Il Garante per la protezione dei dati personali ha dato notizia, con la newsletter dell'8 maggio 2025, di aver adottato il provvedimento n. 135 del 13 marzo 2025 in merito alla liceità del trattamento dei dati di geolocalizzazione del personale che presta la propria attività lavorativa in smart working, effettuato da parte di un’azienda regionale.
L’analisi condotta dal Garante approda a una conclusione netta: il trattamento dei dati di geolocalizzazione, che ha riguardato oltre 100 dipendenti, è stato sistematico, sproporzionato, privo di base giuridica, lesivo della privacy e della dignità del lavoratore.
L’Azienda ha così infranto i principi cardine del GDPR, oltre ad aver violato le norme speciali sul lavoro agile, che impongono fiducia, autonomia e rispetto della libertà personale come fondamento del rapporto professionale remoto.
Il procedimento trae origine da un reclamo individuale e da una segnalazione istituzionale del Dipartimento della Funzione Pubblica.
Oggetto delle istanze è il trattamento, da parte dell’ente datore di lavoro, dei dati di geolocalizzazione dei lavoratori che svolgono la loro attività in smart working.
In particolare, la dipendente che ha presentato reclamo denuncia di essere stata sottoposta a specifici controlli sulla postazione di lavoro. Nei giorni indicati nel reclamo, l’Azienda ha richiesto alla lavoratrice di effettuare una doppia timbratura elettronica (in entrata e in uscita) tramite l’app “Time Relax” e successivamente di inviare una comunicazione scritta via e-mail a un indirizzo istituzionale del dipendente incaricato di svolgere il controllo. L’obiettivo dichiarato era verificare la compatibilità tra il luogo della prestazione lavorativa e quello previsto dal contratto individuale di smart working.
Alla luce delle criticità emerse, il Dipartimento della Funzione Pubblica della Presidenza del Consiglio dei Ministri, ha ritenuto opportuno trasmettere al Garante per la protezione dei dati personali tutta la documentazione raccolta, affinché l’Autorità potesse svolgere le valutazioni di competenza in merito alla liceità del trattamento dei dati effettuato.
L’Azienda ha spiegato che l’applicazione Time Relax impone l’attivazione del servizio di localizzazione GPS per consentire la timbratura da remoto. Il dipendente, al momento del controllo:
Le risultanze del controllo sono formalizzate in un verbale di visita/controllo, sigillato e trasmesso al Direttore generale dell’Ente.
L’Azienda ha dichiarato di aver riscontrato che:
Tali discrepanze sono state documentate internamente e hanno costituito la base per un addebito disciplinare. L’azienda ha contestato alla lavoratrice l’inosservanza delle procedure previste dal regolamento interno sul lavoro agile, nonché la “discordanza” tra quanto dichiarato e quanto accertato tramite geolocalizzazione.
L’Azienda sostiene che il trattamento dei dati di geolocalizzazione per la timbratura nel lavoro agile fosse legittimo perché effettuato solo nei giorni e nella fascia oraria concessa al dipendente (cd fascia oraria di contattabilità) e basato sul generale consenso informato del dipendente manifestato nell’accordo individuale di smart working,
Il controllo a campione è stato effettuato su una percentuale pari al 20% dei dipendenti in lavoro agile e l’impiego dell’applicativo Time relax è stato a monte ratificato a mezzo di accordo con le rappresentanze sindacali, formalizzato nel regolamento aziendale sul lavoro agile, inserito anche nel PIAO aziendale.
La scelta aziendale si inserisce pertanto nell’ambito dell’esercizio dei poteri datoriali di organizzazione del lavoro ove la prestazione venga eseguita dal lavoratore all'esterno dei locali aziendali e risponde all’esigenza di garantire la tutela della sicurezza e della salute del lavoratore sul luogo di lavoro anche in modalità agile e la tutela della riservatezza dei dati
Tuttavia l’Azienda ha dichiarato di aver interrotto l’utilizzo del sistema e di essere impegnata in un percorso di conformità al GDPR.
Il Garante privacy, nel provvedimento n. 135 del 13 marzo 2025, richiama il complesso quadro normativo applicabile al trattamento dei dati personali nel contesto del rapporto di lavoro.
Nessun trattamento di dati personali nel rapporto di lavoro può essere effettuato al di fuori dei presupposti di liceità previsti dal Regolamento, soprattutto nei casi in cui siano in gioco dati sensibili o strumenti potenzialmente invasivi della sfera privata del lavoratore.
Il trattamento dei dati dei lavoratori, in via generale, è ammesso solo quando è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore nonché quando il trattamento è “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”.
Il trattamento dei dati personali dei lavoratori avviene poi nel rispetto delle misure appropriate e specifiche, a salvaguardia della dignità umana, anche in relazione ai sistemi di monitoraggio.
Le stesse basi giuridiche sopra richiamate si applicano ai trattamenti di dati personali effettuati nell’ambito dell’esecuzione del contratto di lavoro subordinato in modalità agile.
Il datore di lavoro, ricorda il Garante, è sempre tenuto a garantire il rispetto della dignità del lavoratore e della sua libertà morale, anche in modalità di lavoro agile (cfr. art. 115 del Codice e art. 21 L. 81/2017).
La legge n. 81/2017, all’articolo 18, comma 1, definisce il lavoro agile come una modalità di esecuzione del rapporto di lavoro subordinato priva di vincoli rigidi di luogo o orario, basata sulla flessibilità spazio-temporale e sulla valutazione per obiettivi. Tale assetto normativo prevede soltanto eventuali fasce di reperibilità e incentiva forme di responsabilizzazione autonoma del lavoratore.
I controlli datoriali sulla prestazione lavorativa agile devono essere compatibili con tale elasticità. Le verifiche, infatti, dovrebbero avvenire in forme non intrusive, come:
Anche nel lavoro agile, l’uso di strumenti tecnologici di controllo a distanza da parte del datore è ammesso solo nel rispetto delle condizioni previste dall’art. 4, comma 1, L. 300/1970 (Statuto dei lavoratori). Ciò significa, anche in virtù dell’art. 21 della legge n. 81/2017, che:
Il datore di lavoro, titolare del trattamento, oltre alla normativa di settore applicabile, deve sempre rispettare i principi di protezione dei dati personali. L’accordo sindacale è una condizione necessaria ma non sufficiente per legittimare il trattamento e il consenso del dipendente, in ambito lavorativo, non è considerato valido ai fini dell’art. 6 GDPR per l’asimmetria nel rapporto tra datore e lavoratore.
Il Garante privacy dichiara il trattamento dei dati di geolocalizzazione da parte dell'Azienda illecito. La prassi aziendale ha infranto i principi cardine del GDPR, oltre ad aver violato le norme speciali sul lavoro agile, che impongono fiducia, autonomia e rispetto della libertà personale come fondamento del rapporto professionale remoto.
Il Garante ha pertanto disposto l’applicazione di una sanzione amministrativa pecuniaria determinata in 50.000 euro e la pubblicazione dell’ordinanza ingiunzione sul proprio sito, come misura accessoria.
Ai sensi dell'individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei dati personali - Regolamento (UE) n.2016/679 (GDPR)
Questo sito non utilizza alcun cookie di profilazione. Sono invece utilizzati cookie di terze parti legati alla presenza dei "social plugin".