Controlli con il GPS mentre si lavora da casa, ecco quando la geolocalizzazione è davvero lecita secondo nuova sentenza

Lavorare da casa non significa essere immuni da ogni forma di controllo aziendale. Negli ultimi anni, la diffusione massiccia dello smart working ha generato in molti dipendenti la convinzione di una privacy totale, impossibile da violare nell'ambiente domestico. Questa percezione è priva di fondamento: la normativa italiana e le interpretazioni giurisprudenziali hanno chiarito che il monitoraggio, se regolato in base a criteri di trasparenza e proporzionalità, è pienamente legittimo anche da remoto.

La frontiera del controllo aziendale si è spostata grazie alle nuove tecnologie, che consentono di rilevare la posizione geografica del lavoratore in modo istantaneo e non invasivo, soprattutto durante le operazioni di timbratura virtuale. Questo scenario risponde non solo a esigenze organizzative, ma anche ai vincoli imposti dalla normativa su orari di lavoro e sicurezza. Tuttavia, la linea tra esigenza di verifica e tutela della riservatezza è sottile: solo un equilibrio giuridico puntuale può garantire il rispetto dei diritti di entrambe le parti.

Una pronuncia giudiziaria italiana ha ridefinito i confini della liceità per questi strumenti. Il principio tracciato dai giudici stabilisce che la geolocalizzazione limitata al momento della timbratura non rappresenta un controllo sproporzionato: ciò che conta è l'uso concreto dello strumento, non le sue potenzialità astratte. La legalità dipende dunque dalle modalità operative reali, dalla trasparenza e dal coinvolgimento sindacale.

L'annullamento della sanzione da parte del Tribunale

Il quadro normativo è stato stravolto da un caso giurisprudenziale destinato a fare scuola. La vicenda ha origine da una sanzione amministrativa di 50.000 euro irrogata dal Garante Privacy a una pubblica amministrazione per l'uso di un sistema di rilevazione presenze da remoto associato alla geolocalizzazione. Il sistema in questione, adottato nel rispetto di un accordo sindacale, consentiva la rilevazione della posizione geografica del dipendente esclusivamente all'atto della timbratura giornaliera.

Una dipendente, trovata a lavorare da una sede diversa da quelle concordate, aveva presentato reclamo, innescando un procedimento disciplinare e una segnalazione all'Autorità per la Privacy. L'istruttoria del Garante si era concentrata sulle potenzialità continue di controllo, ravvisando una violazione dei principi del GDPR e della normativa nazionale. Tuttavia, il Tribunale di Cosenza ha accolto il ricorso dell'ente datore di lavoro, annullando la maxi-sanzione e riaffermando che l'uso effettivo del sistema non sfociava in una intrusione arbitraria e costante. Tutta la procedura era trasparente: informativa, consenso e limiti tecnici erano rispettati.

This ruling introduce una nuova interpretazione sul confine tra controllo lecito e illecito: quello che rileva è la concreta dinamica di utilizzo, non la capacità potenziale dello strumento. Il datore di lavoro può legittimamente verificare la presenza e il rispetto degli accordi, purché la raccolta dati sia proporzionata e i lavoratori siano correttamente informati.

Cosa prevede la legge sui controlli a distanza dei lavoratori

Il controllo a distanza dei lavoratori, incluso in modalità smart working, è disciplinato da precise norme. Il riferimento centrale è l'art. 4 dello Statuto dei Lavoratori (legge n. 300/1970), integrato dal regolamento europeo GDPR (Reg. UE 2016/679), che sancisce principi di trasparenza, minimizzazione e proporzionalità:

• Finalità specifiche e trasparenza: Il controllo è permesso solo per esigenze organizzative, produttive, di sicurezza o tutela del patrimonio aziendale, mai per mera sorveglianza costante.
• Accordi sindacali o autorizzazioni: L'installazione di strumenti dai quali possa derivare un controllo a distanza richiede un accordo con le rappresentanze sindacali o, in mancanza, un'autorizzazione dell'Ispettorato Nazionale del Lavoro (INL).
• Strumenti di lavoro vs strumenti di controllo: Non sono soggetti a tali accordi o autorizzazioni gli strumenti che servono propriamente per l'esecuzione della prestazione lavorativa (PC, telefoni, badge, sistemi di timbratura), purché le funzionalità di controllo siano limitate e chiaramente dichiarate.
• Obbligo di informativa preventiva: I lavoratori devono essere informati in modo esaustivo su modalità, finalità, tempi di conservazione e diritti rispetto ai dati raccolti.

  La legge prevede deroghe in casi particolari: strumenti necessari per lo svolgimento della prestazione (ad esempio GPS nei veicoli aziendali durante attività lavorativa), controlli difensivi in caso di fondati sospetti di illeciti, previa informazione e conforme alle norme sulla riservatezza.

Il rispetto di tali regole consente un bilanciamento tra esigenze aziendali e diritti fondamentali dei dipendenti, come confermato da numerose pronunce delle Corti italiane e comunitarie:

Geolocalizzazione e registrazione delle presenze

La tecnologia GPS, applicata alla gestione delle presenze nel lavoro agile, ha sollevato dubbi sulla sua reale natura: si tratta di un normale strumento organizzativo o di una forma occulta di controllo?

Secondo la sentenza del Tribunale di Cosenza, il sistema che rileva la posizione geografica solo nel momento della timbratura ricade tra gli strumenti necessari per la prestazione. Non consente un controllo continuo degli spostamenti, non monitora la produttività, né la modalità di esecuzione del lavoro. La funzione di geolocalizzazione istantanea appare proporzionata e conforme agli obiettivi di verifica della presenza. Diverso sarebbe il discorso se l'applicativo tracciasse ogni movimento durante la giornata lavorativa o conservasse dati superflui rispetto allo scopo definitivo.

Il requisito essenziale, ribadito anche dal GDPR, è che la geolocalizzazione sia attivabile solo durante l'orario lavorativo e con il pieno consenso del dipendente. Le finalità produttive e organizzative devono essere chiare e mai mascherare intenti di sorveglianza occulta. Proprio questo principio ha consentito alla sentenza di distinguere tra uso legittimo (rilevazione al momento della timbratura) e uso illecito (tracciamento sistematico e segreto).

Non è l'esistenza della tecnologia a determinare una violazione, ma la sua configurazione e le garanzie offerte a tutela dei lavoratori:

• Accesso ai dati regolamentato
• Informativa dettagliata e consenso consapevole
• Funzionalità di geolocalizzazione disattivabili fuori orario
• Conservazione dei dati solo per il tempo necessario

Il potere del Garante Privacy: ruolo, limiti ed esigenze

Il Garante per la Protezione dei Dati Personali opera come autorità indipendente incaricata della vigilanza sulla corretta applicazione della disciplina privacy. Nel caso oggetto di giudizio, il Garante aveva assunto una posizione molto restrittiva, considerando la geolocalizzazione durante lo smart working incompatibile con la natura autonoma della prestazione agile.

Il Tribunale, però, ha ribadito che l'Autorità non può sostituirsi alle scelte organizzative del datore di lavoro, né introdurre limitazioni sulla base di valutazioni teoriche. Il compito dell'ente di controllo è circoscritto alla verifica della liceità del trattamento dei dati e del rispetto dei principi generali fissati dal GDPR, come trasparenza, minimizzazione e consenso, senza estendere la sua competenza alla definizione del modello produttivo più adeguato per ciascuna impresa.

Il rispetto delle regole sulla privacy tutela i lavoratori, ma non deve mai snaturare le prerogative organizzative riconosciute all'imprenditore dalla legge. Eventuali sanzioni devono fondarsi sull'effettivo impiego illecito del sistema.

Le regole pratiche per datore di lavoro e lavoratori da remoto

L'introduzione di sistemi di monitoraggio nel lavoro agile richiede l'adozione di procedure rigorose e rispettose sia delle esigenze aziendali sia dei diritti dei dipendenti. Gli adempimenti pratici comprendono:

• Valutazione d'Impatto: Prima di adottare strumenti di controllo, è opportuno eseguire, dove la normativa lo richiede, una DPIA (Data Protection Impact Assessment), soprattutto se il trattamento può presentare rischi elevati per i diritti degli interessati.
• Informativa completa: Ogni lavoratore deve ricevere una documentazione chiara, dettagliata e facilmente accessibile su modalità operative, finalità, tempi e modalità di accesso ai dati.
• Accordo con i sindacati o autorizzazione: Quando la legge lo prevede, la procedura passa da un accordo sindacale o dall'autorizzazione dell'INL, come stabilito dallo Statuto dei Lavoratori.
• Policy e regolamenti interni: Devono essere redatti documenti che regolamentino puntualmente l'uso degli strumenti, i limiti tecnici, le responsabilità interne e le modalità di trattamento delle informazioni raccolte.
• Limitazione e sicurezza nella raccolta dei dati: Va predisposto un sistema che impedisca la raccolta continua dei dati e garantisca la conservazione delle informazioni per tempi congrui e definiti.
• Verifiche periodiche: Il funzionamento del sistema deve essere oggetto di controlli periodici interni sull'aderenza ai principi normativi e sulla correttezza del trattamento.

• Calcolo Part Time Agevolato