Privacy e dati di salute nei programmi aziendali: guida pratica per HR e leadership
Un programma aziendale pensato per migliorare salute, benessere o prevenzione può perdere credibilità in pochi minuti se i dipendenti non capiscono che fine fanno i loro dati.
Screening, check-up, questionari sullo stress, percorsi nutrizionali, servizi di supporto psicologico, piattaforme di welfare, iniziative per la longevità lavorativa: sono strumenti sempre più presenti nelle organizzazioni. Possono offrire valore reale. Possono aiutare le persone a conoscersi meglio, prevenire rischi, accedere a servizi utili e vivere il lavoro con maggiore equilibrio.
Ma toccano una materia delicata: i dati di salute.
Per HR e leadership, la sfida non è solo rispettare la legge. È progettare percorsi che proteggano le persone, limitino l’accesso alle informazioni sensibili, evitino usi impropri e trasmettano fiducia. Una gestione poco chiara può generare paura, bassa adesione e danni reputazionali. Una gestione corretta, invece, rende il programma più solido, più partecipato e più utile.
Questa guida offre una lettura pratica dei principi da conoscere, delle norme rilevanti e delle scelte operative da adottare nei programmi corporate che trattano dati legati alla salute.
Questo articolo ha finalità informative e non sostituisce una consulenza legale, privacy o medica. Ogni progetto va valutato in base al contesto, ai dati trattati e agli attori coinvolti.
I dati di salute richiedono una protezione più alta
Nel Regolamento generale sulla protezione dei dati, noto come GDPR, i dati relativi alla salute rientrano nelle categorie particolari di dati personali. Sono informazioni che possono rivelare elementi molto intimi della vita di una persona, come condizioni fisiche o mentali, esami, diagnosi, terapie, disabilità, abitudini sanitarie o indicatori biometrici.
La regola di partenza è semplice: il trattamento di questi dati è vietato, salvo che esista una specifica condizione prevista dalla normativa.
Per un’azienda, questo significa che non basta dire “il dato serve per il programma”. Serve una base giuridica adeguata, una finalità chiara, un perimetro definito e misure di sicurezza proporzionate.
Le norme principali da tenere presenti
Nel contesto italiano ed europeo, HR e leadership dovrebbero conoscere almeno questi riferimenti:
Ambito | Cosa regola | Impatto pratico sui programmi aziendali |
GDPR | Principi, basi giuridiche, diritti degli interessati, obblighi del titolare e dei responsabili | Definisce come trattare i dati personali, con particolare attenzione ai dati di salute |
Codice Privacy italiano | Integra il GDPR nel contesto nazionale | Aggiunge disposizioni specifiche applicabili in Italia |
Provvedimenti e linee guida del Garante Privacy | Interpretano e precisano obblighi e limiti | Aiutano a valutare strumenti, informative, ruoli e misure di sicurezza |
Statuto dei lavoratori | Tutela la dignità e la libertà dei lavoratori | Limita controlli e trattamenti che possano incidere sul rapporto di lavoro |
Normativa su salute e sicurezza sul lavoro | Regola prevenzione, sorveglianza sanitaria e ruolo del medico competente | Distingue ciò che compete all’azienda da ciò che deve restare nell’ambito medico |
Norme su pari opportunità e non discriminazione | Proteggono da trattamenti sfavorevoli legati a condizioni personali | Impediscono l’uso dei dati di salute per decisioni discriminatorie |
Il punto più critico riguarda il confine tra benessere aziendale e rapporto di lavoro.
Un programma volontario di prevenzione non deve trasformarsi in uno strumento per valutare prestazioni, assenze o idoneità. Le informazioni sanitarie non devono arrivare a manager, responsabili di funzione o HR in forma identificabile, salvo casi specifici previsti dalla legge e gestiti con ruoli chiari.
I principi GDPR applicati ai programmi corporate
Il GDPR si basa su principi che vanno tradotti in scelte concrete. Non sono concetti astratti da inserire in un documento e dimenticare.
Liceità, correttezza e trasparenza
La persona deve sapere chi tratta i dati, per quale motivo, su quale base giuridica, per quanto tempo e con chi vengono condivisi. L’informativa deve essere scritta in modo comprensibile, non solo formalmente corretto.
Limitazione della finalità
I dati raccolti per un check-up aziendale non possono essere usati per valutare produttività, affidabilità o rischio di assenza. Se la finalità è prevenzione o benessere, quella deve restare.
Minimizzazione
Si raccolgono solo i dati davvero necessari. Se basta un dato aggregato, non va raccolto un dato nominativo. Se basta una fascia, non serve un valore preciso. Se basta sapere quante persone aderiscono a un percorso, non serve conoscere i nomi.
Esattezza
Quando i dati sono usati in percorsi individuali, devono essere corretti e aggiornati. Questo è particolarmente importante nei programmi che offrono follow-up o indicazioni personalizzate.
Limitazione della conservazione
I dati non possono restare negli archivi “per sicurezza”. Serve un periodo di conservazione motivato, coerente con la finalità e comunicato alle persone.
Integrità e riservatezza
Accessi, sistemi, fornitori, ruoli e procedure devono ridurre il rischio di perdita, accesso non autorizzato o uso improprio.
Responsabilizzazione
L’azienda deve poter dimostrare di aver progettato e gestito il trattamento in modo corretto. Questo significa documentare decisioni, valutazioni, contratti, misure tecniche e controlli.
Come progettare un percorso aziendale senza esporre le persone
La privacy va inserita nella progettazione del programma, non sistemata alla fine. Se un’iniziativa nasce già con raccolte e flussi di dati eccessivi, correggerla dopo diventa più difficile.
Un approccio efficace parte da una domanda concreta: quali informazioni servono davvero per raggiungere l’obiettivo del programma?
Se l’obiettivo è capire il livello generale di adesione a un servizio, servono dati aggregati. Se l’obiettivo è offrire un percorso individuale con un professionista sanitario, i dati identificabili devono restare nel rapporto tra persona e fornitore sanitario, non fluire verso l’azienda.
Chiarire i ruoli prima di raccogliere dati
Ogni programma deve definire chi fa cosa. Nel linguaggio privacy, questo significa chiarire se i soggetti coinvolti agiscono come titolari del trattamento, responsabili del trattamento o autonomi titolari.
Per esempio:
l’azienda può essere titolare per la gestione amministrativa dell’iniziativa, come comunicazioni interne e adesioni;
un provider sanitario può essere autonomo titolare per la prestazione sanitaria resa alla persona;
una piattaforma tecnologica può agire come responsabile del trattamento se tratta dati per conto dell’azienda;
il medico competente opera in un quadro normativo specifico, con limiti precisi rispetto alle informazioni che può comunicare al datore di lavoro.
Questa distinzione incide su informative, contratti, accessi, conservazione e responsabilità.
Un errore frequente consiste nel considerare il fornitore come un semplice esecutore tecnico. Nel caso di servizi sanitari o psicologici, spesso il provider assume un ruolo autonomo per la parte professionale. Va valutato con attenzione, anche con il supporto del DPO o di consulenti specializzati.
Separare dati amministrativi e dati sanitari
La separazione è una delle scelte più utili.
HR può avere bisogno di sapere chi ha diritto a un servizio, chi ha prenotato un appuntamento o quale budget è stato utilizzato. Non ha bisogno di conoscere esami, risultati, sintomi, diagnosi, punteggi clinici o contenuti di colloqui.
Una buona architettura prevede flussi distinti:
Dato | Chi può vederlo | Esempio di uso corretto |
Adesione al programma | HR o referente welfare, se necessario | Gestire disponibilità e budget |
Dati di contatto per prenotazione | Provider o piattaforma autorizzata | Fissare appuntamenti e inviare promemoria |
Risultati sanitari individuali | Persona interessata e professionisti autorizzati | Restituire un esito o proporre un follow-up |
Report aggregati | Azienda, se anonimi o adeguatamente aggregati | Valutare interesse e aree di miglioramento |
Dati clinici grezzi | Non accessibili all’azienda | Restano nel perimetro sanitario |
Questa separazione protegge le persone e protegge anche l’azienda. Riduce il rischio di trattamenti non necessari e rende più chiaro il confine tra cura, prevenzione, welfare e gestione del personale.
Valutare quando serve una DPIA
La DPIA, valutazione d’impatto sulla protezione dei dati, serve quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone.
Nei programmi aziendali che trattano dati di salute, la DPIA è spesso una scelta necessaria o comunque prudente, soprattutto quando entrano in gioco:
dati sanitari su larga scala;
piattaforme digitali con profili individuali;
monitoraggio continuativo;
wearable device o strumenti di misurazione;
questionari psicologici o sullo stress;
integrazione tra diversi database;
reportistica verso l’azienda;
fornitori extra UE o catene di subfornitura complesse.
La DPIA non è solo un documento. È un metodo per identificare rischi e correzioni prima del lancio.
Dovrebbe rispondere a domande come:
quali dati raccogliamo e perché;
chi può accedere ai dati;
quali rischi corrono i dipendenti;
cosa succede se un dato viene divulgato;
come limitiamo il rischio di re-identificazione;
quali alternative meno invasive esistono;
come gestiamo diritti, revoche, errori e incidenti.
Quando il rischio residuo resta alto, possono essere necessari ulteriori passaggi, compresa la consultazione dell’autorità competente nei casi previsti.
Le best practice per gestire dati di salute in modo sicuro
La conformità nasce da molte decisioni operative. Alcune sono legali, altre tecniche, altre organizzative. Tutte contano.
Raccogliere meno dati e usare più dati aggregati
La minimizzazione è la prima misura di sicurezza.
Se un report per il management mostra che il 35% dei partecipanti chiede servizi di supporto nutrizionale, può essere utile. Se mostra i nomi delle persone con determinati parametri, è quasi sempre fuori luogo in un programma di welfare.
I report dovrebbero essere:
aggregati;
privi di nomi e identificativi;
costruiti su gruppi abbastanza ampi da evitare re-identificazione;
limitati a informazioni utili per migliorare il servizio;
privi di categorie sensibili non necessarie.
Attenzione ai piccoli gruppi. In una sede con poche persone, anche un dato aggregato può diventare identificabile. Se un report indica che “una sola persona” in un team ha dichiarato una certa condizione, il rischio è evidente. Meglio usare soglie minime di numerosità o aggregare per aree più ampie.
Rendere la partecipazione davvero libera
Molti programmi di benessere sono presentati come volontari. Il problema è che nel rapporto di lavoro il consenso può essere considerato debole, perché la persona può percepire una pressione implicita.
Per questo, il consenso non è sempre la base più adatta nel contesto lavorativo. Quando viene usato, deve essere libero, specifico, informato e revocabile. Non dovrebbe esserci alcuna penalizzazione per chi non aderisce.
La comunicazione interna deve evitare frasi ambigue, come “ci aspettiamo la partecipazione di tutti” o “l’adesione sarà considerata positivamente”. Meglio indicare chiaramente che:
la partecipazione è facoltativa;
la mancata adesione non ha effetti sul rapporto di lavoro;
l’azienda non accede ai risultati individuali;
i dati sanitari sono gestiti dai soggetti autorizzati;
la persona può esercitare i propri diritti secondo le modalità indicate.
La libertà percepita conta quanto quella formale. Se un manager insiste per sapere chi partecipa, la fiducia si indebolisce.
Limitare gli accessi con regole verificabili
L’accesso ai dati va assegnato in base al principio del bisogno di sapere. Ogni ruolo deve vedere solo ciò che serve per svolgere il proprio compito.
Le misure utili includono:
profili di accesso separati;
autenticazione forte;
registri degli accessi;
revisione periodica delle autorizzazioni;
cifratura dei dati in transito e a riposo;
procedure per revocare accessi quando una persona cambia ruolo;
formazione specifica per chi tratta dati personali;
regole chiare su esportazioni, download e invio via email.
Non basta che una piattaforma abbia molte funzioni. Serve capire quali funzioni sono attive, chi le usa e come vengono controllate.
Scegliere fornitori con attenzione
Molti programmi corporate coinvolgono provider esterni: cliniche, centri diagnostici, psicologi, nutrizionisti, piattaforme digitali, società di welfare, app e servizi di prenotazione.
La selezione del fornitore deve includere una verifica privacy e sicurezza, non solo prezzo e qualità del servizio.
Prima di firmare, è utile chiedere:
quali dati vengono trattati;
dove sono conservati;
se avvengono trasferimenti fuori dallo Spazio economico europeo;
chi sono eventuali subfornitori;
quali misure di sicurezza sono adottate;
come vengono gestiti data breach e incidenti;
quali tempi di conservazione si applicano;
se l’azienda riceve solo dati aggregati;
come vengono gestiti i diritti degli interessati;
quale ruolo privacy assume ciascun soggetto.
Il contratto deve riflettere questi punti. Se il fornitore agisce come responsabile del trattamento, serve un accordo ai sensi dell’articolo 28 del GDPR. Se agisce come autonomo titolare, i flussi e le responsabilità vanno comunque chiariti.
Preparare un piano per incidenti e richieste
Anche con buone misure, gli incidenti possono accadere. Un file inviato alla persona sbagliata, un accesso non autorizzato, una configurazione errata della piattaforma, un furto di credenziali.
Serve una procedura chiara per riconoscere, contenere e valutare l’incidente. Nei casi previsti, il data breach deve essere notificato al Garante entro i termini del GDPR e, se necessario, comunicato alle persone interessate.
Allo stesso modo, bisogna gestire i diritti degli interessati:
accesso;
rettifica;
cancellazione, quando applicabile;
limitazione;
opposizione, nei casi previsti;
portabilità, se ricorrono i presupposti;
revoca del consenso, se il trattamento si basa sul consenso.
Le persone devono sapere a chi scrivere e cosa aspettarsi. Una casella email generica senza processo interno non è sufficiente.
Esempi di implementazione efficace nei programmi aziendali
Gli esempi aiutano a vedere come i principi diventano scelte concrete. I casi seguenti sono illustrativi e vanno adattati al contesto.
Programma di check-up preventivi
Un’azienda decide di offrire check-up annuali a dipendenti e collaboratori. L’obiettivo è favorire prevenzione e consapevolezza.
Una progettazione corretta può prevedere che l’azienda gestisca solo la comunicazione del beneficio e l’eventuale verifica dei requisiti di accesso. La prenotazione avviene tramite il provider sanitario. Gli esiti vengono consegnati solo alla persona interessata, attraverso un canale sicuro.
L’azienda riceve un report aggregato con dati generali, come numero di adesioni, fasce di servizio utilizzate e livello di soddisfazione. Non riceve referti, valori clinici o indicazioni su singoli partecipanti.
Scelte utili:
informativa separata dell’azienda per la parte organizzativa;
informativa del provider per la parte sanitaria;
report con soglia minima di aggregazione;
nessuna comunicazione ai manager sui nomi dei partecipanti;
canale sicuro per esiti e appuntamenti.
Questo modello tutela la riservatezza e riduce la paura che i risultati possano influire sul lavoro.
Percorso di supporto psicologico
Un servizio di supporto psicologico richiede cautele ancora maggiori. Anche solo il fatto di accedere al servizio può essere percepito come sensibile.
La soluzione più prudente è permettere l’accesso diretto al provider, senza passare da HR per fissare gli appuntamenti. L’azienda può finanziare un pacchetto di sessioni e ricevere solo dati aggregati sull’utilizzo complessivo, non sui contenuti dei colloqui né sull’identità delle persone.
La comunicazione interna dovrebbe spiegare con chiarezza che il servizio è riservato e gestito da professionisti tenuti alla riservatezza. I responsabili non devono chiedere chi lo usa, né suggerire l’adesione a persone specifiche in modo tracciabile.
Scelte utili:
accesso anonimo o pseudonimizzato verso l’azienda;
prenotazione diretta con il provider;
report solo su utilizzo complessivo;
nessun dettaglio su motivi di accesso;
formazione dei manager su come presentare il servizio senza pressione.
Un programma di questo tipo funziona quando le persone sentono che lo spazio è davvero sicuro.
Questionario su stress e benessere organizzativo
I questionari interni possono generare informazioni preziose, ma anche rischi di controllo. Domande su salute mentale, stress, ansia, sonno o carico emotivo richiedono attenzione.
Una buona pratica consiste nel raccogliere risposte anonime, evitare domande non necessarie e pubblicare risultati solo per gruppi sufficientemente grandi. Se il campione è piccolo, è meglio non mostrare dettagli per singola funzione o sede.
Il questionario dovrebbe indicare:
chi gestisce la raccolta;
se le risposte sono anonime o pseudonimizzate;
quali dati tecnici vengono raccolti;
come saranno usati i risultati;
chi vedrà i report;
quali soglie impediscono la re-identificazione.
Bisogna anche evitare domande troppo intrusive se non servono. Chiedere se una persona si sente sovraccarica può essere utile per migliorare l’organizzazione. Chiedere diagnosi o terapie in corso è quasi sempre eccessivo per un’indagine aziendale.
Programmi con wearable e app
Dispositivi indossabili e app per attività fisica, sonno o parametri corporei sono attraenti, ma presentano rischi elevati. Raccolgono dati frequenti, talvolta continui, e possono creare profili dettagliati.
In ambito aziendale, l’uso dovrebbe essere valutato con particolare prudenza. L’azienda non dovrebbe ricevere dati individuali su passi, frequenza cardiaca, sonno o peso. Se il programma prevede sfide collettive, classifiche e premi, è necessario evitare meccanismi che espongano condizioni personali o creino pressione.
Scelte più sicure:
adesione volontaria e non incentivata in modo sproporzionato;
dati individuali visibili solo alla persona;
report aziendali aggregati;
classifiche anonime o per gruppi ampi;
nessun collegamento con valutazioni, premi di performance o assenze;
verifica attenta di app, trasferimenti dati e subfornitori.
La tecnologia può sostenere il benessere, ma non deve trasformarsi in sorveglianza sanitaria.
La fiducia dei dipendenti si costruisce con governance e comunicazione
La conformità formale non basta. Un programma può essere legalmente ben costruito e comunque fallire se le persone non si fidano.
La fiducia nasce da coerenza. Se l’azienda dice che non accede ai dati sanitari individuali, deve poterlo dimostrare con processi, contratti e configurazioni tecniche. Se dice che l’adesione è volontaria, manager e HR devono comportarsi di conseguenza.
Creare una governance interna chiara
Ogni programma dovrebbe avere una piccola struttura di governo, proporzionata alla complessità. Non serve creare burocrazia inutile, ma assegnare responsabilità.
I soggetti coinvolti possono includere:
HR o welfare, per obiettivi e comunicazione;
DPO o referente privacy, per valutazioni e documenti;
legale, per contratti e ruoli;
IT o sicurezza informatica, per piattaforme e accessi;
procurement, per la selezione dei fornitori;
medico competente, quando il programma si intreccia con salute e sicurezza;
rappresentanze interne, se rilevanti nel contesto.
Questa governance dovrebbe definire:
finalità del programma;
dati necessari;
base giuridica;
ruoli dei soggetti;
informative;
accessi;
tempi di conservazione;
misure di sicurezza;
gestione dei report;
verifiche periodiche.
Una checklist iniziale può aiutare, ma non sostituisce il giudizio. Ogni iniziativa ha rischi diversi.
Comunicare in modo semplice e verificabile
Le persone non dovrebbero dover leggere un documento di dieci pagine per capire se possono fidarsi. L’informativa privacy resta necessaria, ma va accompagnata da una comunicazione chiara.
Un messaggio efficace risponde a cinque domande:
Perché esiste il programma?
Quali dati vengono raccolti?
Chi vede i dati individuali?
Cosa non vedrà mai l’azienda?
Come si può aderire, non aderire o chiedere informazioni?
La parte più rassicurante deve essere concreta. Non basta dire “i dati sono trattati nel rispetto della normativa”. Meglio dire, per esempio:
“HR non riceverà referti o risultati individuali.”
“Il provider sanitario invierà gli esiti solo alla persona interessata.”
“I report all’azienda saranno aggregati e privi di nomi.”
“La mancata adesione non avrà effetti sul rapporto di lavoro.”
Questo tipo di chiarezza riduce i sospetti e migliora la partecipazione.
Formare HR e manager sui limiti da rispettare
I programmi ben progettati possono essere compromessi da comportamenti quotidiani. Un manager che chiede “come è andato il tuo check-up?” può mettere la persona in difficoltà. Un referente HR che conserva elenchi non necessari può creare un rischio inutile.
La formazione deve essere pratica. Non solo norme, ma scenari.
Esempi di comportamenti corretti:
non chiedere risultati o motivi di adesione;
non annotare informazioni sanitarie ricevute informalmente;
non inoltrare email con dettagli sensibili;
non sollecitare la partecipazione di singole persone;
non usare l’adesione o la mancata adesione in valutazioni interne;
indirizzare domande privacy al referente corretto;
segnalare subito errori o incidenti.
La leadership ha un ruolo decisivo. Se i vertici trattano la privacy come un ostacolo, anche l’organizzazione farà lo stesso. Se la presentano come parte della cura verso le persone, il programma parte con basi migliori.
Domande frequenti
L’azienda può conoscere i risultati dei check-up dei dipendenti?
Di norma, no. I risultati sanitari individuali devono restare nella disponibilità della persona e dei professionisti autorizzati. L’azienda può ricevere report aggregati, se costruiti in modo da non identificare i singoli.
Il consenso del dipendente basta per trattare dati di salute?
Non sempre. Nel rapporto di lavoro il consenso può non essere considerato pienamente libero, a causa dello squilibrio tra azienda e lavoratore. Va valutata la base giuridica corretta caso per caso, con il supporto del DPO o di consulenti privacy.
I dati anonimi sono sempre fuori dal GDPR?
Solo se sono davvero anonimi e non permettono la re-identificazione, nemmeno combinandoli con altre informazioni disponibili. Se il dato è pseudonimizzato, cioè collegabile a una persona tramite una chiave o altri elementi, resta un dato personale.
HR può gestire le prenotazioni di visite o servizi sanitari?
Può gestire aspetti organizzativi se necessario, ma deve evitare di raccogliere informazioni sanitarie non indispensabili. Quando possibile, è preferibile che prenotazioni, esiti e follow-up siano gestiti direttamente dal provider sanitario.
Cosa deve contenere una buona informativa privacy per questi programmi?
Deve indicare titolare del trattamento, finalità, base giuridica, categorie di dati, soggetti destinatari, tempi di conservazione, diritti della persona, contatti privacy e, se rilevante, trasferimenti fuori UE. Deve essere chiara, specifica e coerente con il funzionamento reale del programma.
Una buona privacy rende il programma più forte
Privacy e dati di salute nei programmi aziendali non sono un dettaglio amministrativo. Sono una parte centrale del progetto.
Un percorso corporate funziona quando mette insieme utilità, protezione e chiarezza. Le persone devono capire perché il servizio esiste, quali dati entrano in gioco e quali informazioni resteranno fuori dalla vista dell’azienda. HR e leadership devono progettare processi che rendano questa promessa vera, non solo dichiarata.
Le scelte più solide sono spesso le più semplici: raccogliere meno dati, separare i flussi, scegliere fornitori affidabili, usare report aggregati, limitare gli accessi, formare chi gestisce il programma e comunicare senza ambiguità.
Quando questi elementi sono presenti, la privacy non frena il benessere aziendale. Lo rende credibile.
Per progettare percorsi corporate attenti alla salute, alla riservatezza e alla fiducia delle persone, puoi contattare il team di Longevitas.
Commenti