La sentenza di Cosenza: fatti e decisione
Una dipendente di una pubblica amministrazione calabrese poteva lavorare da remoto da tre luoghi, tutti indicati nell’accordo individuale. L’ente utilizzava un’applicazione che collegava alla timbratura il giorno, l’orario, la sede e le coordinate geografiche. In occasione di alcuni controlli a campione, la lavoratrice veniva contattata e invitata a effettuare una nuova marcatura, attivando la posizione dal computer oppure dallo smartphone.
Le verifiche avevano fatto emergere presenze in luoghi diversi da quelli concordati. Da lì potevano partire accertamenti disciplinari. Con l’ordinanza-ingiunzione n. 135 del 2025, il Garante aveva ritenuto illecito il trattamento, contestando violazioni del GDPR e del Codice privacy. Secondo l’Autorità, rilevare il luogo in cui si trovava la dipendente non era compatibile con la natura del lavoro agile.
Il Tribunale ha accolto il ricorso dell’amministrazione e ha annullato l’ordinanza, insieme alla successiva cartella di pagamento. Nella ricostruzione del giudice, “Time Relax” non seguiva la dipendente, non ricostruiva i suoi spostamenti e non funzionava al di fuori dell’orario di servizio. La posizione veniva registrata soltanto quando veniva effettuata la marcatura.
È questo il passaggio che ha orientato la decisione: il sistema è stato considerato più vicino a uno strumento per rilevare le presenze che a un apparato di sorveglianza permanente. La qualificazione, quindi, è dipesa dall’uso effettivo dell’app e non dalla semplice presenza di una funzione di geolocalizzazione.
GPS nel lavoro remoto: il criterio è l’uso concreto
L’articolo 4 della legge n. 300 del 1970, cioè lo Statuto dei lavoratori, distingue gli strumenti dai quali può derivare un controllo a distanza dagli apparecchi utilizzati per rendere la prestazione oppure per registrare accessi e presenze. Per gli strumenti riconducibili alla prima categoria sono richieste specifiche esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio. Occorre anche un accordo sindacale oppure, quando l’accordo non viene raggiunto, l’autorizzazione dell’Ispettorato del lavoro.
Gli strumenti necessari per svolgere l’attività e quelli destinati a documentare entrate e uscite non sono automaticamente soggetti a quella procedura. Il loro inquadramento, però, non si decide in base al nome dell’applicazione o alla modernità del dispositivo. Bisogna capire quali dati vengono raccolti e quale tipo di controllo il sistema rende possibile.
Un’app che acquisisce una sola coordinata al momento della timbratura può servire a verificare che la presenza sia stata registrata in una sede autorizzata. La situazione cambia quando il GPS rileva la posizione ogni minuto, visualizza il tragitto in tempo reale, conserva le soste o permette di confrontare velocità e tempi di percorrenza. In quel caso si forma un quadro del comportamento del lavoratore, con un rischio maggiore che lo strumento venga considerato idoneo a un controllo a distanza.
La stessa distinzione riguarda dispositivi differenti, anche se ciascuno presenta problemi tecnici propri:
- app sullo smartphone aziendale: può essere attiva soltanto per la marcatura oppure raccogliere informazioni durante l’intero turno;
- GPS installato su un veicolo: può rispondere a esigenze di sicurezza e di gestione del mezzo, ma il tracciamento continuo consente anche di ricostruire l’attività del conducente;
- tablet, palmare o badge digitale: la posizione può avere un ruolo accessorio rispetto alla prestazione, oppure trasformarsi in uno strumento di verifica costante;
- geofencing: una configurazione più contenuta può limitarsi a verificare se il dispositivo si trova in un’area autorizzata e a conservare l’esito del controllo, senza archiviare le coordinate.
Quando servono accordo, autorizzazione e informativa
Quando il sistema consente un controllo, anche indiretto, sull’attività lavorativa, il datore deve applicare l’articolo 4, comma 1, dello Statuto. La procedura ordinaria passa dall’accordo con le rappresentanze sindacali. Se l’accordo manca, è necessaria l’autorizzazione dell’Ispettorato nazionale del lavoro.
L’utilità del GPS per l’organizzazione aziendale non basta a escludere questi passaggi. Nemmeno una disciplina di settore che ne preveda l’impiego trasforma automaticamente il dispositivo in uno strumento di lavoro esente dalla procedura prevista dallo Statuto.
La Nota INL n. 1511 del 2026, dedicata alla vigilanza privata, ha applicato lo stesso criterio ai sistemi installati sulle dotazioni delle guardie giurate. La geo-referenziazione può essere richiesta per motivi di sicurezza e coordinamento. Resta però distinta dall’attrezzatura indispensabile con cui il dipendente esegue materialmente la prestazione.
Qualunque sia la procedura applicabile, il lavoratore deve ricevere prima dell’attivazione una informativa chiara e verificabile. Il documento deve spiegare:
- le finalità del trattamento e la relativa base giuridica;
- quali dati vengono acquisiti, comprese coordinate e orari;
- in quali fasce il sistema si attiva e secondo quali modalità vengono svolti i controlli;
- per quanto tempo i dati sono conservati e quali soggetti possono consultarli;
- se sono presenti funzioni automatizzate e quale logica ne governa il funzionamento.
L’informativa non prende il posto dell’accordo sindacale o dell’autorizzazione dell’Ispettorato, quando richiesti. Il rapporto tra gli adempimenti è lo stesso anche in senso inverso: un accordo non assolve il datore dagli obblighi previsti dal GDPR. Si tratta di piani diversi, che devono essere rispettati entrambi.
GDPR, consenso e minimizzazione dei dati
Le coordinate GPS collegate a un lavoratore sono dati personali. Il loro trattamento deve quindi rispettare i principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione e sicurezza stabiliti dal GDPR. Per una pubblica amministrazione, la base giuridica può essere collegata all’esecuzione di un compito di interesse pubblico o all’esercizio di pubblici poteri. Il consenso, invece, non è automaticamente la soluzione più solida.
Nel rapporto di lavoro, infatti, il consenso richiede particolare cautela. La posizione del dipendente può rendere difficile rifiutare il trattamento in modo realmente libero. La sentenza di Cosenza gli riconosce rilievo, ma l’informativa prevista dall’articolo 4, comma 3, dello Statuto non coincide con un consenso valido ai fini privacy.
Un’eventuale adesione del lavoratore non rende proporzionato un sistema eccessivamente invasivo e non cancella le altre garanzie. La valutazione deve partire dalla necessità concreta, non dalla possibilità tecnica di raccogliere più informazioni.
La domanda iniziale, nella progettazione, dovrebbe essere la più semplice: quale dato serve davvero? Se l’obiettivo è verificare che la timbratura sia avvenuta all’interno di un’area autorizzata, può bastare registrare “presenza verificata” insieme a data e ora. La coordinata può essere cancellata dopo il controllo, quando non occorre conservarla.
La raccolta supera più facilmente quanto necessario se l’azienda conserva la posizione per mesi, la utilizza per valutare pause oppure costruisce classifiche di efficienza. In questi casi il dato non serve più soltanto a controllare una marcatura puntuale, ma diventa una fonte di informazioni sulle abitudini e sul comportamento del dipendente.
Un trattamento sistematico o caratterizzato da rischi elevati può richiedere una valutazione d’impatto sulla protezione dei dati, la DPIA. L’accordo sindacale non sostituisce questo adempimento. Il Tribunale ha censurato una valutazione fondata sulle potenzialità astratte del GPS, senza considerare in modo adeguato l’utilizzo concreto e limitato del sistema; ciò non esclude, però, l’obbligo di valutare i rischi quando le caratteristiche effettive del trattamento lo rendono necessario.
Un modello lecito e uno sproporzionato
Una configurazione coerente con la pronuncia di Cosenza prevede una timbratura mobile attivata dal lavoratore. La posizione viene acquisita una sola volta, esclusivamente all’ingresso o all’uscita e soltanto nelle fasce di servizio. Il sistema confronta il punto rilevato con la sede o con il luogo autorizzato, registra l’esito della verifica e limita gli accessi al personale incaricato.
La coordinata dovrebbe essere conservata soltanto per il tempo strettamente necessario, sempre che sia necessario mantenerla. Una volta concluso il controllo, la registrazione dell’esito può essere sufficiente per documentare la verifica.
È invece sproporzionato un programma che localizza il dipendente senza interruzioni, ricostruisce il percorso, registra pause e soste, rimane attivo fuori dal turno o mostra la posizione in tempo reale senza una concreta esigenza di sicurezza. In una configurazione del genere, la geolocalizzazione non documenta più soltanto una presenza: restituisce l’andamento della giornata lavorativa.
Il Garante ha contestato sistemi di questo tipo anche in relazione ai veicoli aziendali. Nel 2026, una rilevazione ogni 60 secondi permetteva di ricostruire il tragitto completo. L’azienda sanitaria interessata ha poi portato la frequenza a 15 minuti e ha disattivato la visualizzazione in tempo reale.
| Configurazione limitata | Localizzazione al momento della timbratura, verifica della presenza, accesso ai dati riservato al personale autorizzato |
| Configurazione invasiva | Tracciamento continuo, ricostruzione dei percorsi, rilevazione di pause e produttività, conservazione prolungata |
Diritti del dipendente e rischi per il datore
Il lavoratore ha diritto di sapere quali dati vengono raccolti, per quale ragione, per quanto tempo restano disponibili e chi può consultarli. Può chiedere chiarimenti sul funzionamento dell’applicazione, contestare modalità che non rispettano l’informativa e rivolgersi al Garante o agli organismi competenti se ritiene sproporzionato il trattamento.
Per il datore di lavoro, il mancato rispetto delle regole può avere conseguenze su piani diversi. Sono possibili sanzioni amministrative per violazioni privacy, contestazioni legate allo Statuto dei lavoratori e l’inutilizzabilità dei dati raccolti per finalità disciplinari quando non sono state rispettate le condizioni previste.
Le sanzioni GDPR, nei casi indicati dall’articolo 83, paragrafo 5, possono arrivare fino a 20 milioni di euro oppure al 4% del fatturato annuo globale. L’importo effettivo dipende comunque dalla valutazione concreta dell’illecito.
Il datore rimane titolare del trattamento anche quando il software è fornito da un’impresa esterna. La scelta di un’applicazione commerciale non trasferisce automaticamente la responsabilità al fornitore. Prima dell’attivazione occorre analizzare le finalità, impostare la configurazione minima necessaria, documentare le garanzie adottate e verificare periodicamente gli accessi e i tempi di conservazione.
La risposta alla domanda “quando il datore può geolocalizzare?” è quindi delimitata: quando la rilevazione serve a una finalità legittima, è proporzionata al risultato, viene comunicata in modo trasparente e rispetta le procedure richieste. Nel lavoro da remoto una timbratura puntuale può essere ammessa. Il GPS, però, non può trasformarsi in una telecamera digitale capace di ricostruire ogni movimento della giornata.
