Geolocalizzazione lecita in smart working: la sentenza shock

Il Tribunale smentisce il Garante Privacy. L’app per rilevare le presenze dei dipendenti da remoto è legale se usata in modo proporzionato.

Lavoratori da casa, attenzione. Molti pensano di sfuggire al controllo aziendale con la convinzione di avere una privacy totale e inattaccabile. Questa percezione è del tutto sbagliata. Una recentissima e dirompente decisione giudiziaria riscrive le regole del gioco. Il datore di lavoro ha il pieno diritto di verificare il luogo da cui il dipendente svolge la prestazione in smart working.

La tecnologia permette di tracciare la posizione, e la legge lo consente a precise condizioni. Il giudice stabilisce un principio chiarissimo, valido per tutti i lavoratori da remoto. Una applicazione informatica non si giudica per le sue astratte potenzialità di spionaggio. I magistrati valutano solo il suo utilizzo concreto nella realtà quotidiana. Se il tracciamento rileva la posizione unicamente al momento di timbrare il cartellino virtuale, l’azienda opera nella piena legalità. Questa regola segna un confine netto e spazza via le illusioni. Il diritto alla riservatezza non cancella le inderogabili necessità organizzative aziendali. La geolocalizzazione dei lavoratori è del tutto lecita se appare proporzionata e concordata con i sindacati.

Il Tribunale annulla la maxi sanzione

La vicenda prende il via da un severo provvedimento del Garante per la protezione dei dati personali. L’Autorità infligge a un ente datore di lavoro una multa di 50mila euro con l’ordinanza-ingiunzione 135/2025. Il motivo riguarda l’uso di un software chiamato Time Relax per monitorare i dipendenti. L’azienda scopre una dipendente connessa da luoghi non autorizzati. L’accordo firmato in precedenza indica in modo preciso tre possibili sedi di lavoro, ma la donna si connette altrove. L’ente avvia un procedimento disciplinare, in seguito sospeso, e subisce un reclamo al Garante e un esposto penale, successivamente archiviato in via definitiva. Il Garante accusa l’azienda di operare un controllo costante e indiscriminato, in presunta violazione del regolamento europeo (Gdpr) e delle norme nazionali (cod. privacy). La sentenza del Tribunale di Cosenza del 1° luglio 2026 ribalta però questa prospettiva formale e astratta. I giudici annullano la multa senza esitazioni. Il sistema informatico non traccia in modo continuo gli spostamenti. L’applicazione rileva le coordinate geografiche, la sede, il giorno e l’orario soltanto nel momento preciso in cui il dipendente effettua la timbratura. L’operazione non è occulta ma trasparente. I controlli avvengono a campione tramite passaggi procedurali chiari. Vi è una chiamata diretta, una specifica fascia di reperibilità, un invito alla doppia timbratura e un preventivo consenso alla localizzazione. Lo strumento informatico, inserito in modo trasparente anche nel Piao 2024-2026, non registra ulteriori dati personali e smette di funzionare in automatico oltre il normale orario di servizio.

I confini legali dei controlli a distanza

Il cuore della pronuncia giurisprudenziale riguarda una norma fondamentale per i diritti sul posto di lavoro (art. 4 Stat. lav.). Questa legge traccia una linea di demarcazione netta per tutti i datori di lavoro. Il legislatore distingue gli strumenti usati unicamente per registrare gli accessi da quelli capaci di realizzare un vero e proprio controllo a distanza. Questi ultimi necessitano obbligatoriamente di un preventivo accordo sindacale o di una specifica autorizzazione amministrativa per operare nella legalità. Il Tribunale classifica il sistema Time Relax come un semplice e legittimo strumento per la rilevazione delle presenze. Tuttavia, la presenza di una funzione informatica di localizzazione geografica richiede garanzie ancora più forti per il lavoratore. L’azienda in questione rispetta alla lettera tutte queste tutele aggiuntive nel caso concreto. Vi è un preventivo accordo sindacale, i lavoratori ricevono una informativa chiara, il sistema presenta stringenti limiti tecnici e le finalità organizzative sono del tutto legittime. Possiamo usare un esempio per capire questo delicato concetto. Se acquisti un coltello da cucina, possiedi uno strumento con cui puoi potenzialmente ferire qualcuno in modo grave. Se però lo usi unicamente per affettare il pane nella tua abitazione, il tuo comportamento è del tutto lecito. Il giudice ragiona in modo identico. Una tecnologia riceve una valutazione legale basata esclusivamente sull’uso effettivo e sulle precauzioni adottate dall’azienda per impedire abusi.

Il limite al potere del Garante Privacy

Il provvedimento dell’Autorità indipendente riceve una critica demolitrice e severa dal Tribunale di Cosenza. Il Garante sostiene in modo rigido un principio eccessivamente teorico. Secondo l’Autorità, la flessibilità intrinseca del lavoro agile non appare per natura compatibile con verifiche puntuali su orari e luoghi di connessione. Il giudice smonta questa teoria e afferma una regola generale potentissima per le aziende. Il Garante per la protezione dei dati personali non ha il potere di sostituirsi al datore di lavoro nelle intime scelte organizzative. L’azienda mantiene la totale e inviolabile libertà di decidere il proprio modello organizzativo, a condizione di mantenere un comportamento lecito, trasparente e proporzionato agli scopi. Il compito istituzionale dell’Autorità statale consiste nel verificare la corretta gestione dei dati personali, non certo nel dettare le regole di produzione o stabilire come organizzare i dipendenti da casa. Il Garante, in parole povere e dirette, non ricopre in alcun modo il ruolo di Chief operating officer delle imprese italiane. Una sanzione basata unicamente sulle mere potenzialità di un software crea un rischio gravissimo per l’economia. Se le autorità pubbliche sanzionano le tecnologie solo perché teoricamente invasive, si genera una forte e pericolosa incertezza regolatoria. Questo approccio concede un potere discrezionale e arbitrario ai controllori, in forte contrasto con i pilastri e i principi liberali del nostro Stato di diritto.

Le conferme della giurisprudenza europea

Questa innovativa e dirompente sentenza di merito si allinea perfettamente alla giurisprudenza di livello superiore. I giudici della Cassazione ribadiscono da molto tempo un principio giuridico identico. Una tecnologia non diventa illecita per la sola e astratta capacità di operare un controllo continuo sulle persone fisiche. I giudici devono sempre valutare le finalità del trattamento, le modalità operative concrete, le tutele tecniche predisposte e il livello di informazione garantito con precisione al lavoratore. I moderni sistemi per registrare le presenze da remoto non sono affatto vietati dalla legge in sé stessi. Le problematiche legali emergono unicamente se l’azienda impiega questi strumenti per un monitoraggio incessante, segreto o del tutto sproporzionato rispetto agli scopi organizzativi dichiarati in partenza. La proporzionalità rappresenta il limite invalicabile per il potere direttivo.

Lo stesso approccio garantista domina anche l’intero panorama giuridico europeo. In Francia, ad esempio, l’autorità nazionale (Cnil) e i giudici amministrativi autorizzano la localizzazione dei prestatori d’opera in presenza di necessità reali, informative chiare e proporzionalità del trattamento. In Germania, i tribunali considerano illecito il tracciamento continuo, occulto o eccessivo, ma consentono i controlli mirati e trasparenti per bisogni aziendali effettivi. Infine, la Corte europea dei diritti dell’uomo affronta questo tema esplosivo con una pronuncia storica (Bărbulescu v. Romania). I giudici europei impongono un rigoroso bilanciamento tra i poteri dell’imprenditore e il pieno rispetto della vita privata del dipendente, valorizzando le ragioni formali del monitoraggio e il grado di intrusione tecnologica.

Le regole pratiche per i controlli leciti

Dalla complessa e affascinante vicenda giudiziaria si ricava un prezioso manuale operativo per le imprese. Qualsiasi datore di lavoro intenzionato ad adottare moderni sistemi di controllo da remoto ha il dovere di rispettare precise e ineludibili regole di comportamento pratico. Prima di attivare il nuovo software, l’azienda ha l’obbligo formale di effettuare una valutazione d’impatto, se la normativa la richiede. Occorre poi distribuire una informativa completa, trasparente e di facile lettura a tutto il personale aziendale coinvolto nel processo.

L’imprenditore deve firmare solidi accordi con le rappresentanze sindacali oppure ottenere le autorizzazioni della direzione territoriale del lavoro, ove previsto dalla legge. Il datore redige anche policy e regolamenti interni estremamente dettagliati, imposta blocchi tecnici per evitare la raccolta ininterrotta dei dati e fissa tempi massimi per la conservazione delle informazioni digitali. Infine, un ente responsabile programma verifiche periodiche per confermare il corretto e lecito funzionamento del sistema nella realtà quotidiana. Se il datore di lavoro applica alla lettera queste istruzioni, blinda la propria organizzazione da sanzioni folli o immotivate e gestisce in totale sicurezza il proprio personale.