Controlli a distanza dei lavoratori: come farli legalmente

I controlli a distanza dei dipendenti sono ancora un problema, a quanto pare: molte aziende li fanno male, senza rispettare le leggi come il Gdpr e lo Statuto dei Lavoratori. E ne subiscono le conseguenze: sanzioni, certo, ma anche danni di immagine e credibilità.

Qualche giorno fa un ultimo caso: il Garante per la protezione dei dati ha sanzionato l’ente pubblico calabrese ARSAC per l’illecito trattamento dei dati di geolocalizzazione dei dipendenti in smart working tramite l’applicazione “Time Relax”.

La geolocalizzazione veniva richiesta al momento della timbratura (entrata/uscita) ed era utilizzata anche per avviare procedimenti disciplinari.

Il Garante ha rilevato molteplici violazioni del GDPR e del Codice Privacy, tra cui: assenza di base giuridica idonea, mancanza di informativa, mancata valutazione d’impatto (DPIA), inosservanza dei principi di minimizzazione, finalità e proporzionalità. Il trattamento è stato dunque giudicato illecito perché diretto alla sorveglianza della condotta lavorativa, in violazione dell’art. 4 dello Statuto, dei principi di liceità, trasparenza, minimizzazione e protezione dati per impostazione predefinita.

Il provvedimento conferma l’orientamento secondo cui anche nel lavoro agile valgono le garanzie previste per il lavoro tradizionale, incluse le tutele della personalità morale e della libertà individuale del dipendente.

Geolocalizzazione del lavoro e controllo dipendenti a distanza: gli illeciti

Nell’attuale contesto digitale, le aziende sono sempre più orientate all’utilizzo di strumenti tecnologici per la gestione del personale. Tra questi, i sistemi di geolocalizzazione costituiscono uno degli strumenti più diffusi per monitorare l’operato dei lavoratori, specialmente nei settori in cui l’attività si svolge all’esterno o in mobilità.

Tuttavia, l’uso di questi strumenti solleva delicate questioni giuridiche e organizzative, in particolare per quanto riguarda il rispetto dell’articolo 4 della Legge 300/1970 (Statuto dei Lavoratori) e del Regolamento 2016/679 (GDPR).

Bisogna quindi vedere bene quali sono le condizioni per un utilizzo lecito e conforme alla normativa.

E attuare un modello di compliance per le organizzazioni pubbliche e private.

Tema attuale e importante: strumenti come il GPS per il controllo a distanza dei dipendenti, software di monitoraggio e sistemi di videosorveglianza come telecamere vengono frequentemente adottati da datori di lavoro nel tentativo di ottimizzare la produttività, rafforzare la sicurezza e gestire il lavoro da remoto. Tuttavia, il confine tra legittimo potere di controllo e lesione della dignità del lavoratore è sottile, e proprio su tale frontiera si colloca il binomio normativo formato dall’art. 4 dello Statuto dei lavoratori (L. 300/1970) e dal Regolamento 2016/679.

Il tema del controllo a distanza dei lavoratori ha assunto una rinnovata centralità con la diffusione dello smart working e l’adozione di tecnologie digitali nei processi aziendali.

Tanto che molte organizzazioni continuano a incorrere in violazioni rilevanti, come evidenziato nei recenti provvedimenti sanzionatori del Garante per la protezione dei dati personali.

Il Gdpr e il controllo a distanza del lavoratore

L’utilizzo di strumenti di controllo a distanza comporta il trattamento di dati personali dei lavoratori, soggetto alla disciplina del Regolamento 2016/679. Il GDPR impone che ogni trattamento di dati personali, inclusi quelli relativi alla posizione geografica dei lavoratori, rispetti i principi fondamentali previsti dall’articolo 5 del GDPR:

• Liceità, correttezza e trasparenza (art. 5, par. 1, lett. a): ogni trattamento deve avere una base giuridica adeguata e deve essere comunicato in modo chiaro ai lavoratori.
• Limitazione della finalità (art. 5, par. 1, lett. b): i dati devono essere raccolti per scopi specifici, espliciti e legittimi.
• Minimizzazione dei dati (art. 5, par. 1, lett. c): il datore deve trattare solo i dati necessari per le finalità dichiarate.
• Esattezza (art. 5, par. 1, lett. d): i dati devono essere accurati e aggiornati.
• Limitazione della conservazione (art. 5, par. 1, lett. e): i dati devono essere conservati per un periodo non superiore a quello necessario.
• Integrità e riservatezza (art. 5, par. 1, lett. f): devono essere garantite misure di sicurezza tecniche e organizzative.

In particolare, i sistemi di geolocalizzazione devono essere progettati e implementati nel rispetto della protezione dei dati fin dalla fase di progettazione (privacy by design) e per impostazione predefinita (privacy by default).

È necessario definire con precisione la base giuridica che legittima il trattamento: in ambito lavorativo, le basi più appropriate sono l’obbligo legale, l’esecuzione del contratto o l’interesse legittimo del titolare, mentre il consenso è sconsigliato per l’asimmetria nel rapporto.

Statuto dei lavoratori sul controllo a distanza lavoratori

L’art. 4 dello Statuto dei Lavoratori, riformulato dal D.Lgs. 151/2015, stabilisce che l’installazione di impianti e strumenti dai quali possa derivare anche indirettamente un controllo a distanza dell’attività dei lavoratori è ammessa solo per tre finalità tassative: esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale. In tali casi, è obbligatorio un accordo con le rappresentanze sindacali aziendali oppure, in assenza di queste o in caso di mancato accordo, l’autorizzazione preventiva da parte dell’Ispettorato Nazionale del Lavoro.

Il legislatore ha voluto così tracciare un limite netto rispetto alla possibilità di esercitare forme di controllo diretto sull’attività del lavoratore. Il monitoraggio non può mai avere come finalità diretta la verifica dell’adempimento degli obblighi contrattuali, ma deve essere preterintenzionale, ossia solo un effetto secondario e non voluto del perseguimento delle finalità lecite sopra elencate.

Per introdurre legalmente sistemi di geolocalizzazione all’interno dell’azienda, il datore di lavoro deve:

• ottenere un accordo con le rappresentanze sindacali aziendali (RSA o RSU);
• in mancanza di tali rappresentanze, o se non si raggiunge l’accordo, deve richiedere l’autorizzazione preventiva all’Ispettorato Nazionale del Lavoro (INL). In tal caso, il datore di lavoro è tenuto a compilare l’apposita modulistica predisposta dall’Ispettorato Nazionale del Lavoro, utilizzando il modulo “INL 1.2 – Istanza Videosorveglianza Installazione GPS”, reperibile sul sito istituzionale, unitamente al modello “INL 1.4 – Dichiarazione sostitutiva per marca da bollo”. A corredo dell’istanza, deve essere allegata una dettagliata relazione tecnica descrittiva che illustri il funzionamento del sistema di geolocalizzazione, nonché le misure tecniche e organizzative adottate per garantirne un utilizzo conforme, sicuro ed efficace in rispetto della privacy by design by default.

L’adozione di dispositivi di geolocalizzazione senza aver adempiuto a tali obblighi comporta una violazione dell’art. 4 dello Statuto dei Lavoratori, con conseguenze che includono l’inutilizzabilità dei dati a fini disciplinari, l’annullabilità di provvedimenti sanzionatori e l’esposizione a sanzioni amministrative.

Controlli a distanza e tutela dei dati personali dei lavoratori

Oltre ai profili giuslavoristici, l’impiego di sistemi di geolocalizzazione comporta un trattamento di dati personali soggetto alla disciplina del Regolamento 2016/679. Il GDPR impone al titolare del trattamento di fornire un’informativa completa ai sensi dell’art. 13, e di rispettare i principi di limitazione della finalità, minimizzazione dei dati, trasparenza, integrità e riservatezza. Inoltre, l’art. 35 del Regolamento prevede l’obbligo di redigere una valutazione d’impatto sulla protezione dei dati o DPIA quando il trattamento può comportare un rischio elevato per i diritti e le libertà degli interessati, come accade tipicamente nei casi di monitoraggio geolocalizzato.

Il Comitato Europeo per la Protezione dei Dati (EDPB), nelle sue Linee guida, ha più volte evidenziato che il consenso del lavoratore non può costituire una valida base giuridica in ambito lavorativo, data la posizione di subordinazione che ne compromette la libertà decisionale. Per questo motivo, il datore di lavoro deve fondare il trattamento su altre basi giuridiche e giustificare, con idonea documentazione, la necessità e la proporzionalità dello strumento utilizzato.

A supporto delle aziende e dei professionisti sono le circolari emanate dall’INL a riguardo:

• Circolare INL n. 2 del 7 novembre 2016 Questa circolare fornisce chiarimenti sull’utilizzo di dispositivi di geolocalizzazione installati su veicoli aziendali. L’INL chiarisce che quando tali strumenti permettono un controllo diretto, seppur non finalizzato in modo esclusivo a ciò, devono rientrare nel perimetro dell’art. 4 dello Statuto, con conseguente necessità di accordo sindacale o autorizzazione amministrativa.
• Circolare INL n. 5 del 19 febbraio 2018 Offre indicazioni dettagliate sull’istruttoria per il rilascio delle autorizzazioni all’installazione di impianti audiovisivi e altri strumenti di controllo. Viene sottolineata l’importanza della proporzionalità e dell’idoneità dello strumento rispetto agli scopi perseguiti, nonché la necessità di evitare controlli indiscriminati e non trasparenti.
• Nota INL n. 2572 del 14 aprile 2023 In questa nota si ribadisce il divieto di raccogliere dati mediante strumenti tecnologici con finalità di controllo diretto dell’attività lavorativa, a meno che non siano rispettate le condizioni di cui all’art. 4 della L. 300/1970. È inoltre escluso che il consenso individuale del lavoratore possa surrogare l’accordo sindacale o l’autorizzazione dell’Ispettorato.
• Nota INL n. 7020 del 25/09/2024 chiarimenti in merito all’autorizzazione per l’installazione di strumenti di controllo a distanza, come i sistemi di geolocalizzazione, ai sensi dell’articolo 4 della Legge 300/1970.

Con il Provvedimento n. 467 dell’11 ottobre 2018, il Garante per la protezione dei dati personali ha definito, nell’Allegato 1 dello stesso, un elenco di trattamenti soggetti obbligatoriamente a valutazione d’impatto. Al punto 5 di tale allegato sono inclusi anche i “trattamenti svolti nell’ambito del rapporto di lavoro mediante strumenti tecnologici – inclusi i sistemi di videosorveglianza e di geolocalizzazione – che consentano il controllo, anche potenziale, delle attività dei dipendenti”.

Di conseguenza, il titolare e l’eventuale responsabile del trattamento, in collaborazione con il Responsabile della Protezione dei Dati o DPO, ove designato, devono attentamente analizzare gli effetti di tali dispositivi e strumenti sui dati personali trattati. La valutazione deve riguardare vari aspetti, tra cui la natura del trattamento, gli obiettivi perseguiti, il contesto operativo, la categoria di interessati coinvolti (dipendenti, clienti, ecc.), la presenza o meno di attività di registrazione e conservazione dei dati personali su server, i tempi di conservazione, e, infine, le modalità di accesso riservate esclusivamente a soggetti autorizzati.

È imprescindibile che i dati raccolti siano tutelati tramite misure di sicurezza adeguate, capaci di prevenire accessi non autorizzati, trattamenti illeciti o usi incompatibili con le finalità dichiarate. Il datore di lavoro ha il dovere di monitorare costantemente chi accede ai dati e garantire che sia consentita esclusivamente a soggetti formalmente autorizzati.

Informativa Privacy: sempre necessaria

Un elemento imprescindibile nella gestione dei dati personali dei lavoratori è l’obbligo di fornire un’informativa trasparente e completa, in conformità con quanto previsto dall’articolo 13 del Regolamento 2016/679 e, per i rapporti di lavoro, anche dal D. Lgs. n. 104/2022 (cd. “Decreto Trasparenza”). Tale obbligo si estende a tutti i trattamenti di dati personali effettuati tramite strumenti tecnologici che comportano un monitoraggio diretto o indiretto dell’attività del lavoratore, inclusi i sistemi di geolocalizzazione, i dispositivi di videosorveglianza, gli strumenti di rilevazione delle presenze, le applicazioni aziendali e le tecnologie di cybersicurezza.

In particolare, l’informativa deve indicare in modo chiaro e comprensibile: le finalità del trattamento, la base giuridica, la tipologia dei dati raccolti, i soggetti autorizzati al trattamento, i destinatari o le eventuali categorie di destinatari, i tempi di conservazione e i diritti riconosciuti al lavoratore, compreso il diritto di accesso, rettifica, limitazione, opposizione e reclamo all’autorità di controllo.

Il Decreto Trasparenza ha rafforzato ulteriormente questo obbligo, imponendo al datore di lavoro di comunicare, già al momento dell’assunzione o della modifica del rapporto, l’eventuale utilizzo di strumenti automatizzati di sorveglianza, raccolta o trattamento dei dati personali, anche quando tali strumenti influenzano l’assunzione, l’esecuzione o la cessazione del rapporto di lavoro. Questo implica, ad esempio, che anche gli strumenti di sicurezza informatica adottati per proteggere le infrastrutture aziendali – quali sistemi di monitoraggio delle connessioni di rete, firewall avanzati o sistemi SIEM – qualora configurati in modo da tracciare l’attività dei dipendenti, devono essere oggetto di specifica informativa e devono rispettare i principi di trasparenza, minimizzazione e finalità.

L’assenza o l’inadeguatezza dell’informativa espone il datore di lavoro a rilevanti rischi sanzionatori, oltre a invalidare eventuali trattamenti eseguiti, con conseguente impossibilità di utilizzarne i dati per finalità organizzative o disciplinari. È quindi fondamentale che ogni impresa predisponga modelli informativi aggiornati, differenziati in base alle categorie di strumenti utilizzati, garantendo la piena consapevolezza del lavoratore sul trattamento dei suoi dati personali.

Il provvedimento del garante del 13 marzo 2025 sul caso ARSAC ha evidenziato diverse violazioni rilevanti. L’Azienda ha utilizzato un’app di timbratura con funzione di geolocalizzazione (Time Relax) per controllare la posizione del personale in smart working, in base agli accordi di lavoro agile. Il Garante ha rilevato:

• Mancanza di base giuridica valida per il trattamento della posizione geografica.
• Assenza di informativa trasparente e dettagliata.
• Omessa valutazione d’impatto (DPIA) ai sensi dell’art. 35 GDPR.
• Violazione dei principi di minimizzazione, limitazione della finalità, protezione dei dati fin dalla progettazione e per impostazione predefinita.

Il trattamento è stato quindi ritenuto illecito anche se autorizzato tramite accordo sindacale, in quanto le finalità perseguite non rientravano tra quelle consentite dall’art. 4 Statuto Lavoratori.

La check list per la compliance in materia di controllo dipendenti

Di seguito una breve check list di conformità per le aziende:

1. Analisi delle finalità: verificare che le motivazioni per l’installazione degli strumenti di controllo rientrino tra quelle previste dalla legge.

2. Procedura autorizzativa: accertarsi di aver ottenuto l’accordo sindacale o l’autorizzazione dell’INL prima dell’installazione.
3. Informativa ai lavoratori: fornire un’informativa dettagliata e comprensibile ai dipendenti.
4. Valutazione d’impatto (DPIA): effettuare una DPIA quando il trattamento comporta rischi elevati.
5. Misure di sicurezza: mappare, verificare, implementare misure adeguate per proteggere i dati personali si ain capo al Titolare del trattamento che al Responsabile del trattamento.
6. Formazione del personale: assicurarsi che il personale sia adeguatamente formato in materia di protezione dei dati.
7. Monitoraggio e revisione: stabilire procedure per il monitoraggio continuo e la revisione periodica delle misure adottate.

In un’epoca in cui la tecnologia permea ogni aspetto dell’organizzazione aziendale, il confine tra controllo legittimo e sorveglianza indebita si fa sempre più sottile. Per questo, il rispetto della normativa sul trattamento dei dati personali e sulle regole del rapporto di lavoro non può più essere considerato un mero adempimento formale, bensì un elemento strategico per la credibilità, l’affidabilità e la sostenibilità dell’impresa.

Controllare i dipendenti nei limiti imposti dal GDPR

L’impiego di strumenti di geolocalizzazione, videosorveglianza o tracciamento digitale deve essere guidato da un principio chiave: non tutto ciò che è tecnicamente possibile è anche giuridicamente ammissibile.

Soltanto un approccio integrato, fondato sulla trasparenza, sulla proporzionalità e su una rigorosa accountability, può garantire un equilibrio tra le esigenze gestionali dell’organizzazione e i diritti fondamentali del lavoratore. In questo scenario, la compliance è un dovere etico e organizzativo che tutela non solo l’impresa dai rischi sanzionatori, ma soprattutto rafforza la cultura della fiducia, della responsabilità e della dignità all’interno dei luoghi di lavoro.

Perché nel tempo della sorveglianza diffusa, il vero vantaggio competitivo risiede nella capacità di esercitare il controllo senza mai rinunciare al rispetto.