa entro sette giorni al gestore competente. Il canale interno è la via ordinaria, ma non è obbligatorio passarci quando ricorrono le condizioni per quello esterno.

Il canale esterno: l'ANAC

Art. 6, comma 1, D.Lgs. 24/2023

«La persona segnalante può effettuare una segnalazione esterna se, al momento della sua presentazione, ricorre una delle seguenti condizioni: a) non è prevista, nell'ambito del suo contesto lavorativo, l'attivazione obbligatoria del canale di segnalazione interna ovvero questo, anche se obbligatorio, non è attivo o, anche se attivato, non è conforme a quanto previsto dall'articolo 4; b) la persona segnalante ha già effettuato una segnalazione interna ai sensi dell'articolo 4 e la stessa non ha avuto seguito; c) la persona segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito ovvero che la stessa segnalazione possa determinare il rischio di ritorsione; d) la persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.»

L'ANAC gestisce una piattaforma crittografata e riceve segnalazioni scritte e orali (art. 7); dà avviso di ricevimento in sette giorni, istruisce anche con audizioni e documenti, e dà riscontro entro tre mesi, prorogabili a sei (art. 8). Se la violazione non è di sua competenza, la trasmette all'autorità amministrativa o giudiziaria competente, anche europea, avvisando il segnalante; può archiviare le violazioni di lieve entità. Le condizioni dell'art. 6 sono ampie: la lettera c), il fondato timore di ritorsione o di inefficacia, copre la maggior parte dei casi in cui il segnalato è il vertice dell'ente o chi gestisce il canale. Chi vuole essere sicuro della protezione documenta la ragione per cui ha saltato il canale interno.

La divulgazione pubblica

Rivolgersi alla stampa o ai social è protetto solo nei casi dell'art. 15: quando la segnalazione interna ed esterna, o quella esterna diretta, non ha avuto riscontro nei termini; quando c'è pericolo imminente o palese per il pubblico interesse; quando la segnalazione esterna comporterebbe rischio di ritorsioni o non avrebbe efficace seguito, per esempio perché le prove potrebbero essere occultate o distrutte o chi dovrebbe riceverla è colluso. Fuori da questi casi il dipendente che va sui giornali resta esposto al licenziamento disciplinare per violazione dell'obbligo di fedeltà (art. 2105 c.c.) e alle azioni per diffamazione, con i soli limiti del diritto di critica. Resta fermo il segreto professionale del giornalista sulla fonte.

Le condizioni della protezione

Le tutele spettano a chi, al momento della segnalazione, «aveva fondato motivo di ritenere che le informazioni sulle violazioni fossero vere e rientrassero nell'ambito oggettivo» del decreto, e ha seguito le procedure (art. 16). Non serve che la violazione sia poi accertata: basta la ragionevole convinzione, e i motivi personali che hanno spinto a segnalare (rancore, carriera, vendetta) sono irrilevanti. La protezione cade se è accertata, anche con sentenza di primo grado, la responsabilità penale del segnalante per calunnia o diffamazione, o quella civile per dolo o colpa grave: in quel caso scatta la sanzione disciplinare e l'ANAC può irrogare da 500 a 2.500 euro. Le segnalazioni anonime sono ammesse dai canali, ma la tutela contro le ritorsioni si applica solo se il segnalante viene poi identificato. L'art. 20 aggiunge una causa di non punibilità: chi rivela informazioni coperte da segreto aziendale, d'ufficio o da obblighi di riservatezza, o lesive della reputazione della persona coinvolta, non è punibile e non risponde civilmente se aveva fondati motivi per ritenere la rivelazione necessaria a svelare la violazione; non è protetto, invece, chi ha acquisito le informazioni commettendo un reato (accesso abusivo, sottrazione di documenti) o le usa per scopi estranei.

Le ritorsioni e come si combattono

L'art. 17 vieta ogni ritorsione, cioè ogni comportamento anche solo tentato o minacciato, posto in essere a causa della segnalazione, che provochi un danno ingiusto, e ne elenca le forme tipiche: licenziamento, sospensione, retrocessione o mancata promozione, mutamento di funzioni, trasferimento, riduzione dello stipendio o dell'orario, esclusione dalla formazione, note negative, sanzioni disciplinari, molestie e ostracismo, mancata conversione o rinnovo del contratto a termine, danni reputazionali anche sui social, inserimento in liste nere, annullamento di contratti di fornitura o licenze, richiesta di accertamenti psichiatrici. La regola processuale è il cuore della tutela: nei giudizi sulle ritorsioni «si presume che gli stessi siano stati posti in essere a causa della segnalazione» e l'onere di provare ragioni estranee grava su chi li ha adottati (c. 2); nella domanda risarcitoria il danno si presume conseguenza della segnalazione (c. 3). Gli atti ritorsivi sono nulli (art. 19 c. 3): il lavoratore licenziato ha diritto alla reintegrazione secondo l'art. 18 St. lav. o l'art. 2 D.Lgs. 23/2015, cioè con la tutela piena del licenziamento nullo, qualunque sia la dimensione dell'impresa; il giudice adotta tutte le misure, anche provvisorie, necessarie, compreso l'ordine di cessazione della condotta. In parallelo il segnalante può comunicare la ritorsione all'ANAC (art. 19 c. 1), che nel privato informa l'Ispettorato nazionale del lavoro e nel pubblico il Dipartimento della funzione pubblica, istruisce e sanziona il responsabile.

Le sanzioni e il sostegno

L'ANAC applica al responsabile, persona fisica o ente, sanzioni da 10.000 a 50.000 euro quando accerta ritorsioni, ostacolo o tentato ostacolo alla segnalazione, violazione della riservatezza, mancanza del canale o delle procedure, non conformità agli artt. 4 e 5, omessa verifica delle segnalazioni ricevute (art. 21). Le imprese con modello 231 devono prevedere nel sistema disciplinare sanzioni per chi commette questi illeciti. Presso l'ANAC è tenuto l'elenco degli enti del Terzo settore convenzionati che forniscono gratuitamente informazioni, assistenza e consulenza ai segnalanti, anche sull'accesso al patrocinio a spese dello Stato (art. 18). La riservatezza è protetta dall'art. 12: l'identità del segnalante non può essere rivelata senza il suo consenso a persone diverse da chi gestisce la segnalazione; nel penale è coperta dal segreto dell'art. 329 c.p.p.; nel disciplinare contro la persona segnalata l'identità resta segreta se l'addebito si fonda su accertamenti distinti, e se invece la segnalazione è indispensabile alla difesa può essere usata solo con il consenso del segnalante; le segnalazioni sono sottratte all'accesso agli atti. Anche la persona coinvolta ha diritti: può essere sentita e vede tutelata la propria identità fino alla fine dei procedimenti.

Come si segnala bene

Verificare che sia whistleblowing. La violazione lede l'interesse pubblico o l'integrità dell'ente? Nel privato, rientra nei settori UE o nel 231? Se è una questione personale di lavoro, le tutele sono altre.
Raccogliere prove lecitamente. Documenti a cui si ha accesso per ragioni di servizio, appunti con date, nomi e fatti; non copiare archivi interi, non accedere ad aree riservate.
Scegliere il canale. Interno se esiste ed è credibile; ANAC se manca, non funziona, è gestito da chi è coinvolto o espone a ritorsioni; stampa solo nei casi dell'art. 15. Annotare la ragione della scelta.
Segnalare fatti, non giudizi. Chi, che cosa, quando, dove, con quali documenti; indicare le norme violate se si conoscono; chiedere l'avviso di ricevimento.
Conservare tutto: ricevute, riscontri, scambi con il gestore; sono la prova del rispetto delle procedure, condizione delle tutele.
Reagire subito alle ritorsioni. Comunicazione all'ANAC, impugnazione del licenziamento entro 60 giorni, ricorso al giudice del lavoro anche in via d'urgenza: la presunzione lavora per il segnalante ma i termini corrono comunque.

Per l'impresa il decreto è un obbligo organizzativo con sanzioni proprie e un rischio in ogni licenziamento successivo a una segnalazione: chi deve licenziare un dipendente che ha segnalato deve costruire e documentare le ragioni estranee prima, non dopo. Per il lavoratore è una tutela forte ma condizionata: usata per fatti veri e nel canale giusto protegge più di qualsiasi altra norma del diritto del lavoro; usata per regolare conti personali o per divulgazioni non necessarie non protegge affatto. Le pagine sul mobbing e sulle tutele contro il licenziamento completano il quadro; il modello 231 è descritto nella pagina sulla compliance 231.

Domande frequenti

Ho segnalato che il mio capo mi fa fare straordinari non pagati: sono un whistleblower?

No. Le contestazioni che riguardano esclusivamente il proprio rapporto di lavoro o i rapporti con i superiori sono escluse dal decreto (art. 1 c. 2 lett. a). Restano le tutele ordinarie del diritto del lavoro. Il whistleblowing riguarda violazioni che ledono l'interesse pubblico o l'integrità dell'ente.

Lavoro in una srl con 30 dipendenti: posso segnalare all'ANAC?

Solo se l'azienda rientra comunque nel decreto, cioè opera nei settori regolati dall'allegato (per esempio finanziario, antiriciclaggio, trasporti, sicurezza dei prodotti) o ha adottato un modello 231. Altrimenti il decreto non si applica e resta la denuncia ordinaria alle autorità, senza le tutele speciali; sotto i 50 dipendenti con modello 231 sono protette solo le segnalazioni interne sui reati presupposto e sul modello.

Posso andare direttamente alla stampa?

Solo in tre casi (art. 15): se hai già segnalato internamente ed esternamente, o direttamente all'ANAC, senza riscontro nei termini; se c'è un pericolo imminente o palese per l'interesse pubblico; se hai fondato motivo di temere ritorsioni o l'inefficacia della segnalazione esterna, per esempio perché le prove potrebbero essere distrutte o chi riceve la segnalazione è colluso. Fuori da questi casi la divulgazione non è protetta.

Mi hanno licenziato tre mesi dopo la segnalazione: che cosa succede?

Il licenziamento si presume ritorsivo e tocca al datore provare che ha ragioni estranee (art. 17 c. 2). Se non ci riesce, l'atto è nullo e hai diritto alla reintegrazione con l'art. 18 St. lav. o l'art. 2 D.Lgs. 23/2015 (art. 19 c. 3), al risarcimento e alle misure urgenti del giudice del lavoro; puoi anche comunicare la ritorsione all'ANAC, che sanziona il responsabile da 10.000 a 50.000 euro.

La mia identità resta segreta?

Sì, salvo consenso: l'identità può essere conosciuta solo da chi gestisce la segnalazione (art. 12). Nel procedimento penale è coperta dal segreto istruttorio nei limiti dell'art. 329 c.p.p.; nel disciplinare contro il segnalato la segnalazione è utilizzabile senza il tuo consenso solo se l'addebito si fonda su accertamenti ulteriori. Le segnalazioni anonime sono ammesse ma le tutele scattano solo se vieni identificato e subisci ritorsioni.

Fonti normative

I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.

Da leggere insieme

LicenziamentoIl licenziamento nullo: discriminatorio, per maternità, per matrimonio, ritorsivoI casi di nullità (licenziamento discriminatorio: art. 15 L. 300/1970 per affiliazione o attività sindacale, sciopero, ragioni politiche, religiose, razziali, di lingua, sesso, handicap, età, nazionalità, orientamento sessuale, convinzioni personali; art. 4 L. 604/1966 per credo politico, fede religiosa, sindacato, esercizio di un diritto e whistleblowing; art. 3 L. 108/1990: nullo qualunque sia la motivazione addotta e la dimensione, anche per i dirigenti; codice delle pari opportunità e D.Lgs. 215 e 216/2003; maternità e paternità: art. 54 D.Lgs. 151/2001, divieto dall'inizio della gravidanza fino a un anno di età del bambino, anche se il datore ignorava la gravidanza, con certificazione da presentare; eccezioni: colpa grave, cessazione dell'azienda, scadenza del termine, esito negativo della prova; nullo anche il licenziamento per la domanda o fruizione del congedo parentale e per la malattia del bambino; padre in congedo di paternità fino all'anno del bambino; adozione e affidamento; matrimonio: art. 35 D.Lgs. 198/2006, nullità dei licenziamenti per causa di matrimonio con presunzione dalla richiesta delle pubblicazioni a un anno dopo la celebrazione, salvo prova di colpa grave, cessazione dell'attività, scadenza del termine, esito della prova, e nullità delle dimissioni non confermate; ritorsivo: motivo illecito determinante ed esclusivo ex art. 1345 c.c., per esempio dopo una causa, una denuncia, il rifiuto di dimissioni; altri casi previsti dalla legge, come il licenziamento nel trasferimento d'azienda, in frode alla legge, durante la malattia entro il comporto, per rifiuto di trasformazione del rapporto), la tutela (art. 18 c. 1-3 L. 300/1970 e art. 2 D.Lgs. 23/2015: reintegrazione nel posto qualunque sia il motivo formalmente addotto e il numero dei dipendenti, anche per i dirigenti; risarcimento pari alle retribuzioni dal licenziamento alla reintegra, dedotto l'aliunde perceptum, mai inferiore a 5 mensilità; contributi previdenziali; opzione per 15 mensilità entro 30 giorni, non soggette a contribuzione, che risolvono il rapporto; rapporto risolto se il lavoratore non riprende servizio entro 30 giorni dall'invito; Corte cost. 22/2024 ha eliminato la parola «espressamente» dall'art. 2 D.Lgs. 23/2015, estendendo la reintegra a tutte le nullità anche implicite; licenziamento orale: stesso regime), la prova (discriminazione: prova anche statistica e per presunzioni, con inversione dell'onere ex art. 40 D.Lgs. 198/2006 e art. 28 D.Lgs. 150/2011, il datore prova l'insussistenza; maternità e matrimonio: presunzioni legali, basta la data e la certificazione; ritorsione: prova rigorosa del motivo illecito unico e determinante, ma indizi come i tempi, la pretestuosità del motivo addotto e la sproporzione; nullità rilevabile d'ufficio), procedura e termini (impugnazione entro 60 giorni e ricorso entro 180 ex art. 6 L. 604/1966, decadenza che vale anche per le nullità secondo l'orientamento prevalente, salvo il licenziamento orale che secondo la Cassazione non è soggetto al termine di 60 giorni; rito del lavoro o rito speciale antidiscriminatorio ex art. 28 D.Lgs. 150/2011 con ordinanza urgente e sentenza; conciliazione; NASpI nel frattempo e restituzione se reintegrato; rivalutazione e interessi), casi concreti (licenziata al rientro dalla maternità con motivo economico pretestuoso; licenziato dopo aver chiesto gli straordinari non pagati; licenziamento del disabile senza accomodamenti ragionevoli; licenziamento dell'over 60 per età; del sindacalista dopo lo sciopero).
Mobbing, sicurezza e discriminazioniIl mobbing: come si prova e che cosa si ottieneDefinizione e requisiti (pluralità, durata, intento, danno, nesso), mobbing verticale, orizzontale, ascendente, straining e stress lavoro-correlato, differenze con il conflitto e con il legittimo esercizio del potere direttivo, fonti: art. 2087 c.c. (responsabilità contrattuale del datore), 2043-2059, art. 15 Statuto, molestie (D.Lgs. 198/2006), Convenzione ILO 190; prova: diario, email, ordini di servizio, testimoni, certificati medici e perizia; danni risarcibili (biologico, morale, esistenziale, professionale, patrimoniale); dimissioni per giusta causa e NASpI; INAIL e malattia professionale; penale (maltrattamenti, violenza privata, stalking, lesioni); prescrizione; procedura: contestazione scritta, sindacato, tentativo di conciliazione, ricorso al giudice del lavoro; consigli.
LicenziamentoLe tutele contro il licenziamento illegittimo: reintegra o indennitàI tre regimi (art. 18 per gli assunti prima del 7 marzo 2015, tutele crescenti per gli assunti dopo, piccole imprese), licenziamento nullo, fatto insussistente e sanzione conservativa, difetto di giustificazione, vizi di forma e procedura, motivo oggettivo, soglie dimensionali, indennità sostitutiva di 15 mensilità, offerta conciliativa esente, sentenze della Consulta 194/2018, 150/2020, 59/2021, 125/2022, 128/2024, 129/2024, 118/2025.
Reati contro l'amministrazione della giustiziaLa calunnia (art. 368 c.p.)Elementi: denuncia, querela, richiesta o istanza (anche anonima) all'autorità giudiziaria o a chi deve riferirle, incolpazione di un reato, innocenza nota all'autore, simulazione delle tracce; dolo di certezza; consumazione con la presentazione; pena base 2-6 anni e aggravanti (reato grave, condanna oltre 5 anni, ergastolo); d'ufficio, arresto facoltativo, custodia, udienza preliminare, prescrizione; differenze con simulazione di reato (367), autocalunnia (369), falsa testimonianza (372), diffamazione (595), denuncia infondata; la vittima della calunnia: parte civile e risarcimento; difese (buona fede, errore, esercizio di un diritto, contenuto valutativo).
Privacy e GDPRLa privacy del lavoratore: email, chat, GPS, badge, cartella sanitariaLa regola base (art. 4 L. 300/1970 come riscritto nel 2015: impianti audiovisivi e strumenti da cui derivi anche la possibilità di controllo a distanza solo per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, previo accordo con RSU o RSA, o con i sindacati nazionali per le imprese multi-sede, e in mancanza autorizzazione della sede territoriale dell'Ispettorato; c. 2: esclusi dalla procedura gli strumenti utilizzati dal lavoratore per rendere la prestazione, pc, telefono, email, gestionali, e gli strumenti di registrazione di accessi e presenze; c. 3: i dati raccolti con entrambi sono utilizzabili a tutti i fini del rapporto, anche disciplinari, solo se al lavoratore è data adeguata informazione sulle modalità d'uso e dei controlli e nel rispetto del Codice privacy; art. 114 Codice privacy e art. 88 GDPR; art. 8 St. lav.: divieto di indagini sulle opinioni politiche, religiose, sindacali e su fatti irrilevanti per l'attitudine professionale, art. 113 Codice privacy; art. 10 D.Lgs. 276/2003 per le agenzie), i controlli difensivi (Cass. 25732/2021: i controlli tecnologici a tutela di beni estranei al rapporto o per evitare illeciti sono consentiti fuori dall'art. 4 se c'è un fondato sospetto di un illecito, con bilanciamento tra interessi aziendali e dignità e riservatezza, e solo sui dati acquisiti dopo l'insorgere del sospetto; controlli generalizzati e preventivi vietati; agenzie investigative solo per condotte illecite fuori dalla prestazione, non per verificare la prestazione stessa), email e metadati (documento di indirizzo del Garante del 6 giugno 2024: i metadati degli account di posta, mittente, destinatario, orari, IP, dimensione, oggetto, raccolti per la sicurezza e la funzionalità del sistema si conservano di norma per non più di 21 giorni; oltre, serve la procedura dell'art. 4 c. 1 o una giustificazione tecnica documentata; informativa e valutazione d'impatto; l'accesso ai contenuti delle email solo con regolamento interno, per esigenze specifiche e con gradualità, e mai sugli account con aspettativa di riservatezza; alla cessazione del rapporto disattivazione dell'account e risposta automatica, non la lettura), chat, social e telefono (i messaggi WhatsApp, Telegram e i post in gruppi chiusi hanno un'aspettativa di riservatezza: il datore non può usarli per sanzionare, anche se li riceve da colleghi, Garante 21 maggio 2025 e giurisprudenza; i post pubblici sì, nei limiti della critica; il numero personale del dipendente non può essere usato per gruppi aziendali senza base giuridica; il telefono aziendale è strumento di lavoro con informativa), GPS e localizzazione (i sistemi GPS sui veicoli sono strumenti di controllo a distanza: accordo o autorizzazione, vetrofania sul veicolo, tracciamento solo in orario di lavoro, conservazione limitata, Garante provv. 370/2011 e sanzioni recenti; app di localizzazione sui telefoni con le stesse regole; il badge di presenza è escluso dalla procedura ma non può tracciare i movimenti), biometria (impronte digitali e riconoscimento facciale per le presenze vietati senza una norma di legge che li autorizzi, art. 9 GDPR e art. 2-septies Codice privacy; il consenso del lavoratore non è valido per lo squilibrio del rapporto; sanzioni del Garante anche a enti pubblici e società sportive), telecamere (installazione con accordo o autorizzazione, cartelli, no nelle aree di riposo e nei bagni, no inquadratura continua delle postazioni, conservazione 24-72 ore salvo esigenze; le immagini usabili a fini disciplinari solo con la procedura e l'informativa; le telecamere nascoste solo come controllo difensivo su sospetto specifico), salute e dati sensibili (visite del medico competente ex D.Lgs. 81/2008: il datore riceve solo il giudizio di idoneità, non la diagnosi; la cartella sanitaria è del medico; certificato di malattia con solo la prognosi; test antidroga e alcol nei casi previsti; dati su gravidanza, disabilità e orientamento vietati salvo obblighi di legge; visite fiscali INPS), i rimedi (inutilizzabilità delle prove nel giudizio disciplinare e sul licenziamento; reclamo al Garante con sanzioni fino a 20 milioni o al 4% del fatturato; risarcimento; art. 171 Codice privacy, che punisce le violazioni degli artt. 4 c. 1 e 8 St. lav. con le pene dell'art. 38: ammenda e arresto; rimozione degli impianti ordinata dall'Ispettorato), gli obblighi pratici per l'azienda (informativa ex art. 13 GDPR specifica per i lavoratori, regolamento sull'uso degli strumenti, accordo sindacale o istanza all'ITL per telecamere e GPS, DPIA, registro dei trattamenti, tempi di conservazione, formazione).