Con provvedimento del 14/05/2026, il Garante Privacy ha inviato un avvertimento alla start-up italiana che ha sviluppato un componente aggiuntivo (plug-in) per le piattaforme di messaggistica aziendale Slack e Teams, finalizzato a rilevare il livello di stress psicologico dei lavoratori e a fornire loro suggerimenti personalizzati.
L’istruttoria avviata dal Garante italiano
Il Garante ha avviato d’ufficio l’istruttoria dopo aver appreso dalla stampa che il componente Myndoor viene utilizzato in numerosi enti della pubblica amministrazione, oltre che in enti privati. Nel corso delle verifiche ispettive sono stati esaminati il funzionamento dell’applicativo e le soluzioni assunte dalla società fornitrice in merito al trattamento dei dati personali.
Rispetto al funzionamento di Myndoor, è stato accertato che si tratta di un servizio acquistabile dagli enti/datori di lavoro al fine di mettere a disposizione dei propri dipendenti uno strumento, facoltativo, che consente di favorire il loro benessere mentale. In particolare, se attivato dal singolo utente, Myndoor analizza i contenuti testuali dei messaggi inviati dall’interessato all’interno di Slack con un modello AI, rileva condizioni di potenziale stress e restituisce appositi suggerimenti.
Tuttavia, gli enti che acquistano il servizio non hanno la possibilità di accedere ai dati degli utenti/interessati (né quelli relativi ai messaggi scambiati nelle chat né quelli relativi al risultato dell’analisi dei contenuti) che sono trattati direttamente e unicamente dalla società fornitrice del plug-in in qualità di titolare del trattamento.
All’esito dell’istruttoria è emerso infatti che la società fornitrice dell’applicativo si qualificava come titolare del trattamento dei dati degli utenti del servizio (ossia i lavoratori dipendenti), indipendentemente dalla modalità di commercializzazione o dal rapporto con l’ente cliente/contraente.
L’unico servizio reso all’ente acquirente, a richiesta, riguarda la possibilità di ottenere un report contenente dati aggregati relativi ai livelli di stress nel contesto lavorativo dei propri dipendenti. Tale report verrebbe generato solo a condizione che almeno 10 lavoratori abbiano contemporaneamente attivato il plug-in e sempre mostrando il solo dato aggregato dell’analisi, ossia il dato riferito all’intera platea dei dipendenti del cliente, al fine di non rendere identificabili i singoli lavoratori.
Le conclusioni del Garante
All’esito dell’istruttoria – e senza entrare nel merito dell’attendibilità scientifica delle elaborazioni prodotte dall’applicativo – il Garante ha promosso l’impostazione privacy adottata dalla società, in base alla quale risulta preclusa agli enti/datori di lavoro qualsiasi forma di trattamento dei dati dei lavoratori acquisiti tramite il sistema Myndoor.
Al riguardo, il Garante ha ricordato altresì che, in forza dell’art. 5, par. 1, lett. f), dell’AI Act (Reg. UE 2024/1689) è espressamente vietata “l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro”. Quindi, anche alla luce di tale divieto, è stata ribadita la necessità che l’impiego di simili sistemi non comporti la messa a disposizione dei datori di lavoro di informazioni, inferite tramite sistemi di AI, riguardanti il proprio personale.
Tuttavia, considerata la delicatezza dei dati trattati, il Garante ha ritenuto necessario invitare la società fornitrice ad adottare misure e accorgimenti intesi a prevenire qualsiasi forma di messa a disposizione, anche mediante l’invio del report aggregato, dei dati dei soggetti che utilizzano il plug-in Myndoor in favore degli enti/datori di lavoro, al fine di evitare che gli stessi vengano in qualsiasi modo a conoscenza delle informazioni trattate mediante il sistema in questione.
Ilaria Feriti