Quando la timbratura da remoto sfida il controllo a distanza
Con sentenza del 1° luglio 2026, il Tribunale di Cosenza ha annullato l’ordinanza-ingiunzione del Garante per la protezione dei dati personali n. 135 del 13 marzo 2025, dichiarando l’invalidità della sanzione di 50.000 euro comminata a un ente pubblico per il trattamento dei dati di localizzazione geografica del personale in lavoro agile mediante l’applicativo “Time Relax”. La decisione, pur di primo grado, rappresenta una delle poche pronunce di merito che affrontano il nodo della compatibilità fra strumenti di timbratura geolocalizzata e disciplina del controllo a distanza e lo fa ribaltando l’esito amministrativo. Il Garante aveva contestato le violazioni degli artt. 5, 6, 13, 25, 35 e 88 del Regolamento (UE) 2016/679, nonché degli artt. 113 e 114 del d.lgs. 30 giugno 2003, n. 196, qualificando il sistema come strumento di “monitoraggio diretto, costante e indiscriminato”. Il Tribunale ha invece accertato che la rilevazione avveniva unicamente al momento della timbratura e in occasione di verifiche a campione su richiesta esplicita, escludendo così il carattere continuativo contestato dall’Autorità.
Come funziona l’applicativo: il rilievo della configurazione tecnica
Il primo passaggio decisivo della sentenza riguarda la ricostruzione del funzionamento concreto dell’applicativo. Il sistema operava come timbratura da remoto: rilevava e registrava le coordinate geografiche e la sede del lavoratore al momento dell’ingresso e dell’uscita, “ma solo al momento della timbratura”. Durante l’orario di servizio non venivano effettuate ulteriori rilevazioni automatiche, salvo che il datore attivasse una verifica a campione mediante chiamata diretta del responsabile ispettivo, con invito al lavoratore a effettuare una doppia timbratura per confermare la posizione. Il sistema non registrava altri dati e non operava oltre l’orario di servizio; l’accesso era riservato al dirigente di settore, alla società proprietaria quale responsabile del trattamento e al responsabile del servizio ispettivo. Su questa base il Tribunale ha concluso che non ricorrevano “elementi per ritenere, come invece reputa il Garante, che il controllo sia stato prolungato, costante, indiscriminato e invasivo”, essendo la differenza rispetto alla timbratura in azienda “unicamente la remotizzazione del sistema di verifica”.
La qualificazione dello strumento fra comma 1 e comma 2 dell’art. 4
Il cuore dello scontro normativo riguarda la corretta inquadratura dello strumento secondo l’art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), come richiamato dall’art. 114 del Codice della privacy. L’art. 4, comma 1, ammette l’impiego di impianti audiovisivi e altri strumenti dai quali derivi la possibilità di controllo a distanza dell’attività dei lavoratori esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, e subordina l’installazione all’accordo collettivo con la rappresentanza sindacale ovvero all’autorizzazione dell’Ispettorato nazionale del lavoro. Il comma 2, invece, sottrae a tale regime “gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e (omissis) gli strumenti di registrazione degli accessi e delle presenze”. Per il Garante, la verifica dell’osservanza dell’obbligo di rendere la prestazione da una sede determinata costituiva controllo “diretto” sulla diligenza, non riconducibile alle finalità tipiche. Per il Tribunale, la medesima verifica era invece espressione dell’esigenza organizzativa e produttiva, e l’incidenza sull’attività del lavoratore restava incidentale. Il giudice ha richiamato Cass. civ., sez. lav., 13 maggio 2016, n. 9904, secondo cui i sistemi di timbratura “potenziati” non sono vietati in radice, ma richiedono i presupposti dell’art. 4, comma 1. Di conseguenza, l’applicativo, pur assimilabile ai dispositivi di registrazione del comma 2 per la sua principale funzione, presentava “potenzialità tecniche che suggeriscono l’adozione del complesso di garanzie del primo comma”, garanzie che l’Agenzia avrebbe in concreto osservato.
Il nodo del consenso del lavoratore
Uno dei passaggi più discussi della motivazione riguarda la rilevanza del consenso prestato dalla dipendente. Il Tribunale ha argomentato che l’esclusione del consenso quale base giuridica discenderebbe “da un’interpretazione esageratamente estensiva della normativa di protezione posta a tutela dei soggetti deboli”, e che il consenso esplicito abilita il trattamento di categorie particolari di dati ai sensi dell’art. 9, par. 2, lett. a), del Regolamento, “a maggior ragione per la semplice geolocalizzazione, su consenso informato”. Ha inoltre richiamato Cass. civ., sez. lav., 24 novembre 2025, n. 30822, secondo cui le informazioni raccolte tramite impianti autorizzati sono utilizzabili “a tutti i fini connessi al rapporto di lavoro” a condizione che sia data al lavoratore “adeguata informazione” e nel rispetto delle disposizioni sulla protezione dei dati. Su questo profilo la pronuncia suscita perplessità significative. Il Regolamento (considerando 43) chiarisce che il consenso non costituisce valido presupposto ove sussista “evidente squilibrio” fra interessato e titolare, con specifico riferimento alle autorità pubbliche. Le Linee guida 05/2020 del Comitato europeo per la protezione dei dati (EDPB) confermano che nel contesto lavorativo il consenso è di regola inidoneo per difetto del requisito della libertà. Per un’amministrazione pubblica, inoltre, l’art. 2-ter del Codice della privacy indirizza il fondamento del trattamento verso il compito di interesse pubblico, non verso il consenso. La lettura della pronuncia della Cassazione pone l’accento sull'”adeguata informazione”, non sul consenso; l’art. 4, comma 3, dello Statuto configura un obbligo informativo, non un requisito di consenso. Va tuttavia riconosciuto un nucleo pratico: nel lavoro agile la scelta della modalità di esecuzione presuppone un margine di autodeterminazione del lavoratore, che indica le sedi autorizzate per la prestazione della propria attività.
L’accordo sindacale: forme, specifità, temporalità
Il Tribunale ha ritenuto assorbita l’obiezione sulla mancanza di contrattazione sindacale, richiamando i verbali di riunione, le note protocollate con prospetto esplicativo e il regolamento inserito nel Piano integrato di attività e organizzazione. Su questo profilo emerge una questione operativa critica. L’art. 4, comma 1, dello Statuto richiede un “accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali” e lo pone come condizione preventiva rispetto all’installazione dello strumento. Ne discendono tre requisiti verificabili: la natura di accordo vero e proprio — non di mera informativa o verbale di confronto —; la specificità dell’oggetto, che deve riguardare l’installazione e le modalità d’uso del determinato strumento; l’anteriorità rispetto all’attivazione. Dal testo della sentenza non emerge valutazione espressa circa la qualificazione dei verbali di delegazione come accordi collettivi in senso tecnico. Inoltre, il verbale del 27 maggio 2024 è posteriore ai controlli del gennaio 2024: un accordo o chiarimento sopravvenuto, secondo la lettura prospettata, non sana un difetto di legittimazione preventiva, ancorché possa concorrere a dimostrare la coerenza complessiva dell’assetto. L’inserimento della disciplina del lavoro agile nel Piano integrato di attività e organizzazione assolve a funzione di trasparenza, ma non equivale alla stipula dell’accordo richiesto dall’art. 4. Va inoltre ricordato che l’art. 4 prevede il percorso alternativo dell’autorizzazione dell’Ispettorato nazionale del lavoro in mancanza di accordo.
Minimizzazione, protezione by design e valutazione d’impatto: i profili rimasti in ombra
Il Tribunale ha contestato la caratterizzazione del trattamento come “massivo e indiscriminato”, osservando che il sistema operava una rilevazione “specifica, precisa e circoscritta della posizione del dipendente solo al momento della timbratura”, e ha qualificato come “apodittico” il giudizio del Garante su una sanzionabilità fondata su “ciò che potrebbe fare con il programma più che su quello che ha concretamente fatto”. Il rilievo è corretto sotto il profilo del principio di legalità in materia sanzionatoria, ma trascura la struttura degli artt. 25 e 35 del Regolamento, che sono norme di rischio e di progettazione, non di evento. L’art. 25, par. 1, impone misure tecniche e organizzative “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”; l’art. 25, par. 2, richiede che siano trattati per impostazione predefinita solo i dati necessari per ogni finalità. L’art. 35 impone la valutazione d’impatto quando un trattamento “può presentare rischio elevato”, con valutazione prognostica. La finalità dichiarata — verificare che il lavoratore si trovi in una delle tre sedi concordate — era tecnicamente perseguibile senza registrare le coordinate geografiche puntuali, mediante una verifica binaria “posizione compatibile / non compatibile” senza conservazione della localizzazione esatta. Tale configurazione avrebbe ridotto drasticamente l’interferenza nella sfera privata, precisamente ciò che il Garante contestava. Quanto alla valutazione d’impatto, la difesa aveva sostenuto che “è stata eseguita in sede di accordo con le rappresentanze sindacali”: la sentenza non dedica a questo profilo sviluppo motivazionale autonomo. L’equazione fra confronto sindacale e valutazione d’impatto non è sostenibile: l’art. 35, par. 7, richiede un contenuto minimo tipizzato, e l’art. 35, par. 2, impone la consultazione del responsabile della protezione dei dati personali che sono cosa ben diversa dai chiarimenti forniti in sede di concertazione sindacale.
I confini della competenza dell’Autorità: sviamento di potere e discrezionalità datoriale
Il Tribunale ravvisa nell’ordinanza-ingiunzione un “eccesso di potere” e uno “sviamento di potere”, affermando che “non rientra fra i poteri del Garante valutare se il contratto di lavoro agile adottato rientri o meno nel modello legale di lavoro agile e se le concrete modalità di esecuzione siano conformi al dettato normativo”, giacché il campo d’indagine dell’Autorità sarebbe “la correttezza del trattamento dei dati a prescindere dalla validità del contratto in cui si innesta”. Il giudice osserva che l’art. 18 della legge 22 maggio 2017, n. 81 configura una modalità fondata sull’accordo delle parti e sulla flessibilità, e che il lavoro agile è “anche, e non solo o non necessariamente, quello svolto da casa senza vincoli di orario”. Ne consegue che, se le parti hanno pattuito l’obbligo di operare da sedi determinate, la verifica del rispetto di tale obbligo non può essere censurata assumendo un modello legale diverso da quello concretamente adottato. Sul punto si impone una considerazione di rilievo. L’art. 114 del Codice della privacy incorpora l’art. 4 dello Statuto fra le condizioni di liceità del trattamento, sicché la verifica del rispetto di quella disposizione rientra pienamente nei compiti dell’Autorità ai sensi dell’art. 57, par. 1, lett. a), del Regolamento; e l’art. 88 del Regolamento assegna espressamente rilievo ai “sistemi di monitoraggio sul posto di lavoro” ai fini della protezione dei dati. La verifica delle regole giuslavoristiche non è un’incursione in campo altrui, ma un passaggio necessario dell’accertamento. È vero tuttavia che esiste un confine — non sempre agevole da tracciare — fra la valutazione della proporzionalità del trattamento e la sostituzione dell’Autorità al datore nella scelta delle modalità organizzative.
Cosa devono fare le imprese
La pronuncia non modifica l’orientamento del Garante, che continua a costituire il parametro di riferimento dell’attività di controllo. Tuttavia, consente di isolare un insieme di adempimenti verificabili, utili nella progettazione di nuovi sistemi o nella revisione di quelli esistenti fra i quali, a titolo esemplificativo e non esaustivo, possiamo annoverare:
La qualificazione funzionale dello strumento: documentare che cosa il sistema fa e che cosa può fare, distinguendo le funzionalità attivate da quelle disponibili ma disattivate. La verifica va condotta su base documentale — scheda tecnica del fornitore, manuale di configurazione, evidenza dei parametri impostati — secondo il criterio di metodo affermato da Cassazione n. 25732/2021.
La scelta consapevole fra comma 1 e comma 2 dell’art. 4: ove residui un margine di dubbio sulla riconducibilità dello strumento ai meri dispositivi di registrazione degli accessi, si suggerisce l’adozione in via prudenziale del regime più garantista del comma 1, attivando l’accordo sindacale o il procedimento autorizzativo dinanzi all’Ispettorato nazionale del lavoro.
L’anteriorità e specificità dell’accordo: l’accordo collettivo deve precedere l’attivazione dello strumento e avere ad oggetto quello specifico sistema, con indicazione delle finalità, dei dati trattati, delle modalità e della frequenza dei controlli, dei soggetti abilitati e dei tempi di conservazione.
La formalizzazione della base giuridica: il datore di lavoro, a maggior ragione se pubblico, deve individuare la base giuridica nell’art. 6, par. 1, lett. c) o e), del Regolamento, in combinato con l’art. 2-ter del Codice. Il consenso dell’interessato non costituisce fondamento affidabile; l’adesione volontaria al regime di lavoro agile può essere valorizzata nel giudizio di proporzionalità, non come base giuridica.
La presenza di un’informativa specifica: le note organizzative assolvono all’obbligo di “adeguata informazione”, ma non sostituiscono l’informativa privacy ai sensi dell’art. 13 del Regolamento, che deve indicare titolare e dati di contatto del responsabile della protezione dei dati, finalità e base giuridica, categorie di destinatari, periodo di conservazione, diritti dell’interessato e diritto di reclamo.
La valutazione d’impatto autonoma: la valutazione ai sensi dell’art. 35 va redatta come documento a sé stante, con il contenuto minimo del par. 7 e con la consultazione documentata del responsabile della protezione dei dati. Il confronto sindacale non è surrogato della valutazione d’impatto.
La minimizzazione tecnica e privacy by design: privilegiare architetture che restituiscano l’esito della verifica anziché il dato di posizione — ad esempio la sola indicazione di compatibilità con una delle sedi dichiarate —, ovvero che applichino tecniche di riduzione della precisione, documentando nella valutazione d’impatto le alternative considerate.
L’implementazione di politiche di conservazione e cancellazione: definire e implementare un tempo di conservazione differenziato per il dato di posizione, più breve di quello del dato di presenza, con cancellazione automatica e verifica periodica del funzionamento.
Il governo dei ruoli e delle abilitazioni: il fornitore va designato responsabile del trattamento ai sensi dell’art. 28, con atto che disciplini istruzioni, sub-responsabili, assistenza e cancellazione a fine rapporto. Le abilitazioni vanno limitate ai profili necessari e tracciate mediante registrazione degli accessi.
La disciplina dell’uso a fini sanzionatori: formalizzare in una procedura interna i presupposti di attivazione della verifica a campione, la relativa tracciatura e le modalità di contestazione, evitando accessi estemporanei e non documentati.
Restano aperte alcune questioni puntuali: l’idoneità dei verbali di delegazione trattante nel pubblico impiego a integrare l’accordo collettivo e la rilevanza dell’anteriorità; il coordinamento fra la disciplina del controllo a distanza e la funzione dell’accordo individuale ai sensi dell’art. 21 della legge n. 81/2017; il rapporto fra accertamento dell’illecito e struttura prognostica degli artt. 25 e 35 del Regolamento. Ove sistemi di rilevazione della prestazione incorporino componenti di intelligenza artificiale, al quadro descritto si aggiungeranno gli obblighi del Regolamento (UE) 2024/1689, che include fra i sistemi ad alto rischio quelli destinati all’occupazione e alla gestione dei lavoratori, con obbligo informativo verso rappresentanti e lavoratori prima della messa in servizio. La sovrapposizione fra art. 4 dello Statuto, artt. 35 e 88 del Regolamento generale e obblighi del regolamento sull’intelligenza artificiale richiede una progettazione unitaria sin dalla fase di selezione del fornitore.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
