Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Immaginate una dipendente che timbra il cartellino digitale dal divano di casa, convinta che quella flessibilità sia sinonimo di assoluta privatezza. Qualche settimana dopo, il datore di lavoro la contesta: si è connessa da un luogo non previsto dall'accordo individuale. Come lo sa? Perché il software di rilevazione presenze ha registrato la sua posizione geografica al momento della marcatura. La dipendente sporge reclamo al Garante. Il Garante sanziona l'azienda. L'azienda impugna davanti al tribunale. E il tribunale dà ragione all'azienda, demolendo punto per punto il ragionamento dell'Autorità. Questa vicenda, recentissima, fotografa con precisione chirurgica la zona grigia più insidiosa del diritto digitale del lavoro: il confine tra verifica organizzativa legittima e sorveglianza digitale illecita nel lavoro agile.
Il punto di partenza è il provvedimento n. 135/2025 del Garante per la protezione dei dati personali, con cui l'Autorità aveva inflitto a un ente datore di lavoro una sanzione di cinquantamila euro per l'utilizzo del software Time Relax. Il Garante aveva contestato all'amministrazione diverse violazioni del GDPR e del Codice privacy, applicando una sanzione amministrativa di 50.000 euro. Il cuore dell'accusa era chiaro: la geolocalizzazione dei dipendenti in smart working determinava un controllo incompatibile con la natura del lavoro agile, perché consentiva di verificare il luogo in cui il lavoratore si trovava durante l'attività. L'Autorità sosteneva, in sostanza, che la flessibilità intrinseca del lavoro agile non fosse per natura compatibile con verifiche puntuali su orari e luoghi di connessione.
Il Tribunale di Cosenza, con sentenza n. 972 del 1° luglio 2026, ha capovolto questa impostazione. La pronuncia interviene sul ruolo del Garante, stabilendo che il suo controllo deve concentrarsi sulla liceità del trattamento dei dati, sulla corretta base giuridica, sull'adeguatezza dell'informativa e sul rispetto dei principi del GDPR. Detto altrimenti, il Garante può — anzi deve — vigilare su come i dati vengono trattati; non può, invece, imporre al datore di lavoro quale modello organizzativo adottare. Il Garante non può sostituirsi al datore nelle scelte organizzative né stabilire quale modello di smart working sia più opportuno, purché siano rispettate le garanzie previste dalla legge.
Ma come funzionava concretamente il sistema contestato? Secondo i risultati istruttori, Time Relax non tracciava continuamente i movimenti del dipendente, ma registrava coordinate geografiche, posizione, data e ora soltanto al momento della timbratura. In altri termini, la timbratura con geolocalizzazione istantanea acquisisce la posizione solo al momento della marcatura dell'accesso e non consente di seguire il lavoratore durante la giornata, ma registra esclusivamente il luogo in cui si trovava quando ha attestato la propria presenza. La differenza tra tracciamento continuo e rilevazione puntuale non è tecnica ma giuridica: il primo configura sorveglianza sistematica, vietata; il secondo, se proporzionato e trasparente, rientra nella verifica organizzativa legittima.
Il nodo giuridico: art. 4 Statuto dei Lavoratori, GDPR e accordo individuale
Il perimetro entro cui il datore di lavoro può monitorare un lavoratore remoto è disegnato da tre fonti che si sovrappongono senza sempre convergere: l'art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori), il GDPR e la Legge n. 81/2017 sul lavoro agile. L'art. 4, comma 2, dello Statuto consente l'uso di strumenti che raccolgono dati sull'attività dei lavoratori a condizione che ciò avvenga per ragioni organizzative o produttive, con accordo sindacale o autorizzazione amministrativa, e con adeguata informativa. Come chiarito dalla Cassazione nella sentenza 25732/2021, per stabilire se un sistema rientri nella disciplina dei controlli a distanza occorre verificare quali dati raccoglie e quale effettiva capacità di controllo consente. Il criterio non è lo strumento in sé, ma il suo uso reale.
Il GDPR aggiunge un ulteriore livello: il trattamento dei dati di localizzazione in ambito lavorativo richiede una base giuridica robusta. La Corte di Giustizia dell'UE ha chiarito che anche i contenuti dei contratti collettivi, nonostante ammettano disposizioni più specifiche in materia di protezione dei dati, devono comunque rispettare gli obblighi e i principi del GDPR, e il datore di lavoro deve verificare la sussistenza di un idoneo presupposto di liceità prima di effettuare trattamenti di dati personali dei lavoratori. Non basta, insomma, aver negoziato un accordo sindacale: occorre che quel trattamento abbia una base giuridica autonoma ai sensi dell'art. 6 del Regolamento. Il legittimo interesse, la necessità contrattuale o l'obbligo legale possono fondarlo, ma devono essere motivati concretamente, caso per caso.
Un profilo spesso trascurato nelle analisi correnti è quello della valutazione d'impatto (DPIA, art. 35 GDPR). L'ente sanzionato dal Garante non aveva svolto alcuna valutazione d'impatto del trattamento dei dati relativi alla geolocalizzazione del personale dipendente, nonostante la presenza di diversi elementi che ne suggerivano il carattere obbligatorio, in considerazione della particolare vulnerabilità degli interessati nel contesto lavorativo e dei rischi connessi al monitoraggio dell'attività dei dipendenti. Questo è il punto che gli altri commentatori tendono a marginalizzare, concentrandosi sul duello Garante-Tribunale: anche quando il sistema di geolocalizzazione è in sé proporzionato, la mancanza di DPIA preventiva costituisce una violazione autonoma, indipendente dall'esito del controllo di merito. L'azienda può vincere sul contenuto e perdere sulla procedura.
Sono lecite le verifiche organizzative con strumenti proporzionati e con informativa preventiva al lavoratore. Non sono leciti invece il monitoraggio sistematico dei metadati email, la geolocalizzazione continua dei dispositivi, la registrazione dello schermo, l'attivazione non autorizzata della webcam. La lista non è casuale: riflette orientamenti consolidati del Garante e corrisponde alle condotte sanzionate con maggiore frequenza.
Cosa fare concretamente: gli errori più costosi e come evitarli
Il Garante Privacy, con provvedimento n. 121 del 26 febbraio 2026, ha affrontato un caso speculare ma distinto: quello della cancellazione dei dati del lavoratore al termine del rapporto. Il Garante si è espresso sul diritto alla cancellazione in modo tempestivo dei dati personali del dipendente all'atto della cessazione del rapporto di lavoro dal sito aziendale e sul diritto di accesso che va rispettato senza ritardi anche qualora riguardi dati già in possesso dell'interessato. Una lavoratrice licenziata aveva richiesto all'azienda la cancellazione dal sito aziendale dei propri dati personali — fotografia, indirizzo e-mail e numero di telefono — e l'accesso al proprio contratto di collaborazione. I dati erano rimasti visibili per oltre un mese. Il Garante ha ritenuto integrata la violazione. Il punto è rilevante perché nel lavoro agile questa situazione si moltiplica: la lavoratrice remota è spesso il "volto digitale" del datore su piattaforme, intranet, directory aziendali, profili di collaborazione — tutti ambienti che sopravvivono alla fine del rapporto se non vengono aggiornati con procedura sistematica.
Sul versante datoriale, gli errori più frequenti e più costosi sono tre. Il primo è installare strumenti di monitoraggio senza una previa informativa chiara e senza aver verificato la base giuridica: la trasparenza non è un adempimento formale, è la condizione di liceità del trattamento. Il secondo è non aggiornare il documento di valutazione dei rischi (DVR) per includere i profili di sicurezza dei dati connessi al lavoro agile: la violazione di questo obbligo è ora espressamente sanzionata, e il Rappresentante dei Lavoratori per la Sicurezza acquisisce un ruolo attivo anche nella verifica delle misure adottate per i lavoratori da remoto. Il terzo errore è affidare all'accordo individuale di smart working la gestione di tutti i profili privacy, dimenticando che quell'accordo regola il rapporto di lavoro ma non sostituisce l'informativa ex art. 13 GDPR, né la DPIA, né la designazione del lavoratore come interessato con diritti esercitabili.
Sul versante del lavoratore, la convinzione di godere di una privacy assoluta tra le mura domestiche è priva di fondamento giuridico. La normativa italiana e le interpretazioni giurisprudenziali hanno chiarito che il monitoraggio, se regolato in base a criteri di trasparenza e proporzionalità, è pienamente legittimo anche da remoto. Ciò che il lavoratore agile può — e deve — pretendere è: un'informativa completa prima di iniziare l'attività, l'indicazione chiara degli strumenti utilizzati e del tipo di dati raccolti, la limitazione del monitoraggio all'orario di servizio, e la garanzia che nessun dato venga conservato oltre il necessario.
Come scrisse il giurista Rudolf von Jhering, il diritto non è mera contemplazione: è conquista, e richiede che ogni parte lo rivendichi attivamente. Nel diritto digitale del lavoro, questo significa non aspettare la sanzione del Garante o la sentenza del tribunale, ma costruire ex ante — attraverso accordi chiari, informative complete e valutazioni d'impatto rigorose — un equilibrio che la legge non garantisce da sola.
La vicenda Cosenza insegna che il confine tra controllo lecito e sorveglianza illecita non è tracciato una volta per tutte: dipende dalla modalità tecnica dello strumento, dalla trasparenza dell'informativa, dall'esistenza di una DPIA, dalla proporzionalità della raccolta e dalla coerenza tra l'accordo individuale e la prassi concreta. Vigilantibus iura subveniunt: il diritto tutela chi è vigile, non chi si fida di ricostruzioni generiche. Per aziende e lavoratori, l'unica posizione davvero sicura è quella costruita prima che sorga il conflitto.
Redazione - Staff Studio Legale MP
