Geolocalizzazione in lavoro agile: annullata la sanzione del Garante

Premessa

Con sentenza della Prima Sezione civile, resa in composizione monocratica e datata 1° luglio 2026, il Tribunale di Cosenza ha accolto l’opposizione proposta da un ente pubblico avverso l’ordinanza-ingiunzione del Garante per la protezione dei dati personali n. 135 del 13 marzo 2025, annullandola integralmente, e ha conseguentemente dichiarato l’invalidità della cartella di pagamento emessa per la riscossione della sanzione, quantificata in 50.000 euro. Il provvedimento sanzionatorio, adottato a seguito del reclamo di una dipendente, aveva contestato la violazione degli artt. 5, 6, 13, 25, 35 e 88 del Regolamento (UE) 2016/679, nonché degli artt. 113 e 114 del d.lgs. 30 giugno 2003, n. 196, in relazione al trattamento dei dati di posizione geografica del personale in lavoro agile, effettuato per il tramite di un applicativo di rilevazione delle presenze denominato “Time Relax”.

Trattasi, per quanto di stretto interesse in questa sede, di una delle poche pronunce di merito che affrontano ex professo il nodo della compatibilità fra strumenti di timbratura geolocalizzata e disciplina del controllo a distanza, e che lo fanno ribaltando l’esito amministrativo. La decisione tocca quattro questioni che il professionista della protezione dei dati incontra con frequenza crescente: la qualificazione dello strumento ai sensi dell’art. 4 della legge 20 maggio 1970, n. 300, richiamato dall’art. 114 del Codice; il valore del consenso del lavoratore quale base giuridica; la funzione e i requisiti dell’accordo sindacale; infine, e sullo sfondo, l’estensione dei poteri valutativi dell’Autorità di controllo rispetto a scelte organizzative e contrattuali del datore di lavoro.

Va detto in premessa che si tratta di pronuncia di primo grado, non definitiva, la cui portata sistematica deve essere misurata con la prudenza che compete a una decisione singola, resa su una piattaforma probatoria specifica e non ancora vagliata nei gradi successivi. Ciò nondimeno, l’articolazione della motivazione — e le divergenze che essa apre rispetto all’orientamento consolidato dell’Autorità — meritano un esame analitico, perché incidono direttamente sulle scelte di compliance che DPO e titolari sono chiamati a compiere oggi.

La vicenda: lavoro agile, tre sedi dichiarate e controlli a campione

La ricostruzione in fatto operata dal Tribunale è essenziale per comprendere l’esito. Una dipendente dell’Agenzia era autorizzata a prestare la propria attività in regime di lavoro agile, in forza di un accordo individuale che le consentiva di operare da tre distinti luoghi da lei stessa indicati, con impegno a rendere la prestazione esclusivamente da tali sedi. La rilevazione delle presenze era demandata all’applicativo “Time Relax”, il cui impiego, secondo quanto riportato in sentenza, era stato oggetto di confronto sindacale nella riunione di delegazione dell’8 giugno 2023 — verbalizzata con protocollo del 26 giugno 2023 — e in un successivo incontro del 27 maggio 2024, ed era stato recepito nella sezione dedicata al lavoro agile del Piano integrato di attività e organizzazione per il periodo 2024-2026, adottato con delibera del 31 gennaio 2024.

Nelle giornate del 23 e 25 gennaio 2024, in occasione di un controllo sul rispetto delle condizioni contrattuali del lavoro da remoto, veniva contestato alla dipendente di trovarsi in luoghi non compatibili con alcuna delle tre postazioni dichiarate, circostanza che la stessa ammetteva in sede di accertamento. Ne scaturivano un procedimento disciplinare — successivamente sospeso —, un esposto alla Procura della Repubblica, definito con decreto di archiviazione del giudice per le indagini preliminari, e infine il reclamo al Garante, presentato il 19 febbraio 2024, che conduceva all’ordinanza-ingiunzione oggetto di opposizione.

Il Tribunale dedica un paragrafo autonomo alla descrizione tecnica dell’applicativo, ritenendola premessa metodologica indispensabile. Secondo tale ricostruzione, il sistema opera come timbratura da remoto: rileva e registra le coordinate geografiche e la sede in cui il lavoratore si trova, unitamente a giorno e orario di ingresso e uscita, “ma solo al momento della timbratura”. Durante l’orario di servizio non vengono effettuate ulteriori rilevazioni, salvo che il datore attivi una verifica sull’effettiva esecuzione della prestazione: verifica che avviene in modo casuale, entro una fascia oraria di reperibilità, previa chiamata diretta del responsabile dell’unità organizzativa di controllo ispettivo, con invito al lavoratore a effettuare una doppia timbratura. Il sistema non registra altri dati e non opera oltre l’orario di servizio; l’accesso ai dati è riservato al dirigente di settore, alla postazione di timbratura, alla società proprietaria della piattaforma nella qualità di responsabile del trattamento e al responsabile del servizio ispettivo.

L’ordinanza-ingiunzione: la struttura dell’addebito

L’impianto del provvedimento sanzionatorio, per come riportato nella sentenza, si regge su una premessa qualificatoria e su una serie di conseguenze. La premessa è che l’applicativo integri uno strumento di monitoraggio “diretto, costante e indiscriminato” dell’attività del lavoratore, e che la finalità concretamente perseguita — verificare l’osservanza dell’obbligo di rendere la prestazione dalle sedi concordate — non sia riconducibile ad alcuna delle finalità tassative indicate dall’art. 4, comma 1, dello Statuto dei lavoratori.

Da qui il passaggio più netto della motivazione amministrativa, testualmente riportato: “le diverse esigenze di controllo dell’osservanza dei doveri di diligenza del lavoratore – che pure rientrano nelle prerogative datoriali se perseguite personalmente dal datore di lavoro o attraverso la propria organizzazione gerarchica (artt. 2086 e 2104 c.c.) – non possono invece essere perseguite con strumenti tecnologici a distanza, che, riducendo lo spazio di libertà e dignità della persona in modo meccanico e anelastico, comportano un monitoraggio diretto dell’attività del lavoratore non consentito dall’ordinamento vigente e dal quadro costituzionale”. Il controllo a distanza sull’attività — prosegue il provvedimento — è ammesso “solo incidentalmente, ossia in occasione del perseguimento di tali legittime finalità, così assumendo un carattere tipicamente indiretto e preterintenzionale“, con richiamo a Cassazione penale, sez. III, n. 22148/2017.

Ne discendono i corollari: l’irrilevanza dell’accordo sindacale, poiché “il perseguimento della predetta finalità di controllo diretto non è ammissibile nell’ordinamento neppure in presenza di un eventuale accordo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali”; l’irrilevanza del consenso del lavoratore quale presupposto di liceità; la violazione dei principi di limitazione della finalità, minimizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita; la sussistenza di un rischio elevato tale da imporre la valutazione d’impatto ai sensi dell’art. 35 del Regolamento, con richiamo alle Linee guida WP 248 del 4 aprile 2017 e al provvedimento del Garante 11 ottobre 2018, n. 467, che nell’elenco delle tipologie di trattamento soggette a valutazione d’impatto menziona espressamente i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (omissis) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”.

Il provvedimento, infine, indicava misure alternative meno invasive, quali “la redazione da parte del lavoratore di report periodici o documenti di sintesi in merito all’attività svolta oppure (omissis) momenti di confronto nei giorni di presenza in sede sugli obiettivi raggiunti in relazione a quelli assegnati”, con richiamo a una direttiva del 29 dicembre 2023 e alla direttiva della Presidenza del Consiglio dei ministri n. 3 del 2017.

Il quadro normativo di riferimento

Le basi giuridiche e i principi del Regolamento

Il trattamento di dati di posizione effettuato da un datore di lavoro pubblico richiede, come noto, la simultanea presenza di una base giuridica ai sensi dell’art. 6 del Regolamento e il rispetto dei principi dell’art. 5. Per un’amministrazione pubblica le basi realisticamente utilizzabili sono quelle di cui alle lettere c) ed e) del par. 1: l’adempimento di un obbligo legale e l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Il par. 3 richiede che tali basi siano stabilite dal diritto dell’Unione o dello Stato membro, e il par. 2 consente agli Stati membri di introdurre “disposizioni più specifiche” per adeguare l’applicazione del Regolamento.

In sostanza, il datore pubblico non “sceglie” liberamente la propria base giuridica: la rinviene in una norma dell’ordinamento che definisce finalità e limiti del trattamento. In termini più pragmatici, il fondamento del trattamento dei dati di presenza risiede nella disciplina del rapporto di lavoro pubblico e negli obblighi di rilevazione della prestazione; ciò che resta da verificare è se quella base giuridica si estenda fino a coprire l’acquisizione del dato di localizzazione.

Il rinvio dell’art. 88 e le norme di dettaglio del Codice

L’art. 88, par. 1, del Regolamento consente agli Stati membri di prevedere, “con legge o tramite contratti collettivi, norme più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro”, con espressa menzione, fra le finalità, dell'”esecuzione del contratto di lavoro” e della “gestione, pianificazione e organizzazione del lavoro”. Il par. 2 impone che tali norme comprendano “misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento (omissis) e i sistemi di monitoraggio sul posto di lavoro”.

Nell’ordinamento interno, tale rinvio si concretizza in due disposizioni del Codice. L’art. 113, rubricato “Raccolta di dati e pertinenza”, fa salvo quanto disposto dall’art. 8 dello Statuto dei lavoratori, che vieta al datore indagini su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore. L’art. 114, rubricato “Garanzie in materia di controllo a distanza”, stabilisce che “Resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300”. Ne consegue un dato strutturale spesso sottovalutato: il rispetto dell’art. 4 dello Statuto non è un adempimento giuslavoristico “parallelo” alla normativa sulla protezione dei dati, bensì una condizione interna di liceità del trattamento. La violazione dell’art. 4 si traduce, di per sé, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento.

A ciò si aggiunge l’art. 2-ter del Codice, che ammette il trattamento da parte di un’amministrazione pubblica “se necessario per l’adempimento di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri ad esse attribuiti”, precisando che tale esercizio non deve “arrecare un pregiudizio effettivo e concreto alla tutela dei diritti e delle libertà degli interessati”. [Nota redazionale: verificare l’esatta formulazione dell’art. 2-ter del Codice, con particolare riguardo all’inciso sul pregiudizio effettivo e concreto, prima della pubblicazione.]

L’art. 4 dello Statuto: la dicotomia fra primo e secondo comma

L’art. 4, comma 1, ammette l’impiego di impianti audiovisivi e altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, e subordina l’installazione all’accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali ovvero, in mancanza, all’autorizzazione della competente sede dell’Ispettorato nazionale del lavoro. Il comma 2 sottrae a tale regime “gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e (omissis) gli strumenti di registrazione degli accessi e delle presenze”. Il comma 3, comune a entrambe le ipotesi, condiziona l’utilizzabilità delle informazioni raccolte “a tutti i fini connessi al rapporto di lavoro” alla circostanza “che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196”.

La distinzione, in termini operativi, può essere ricondotta a due categorie tipologiche:

• gli strumenti di registrazione degli accessi e delle presenze in senso stretto — il tesserino, il tornello, l’applicativo che memorizza inizio e fine turno —, che ricadono nel comma 2 e non richiedono accordo sindacale né autorizzazione;
• gli strumenti dai quali derivi un controllo a distanza dell’attività lavorativa — geolocalizzazione continuativa, ricostruzione degli spostamenti, analisi comportamentale, misurazione della produttività —, che ricadono nel comma 1 e soggiacciono al doppio requisito di finalità tipica e di procedura autorizzativa.

La linea di confine, come si dirà, non è tracciata dal nome dello strumento ma dal suo funzionamento concreto.

La disciplina del lavoro agile e il pubblico impiego

L’art. 18 della legge 22 maggio 2017, n. 81 definisce il lavoro agile come “modalità di esecuzione del rapporto di lavoro subordinato stabilita mediante accordo tra le parti, anche con forme di organizzazione per fasi, cicli e obiettivi e senza precisi vincoli di orario o di luogo di lavoro, con il possibile utilizzo di strumenti tecnologici per lo svolgimento dell’attività lavorativa”. L’art. 21, comma 1, dispone che “L’accordo relativo alla modalità di lavoro agile disciplina l’esercizio del potere di controllo del datore di lavoro sulla prestazione resa dal lavoratore all’esterno dei locali aziendali nel rispetto di quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300”, mentre il comma 2 impone che l’accordo individui “le condotte, connesse all’esecuzione della prestazione lavorativa all’esterno dei locali aziendali, che danno luogo all’applicazione di sanzioni disciplinari”.

Il dato normativo è dunque chiaro nel rinviare, quanto ai controlli, alla disciplina statutaria: la specialità del lavoro agile non introduce un regime derogatorio, ma richiede che il potere di controllo sia disciplinato nell’accordo individuale e comunque contenuto entro i limiti dell’art. 4. Nel settore pubblico si innestano poi le fonti organizzative: le linee guida in materia di lavoro agile nelle amministrazioni pubbliche, la programmazione contenuta nel Piano integrato di attività e organizzazione e la contrattazione collettiva di comparto.

La ricostruzione del funzionamento come premessa metodologica

Il primo passaggio argomentativo del Tribunale è, in sé, condivisibile sul piano del metodo. Il giudice ha ritenuto necessario “fare preliminare chiarezza sulle modalità di funzionamento dell’applicativo”, per poi verificare se lo strumento, così come concretamente configurato, rientrasse nel comma 1 o nel comma 2 dell’art. 4. Tale impostazione trova conferma nella giurisprudenza di legittimità richiamata in sentenza, secondo cui la valutazione del regime giuridico applicabile dipende dal funzionamento effettivo dello strumento, a prescindere dalla denominazione o dalla qualificazione datane dal datore di lavoro (Cass. civ., sez. lav., 22 settembre 2021, n. 25732).

Sulla base di tale accertamento il Tribunale conclude che “Non sono, pertanto, stati rinvenuti elementi per ritenere, come invece reputa il Garante per la protezione dei dati personali, che il controllo subito dalla lavoratrice sia stato prolungato, costante, indiscriminato e invasivo”. La differenza rispetto alla timbratura in azienda consisterebbe unicamente nella “remotizzazione del sistema di verifica, che impone giocoforza l’istantanea ed estemporanea geolocalizzazione del dipendente”.

Si ritiene che qui risieda il vero fulcro della decisione, e insieme il suo punto di maggiore fragilità potenziale. La qualificazione dello strumento come “timbratura ibrida” discende da un accertamento di fatto: che il sistema rilevi la posizione solo al momento della vidimazione e in occasione delle verifiche a campione. Se tale accertamento è corretto, la conclusione sulla natura non continuativa del monitoraggio è coerente. Non si ha evidenza, dal testo della pronuncia, dell’acquisizione di una documentazione tecnica indipendente — ad esempio una relazione peritale, la documentazione del fornitore quale responsabile del trattamento, i log di sistema — che abbia consentito di verificare le funzionalità disponibili e non solo quelle dichiarate. Appare chiaro allo scrivente che, in materia di strumenti di controllo, l’accertamento delle capacità tecniche potenziali — e non solo dell’uso dichiarato — costituisca un profilo dirimente, tanto in sede ispettiva quanto in sede giudiziale.

Va segnalata, inoltre, una tensione interna al testo. L’ente ricorrente aveva dedotto che l’applicativo “non consente tecnicamente la conservazione di dati, né minuta, né massiva”; la ricostruzione del giudice afferma invece che il sistema “rileva, registra e conserva le coordinate geografiche e la sede in cui il lavoratore autorizzato al lavoro agile si trova”. Le due proposizioni non coincidono, e la sentenza non affronta il tema del periodo di conservazione delle coordinate né quello dei presupposti di cui all’art. 5, par. 1, lett. e), del Regolamento. Si tratta, secondo il parere di chi scrive, di un profilo che sarebbe stato meritevole di autonomo approfondimento, anche perché la contestazione del Garante investiva la conformità ai principi e non soltanto la base giuridica.

La qualificazione dello strumento e il precedente della “timbratura potenziata”

Il Tribunale richiama, quale precedente più prossimo, Cass. civ., sez. lav., 13 maggio 2016, n. 9904, secondo cui “La rilevazione dei dati di entrata ed uscita dall’azienda mediante un’apparecchiatura predisposta dal datore di lavoro (nella specie, un ‘badge’ elettronico idoneo a rilevare non solo la presenza ma anche le sospensioni, i permessi e le pause, ed a comparare nell’immediatezza i dati di tutti i dipendenti) ove sia utilizzabile anche in funzione di controllo a distanza del rispetto dell’orario di lavoro e della correttezza dell’esecuzione della prestazione, si risolve in un accertamento sul ‘quantum’ dell’adempimento, sicché è illegittima ai sensi dell’art. 4, comma 2, della l. n. 300 del 1970 se non concordata con le rappresentanze sindacali, ovvero autorizzata dall’ispettorato del lavoro”.

La lettura che il giudice ne trae è che i sistemi di timbratura “potenziati”, cioè idonei a registrare dati ulteriori rispetto alla mera alternativa presenza/assenza, non siano vietati in radice, ma richiedano i presupposti dell’art. 4. Di conseguenza — conclude il Tribunale — l’applicativo, pur assimilabile agli strumenti di rilevazione delle presenze del comma 2, presenta “potenzialità tecniche che suggeriscono (omissis) l’adozione del complesso di garanzie di cui al primo comma”, garanzie che l’Agenzia avrebbe in concreto osservato. Quanto alla finalità tipica, il giudice riconduce l’impiego dello strumento alle “esigenze organizzative e produttive”, escludendo invece che ricorrano la sicurezza del lavoro e la tutela del patrimonio aziendale.

Qui si colloca la divergenza sostanziale con l’Autorità. Per il Garante, la verifica dell’osservanza dell’obbligo di rendere la prestazione da una sede determinata è controllo “diretto” sulla diligenza, non riconducibile alle finalità tipiche; per il Tribunale, la medesima verifica è espressione dell’esigenza organizzativa e produttiva, e l’incidenza sull’attività del lavoratore resta incidentale.

Si ritiene che entrambe le letture siano argomentabili, ma che la questione non possa essere risolta in astratto. Il criterio distintivo elaborato dalla giurisprudenza — il carattere “preterintenzionale” del controllo sull’attività — presuppone che lo strumento sia installato per una finalità diversa dalla verifica della prestazione, e che il controllo su quest’ultima ne sia una conseguenza non ricercata. Nel caso in esame, la finalità dichiarata dell’attivazione della geolocalizzazione in occasione delle verifiche a campione — accertare che il lavoratore si trovi in una delle sedi dichiarate — appare, allo scrivente, difficilmente qualificabile come effetto collaterale: essa è, per l’appunto, l’oggetto immediato della verifica. Il che non conduce necessariamente all’illiceità, ma sposta il problema sul terreno della proporzionalità e della configurazione tecnica, più che su quello della radicale inammissibilità.

Il preteso sviamento di potere e i confini della competenza dell’Autorità

Il passaggio più originale — e più delicato — della motivazione è quello in cui il Tribunale ravvisa nell’ordinanza-ingiunzione un “eccesso di potere” e uno “sviamento di potere”. Secondo il giudice, “non rientra fra i poteri del Garante per la protezione dei dati personali valutare se il contratto di lavoro agile adottato (omissis) rientri o meno, e in che misura, nel modello legale di lavoro agile e se le concrete modalità di esecuzione della prestazione lavorativa siano o meno conformi al dettato normativo”, giacché il campo di indagine dell’Autorità sarebbe “la correttezza o meno della raccolta e del trattamento dei dati personali (omissis) a prescindere dalla validità o rispondenza normativa del contratto in cui si innesta”.

Il rilievo si salda a una critica di merito sulla nozione di lavoro agile: il Tribunale osserva che l’art. 18 della legge n. 81/2017 configura una modalità di esecuzione fondata sull’accordo delle parti e sulla flessibilità, e che il lavoro agile è “anche, e non solo o non necessariamente, quello svolto da casa (o luoghi diversi dall’ufficio e dall’azienda) e senza vincoli di orario o continuità temporale”. Ne consegue che, ove le parti abbiano pattuito l’obbligo di operare da sedi determinate, la verifica del rispetto di tale obbligo non può essere censurata assumendo un modello legale di lavoro agile diverso da quello concretamente adottato.

Sul punto si impongono due considerazioni distinte. La prima: l’argomento relativo alla configurabilità di un lavoro agile “con vincolo di luogo” appare, secondo il parere di chi scrive, testualmente fondato, poiché l’art. 18 usa la formula “anche con forme di organizzazione per fasi, cicli e obiettivi”, ammettendo dunque modelli diversi, e poiché l’art. 21 presuppone che l’accordo individui condotte rilevanti sul piano disciplinare, il che implica la verificabilità del loro rispetto.

La seconda: la qualificazione in termini di “sviamento di potere” suscita perplessità sul piano dogmatico e su quello processuale. Sul piano dogmatico, perché — come si è visto — l’art. 114 del Codice incorpora l’art. 4 dello Statuto fra le condizioni di liceità del trattamento, sicché la verifica del rispetto di quella disposizione rientra pienamente nei compiti dell’Autorità ai sensi dell’art. 57, par. 1, lett. a), del Regolamento; e poiché l’art. 88 del Regolamento assegna espressamente rilievo, ai fini della protezione dei dati, ai “sistemi di monitoraggio sul posto di lavoro”, la lettura delle regole giuslavoristiche non è un’incursione in campo altrui, ma un passaggio necessario dell’accertamento. Sul piano processuale, perché il giudizio di opposizione ai provvedimenti del Garante — regolato dall’art. 152 del Codice e dall’art. 10 del d.lgs. 1° settembre 2011, n. 150 — è un giudizio di merito sul rapporto sanzionatorio, nel quale il giudice ordinario riesamina la fondatezza della pretesa e non annulla l’atto per vizi di legittimità secondo le categorie proprie del sindacato amministrativo. In termini più pragmatici: l’esito — l’annullamento — sarebbe stato raggiungibile sulla base della sola diversa qualificazione dei fatti, senza ricorrere a categorie che, in quel rito, appaiono estranee.

Ciò detto, il nucleo di senso del rilievo giudiziale merita attenzione: esiste un confine, non sempre agevole da tracciare, fra la valutazione della proporzionalità del trattamento e la sostituzione dell’Autorità al datore nella scelta delle modalità organizzative del controllo. Il provvedimento, laddove indicava quali misure alternative i report periodici e i momenti di confronto in presenza, si è collocato — secondo la lettura del Tribunale — oltre quel confine. Si ritiene, per parte propria, che l’indicazione di misure meno invasive costituisca esercizio fisiologico del sindacato di necessità e proporzionalità, e sia anzi funzionale a rendere intelligibile il giudizio di eccedenza; resta però fondato il rilievo secondo cui tale indicazione, per essere persuasiva, deve confrontarsi con l’idoneità delle alternative rispetto alla specifica finalità perseguita, che nel caso di specie non era misurare il risultato, bensì verificare il luogo della prestazione.

Il consenso del lavoratore: il passaggio più discusso

Il Tribunale dedica un’articolata argomentazione alla rilevanza del consenso prestato dalla dipendente all’attivazione della geolocalizzazione. La tesi dell’irrilevanza del consenso discenderebbe, secondo il giudice, “da un’interpretazione esageratamente estensiva della normativa di protezione posta a tutela dei soggetti ‘deboli'”, che ridurrebbe i titolari dei diritti individuali “da soggetti attivi della contrattazione (omissis) a individui completamente passivi”. Il giudice aggiunge un argomento sistematico: se il consenso esplicito abilita, ai sensi dell’art. 9, par. 2, lett. a), del Regolamento, il trattamento di categorie particolari di dati, “a maggior ragione esso vale ad autorizzare la semplice geolocalizzazione, su consenso informato”. Viene infine richiamata Cass. civ., sez. lav., 24 novembre 2025, n. 30822, secondo cui “In tema di controllo a distanza, le informazioni raccolte tramite impianti audiovisivi autorizzati ai sensi dell’art. 4 della legge n. 300/1970 nel testo modificato dal D.Lgs. n. 151/2015, sono utilizzabili a tutti i fini connessi al rapporto di lavoro, inclusi quelli disciplinari, a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e dell’effettuazione dei controlli, e nel rispetto delle disposizioni dettate dal Codice in materia di protezione dei dati personali”.

Secondo il parere di chi scrive, questo è il segmento della motivazione che presenta le maggiori criticità, per tre ordini di ragioni.

In primo luogo, per una ragione terminologica che si riverbera sul piano sostanziale: la sentenza qualifica ripetutamente il lavoratore come “titolare dei dati trattati”, laddove il Regolamento denomina “interessato” la persona fisica cui i dati si riferiscono e riserva la qualifica di “titolare del trattamento” a chi determina finalità e mezzi. La sovrapposizione lessicale non è neutra, perché evoca uno schema proprietario-dispositivo del dato personale — rafforzato dal richiamo all’art. 5 c.c. in tema di atti di disposizione del proprio corpo — che il diritto europeo non accoglie: il consenso non è atto di disposizione di un bene, ma condizione di liceità revocabile in ogni momento ai sensi dell’art. 7, par. 3.

In secondo luogo, per una ragione di sistema. Il considerando 43 del Regolamento chiarisce che il consenso non costituisce valido presupposto di liceità qualora sussista un “evidente squilibrio tra l’interessato e il titolare del trattamento”, con specifico riferimento all’ipotesi in cui il titolare sia un’autorità pubblica. Su tale base si è formato l’orientamento del Gruppo di lavoro Articolo 29 nell’Opinione 2/2017 sul trattamento dei dati sul luogo di lavoro e, successivamente, quello del Comitato europeo per la protezione dei dati nelle Linee guida 05/2020 sul consenso, secondo cui nel contesto lavorativo il consenso è, di regola, inidoneo a fondare il trattamento per difetto del requisito della libertà. Vi si aggiunga che, per un’amministrazione pubblica, l’art. 2-ter del Codice indirizza il fondamento del trattamento verso il compito di interesse pubblico, e non verso il consenso.

In terzo luogo, per una ragione che attiene alla lettura del precedente di legittimità richiamato. La massima riportata in sentenza pone l’accento sull'”adeguata informazione” e sul rispetto del Codice, non sul consenso: l’art. 4, comma 3, dello Statuto configura per l’appunto un obbligo informativo, non un requisito di consenso. Si ritiene, dunque, che la pronuncia della Cassazione confermi la centralità della trasparenza — e in particolare degli obblighi di cui all’art. 13 del Regolamento — piuttosto che avvalorare la tesi del consenso quale base giuridica autonoma.

Va tuttavia riconosciuto che l’argomentazione del Tribunale contiene un nucleo pratico non liquidabile: nel lavoro agile la scelta della modalità di esecuzione della prestazione è, per definizione, oggetto di accordo individuale e presuppone un margine di autodeterminazione del lavoratore, che indica le sedi e aderisce volontariamente al regime. Il punto, allo scrivente, appare correttamente inquadrabile non in termini di consenso ex art. 6, par. 1, lett. a), bensì in termini di condizione contrattuale e organizzativa che concorre a definire la ragionevole aspettativa di riservatezza e, di conseguenza, il giudizio di proporzionalità. Diversa è, infatti, l’aspettativa di riservatezza rispetto al dato di localizzazione di chi ha assunto contrattualmente l’obbligo di operare da sedi determinate e ne è stato compiutamente informato.

L’accordo sindacale: forma, contenuto, collocazione temporale

Il Tribunale ritiene assorbita l’obiezione secondo cui non vi sarebbe mai stata contrattazione sindacale sull’uso dell’applicativo, richiamando i verbali di riunione, le note protocollate recanti in allegato “un prospetto esplicativo del funzionamento dell’applicativo e delle istruzioni per l’utilizzo” e il regolamento sul lavoro agile inserito nel Piano integrato di attività e organizzazione.

Il tema merita un supplemento di analisi, perché costituisce il profilo di maggiore ricaduta operativa. L’art. 4, comma 1, richiede un “accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali” e lo pone come condizione preventiva rispetto all’installazione dello strumento. Ne discendono tre requisiti che il DPO è chiamato a verificare: la natura di accordo — e non di mera informativa o di verbale di confronto —; la specificità dell’oggetto, che deve riguardare l’installazione e le modalità d’uso del determinato strumento; l’anteriorità rispetto all’attivazione.

Sul primo punto, non si ha evidenza, dal testo della sentenza, di una valutazione espressa circa la qualificazione dei verbali di delegazione trattante come accordi collettivi in senso tecnico. Sul terzo punto, si osserva che il verbale del 27 maggio 2024 — indicato in sentenza come atto che “confermava le modalità di svolgimento della prestazione lavorativa in modalità lavoro agile, ivi compresa la geolocalizzazione occasionale” — è successivo ai controlli del gennaio 2024. Un accordo o un chiarimento sopravvenuto non sana, secondo il parere di chi scrive, un difetto di legittimazione preventiva, ancorché possa concorrere a dimostrare la coerenza complessiva dell’assetto adottato. Sul secondo punto, l’inserimento della disciplina del lavoro agile in un atto di programmazione organizzativa — quale il Piano integrato di attività e organizzazione — assolve a una funzione di trasparenza organizzativa, ma non equivale, di per sé, alla stipula dell’accordo richiesto dall’art. 4.

Va infine ricordato che l’art. 4 prevede, in mancanza di accordo, il percorso alternativo dell’autorizzazione dell’Ispettorato nazionale del lavoro. Nella prassi applicativa dei sistemi di gestione, la scelta fra i due percorsi è spesso condizionata dalla struttura territoriale del titolare; per gli enti con articolazioni in più ambiti provinciali o regionali la disposizione individua rispettivamente le associazioni sindacali comparativamente più rappresentative sul piano nazionale e la sede centrale dell’Ispettorato.

Minimizzazione, protezione by design e valutazione d’impatto: i profili rimasti in ombra

Il Tribunale contesta l’affermazione del Garante secondo cui il trattamento avrebbe carattere “massivo e indiscriminato”, replicando che “il sistema opera una rilevazione molto specifica, precisa e circoscritta della posizione del dipendente solo al momento della timbratura”, e qualifica come “apodittico” e “ipotetico” il giudizio di sproporzione, osservando che l’Autorità sembrerebbe sanzionare “per ciò che potrebbe fare con il programma di controllo remoto, più che per quello che ha concretamente fatto”.

Il rilievo è, in linea di principio, corretto sotto il profilo del rispetto del principio di legalità in materia sanzionatoria: l’illecito si accerta sui trattamenti effettivamente posti in essere. Nondimeno, si ritiene che esso trascuri la peculiare struttura degli artt. 25 e 35 del Regolamento, che sono per definizione norme di rischio e di progettazione, e non di evento. L’art. 25, par. 1, impone di attuare misure tecniche e organizzative adeguate “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”; l’art. 25, par. 2, richiede che siano trattati per impostazione predefinita solo i dati necessari per ogni specifica finalità. L’art. 35 impone la valutazione d’impatto quando un trattamento “può presentare un rischio elevato”, con valutazione prognostica. In termini più concreti: la circostanza che una funzionalità invasiva non sia stata attivata non esclude la violazione dell’art. 25, se la configurazione predefinita del sistema la rendeva disponibile.

Proprio su questo terreno si colloca, secondo il parere di chi scrive, l’occasione argomentativa non colta dalla sentenza. La finalità dichiarata — verificare che il lavoratore si trovi in una delle tre sedi concordate — è tecnicamente perseguibile senza registrare le coordinate geografiche puntuali, mediante una verifica di corrispondenza che restituisca al titolare un esito binario, del tipo “posizione compatibile / non compatibile” con una delle sedi dichiarate, senza conservazione della localizzazione esatta. Una simile configurazione avrebbe consentito di raggiungere lo scopo riducendo drasticamente l’interferenza nella sfera privata, che è precisamente ciò che il Garante contestava richiamando l’acquisizione dell’informazione “relativa alla specifica località in cui temporaneamente l’interessata si trovava” e, con essa, l’art. 113 del Codice. In altri termini, il confronto fra le parti si è concentrato sull’an del controllo, mentre il terreno decisivo — quello del quomodo, ossia della configurazione dello strumento secondo i canoni della protezione dei dati fin dalla progettazione — è rimasto sullo sfondo.

Quanto alla valutazione d’impatto, la difesa dell’ente aveva sostenuto che essa “è stata eseguita in sede di accordo con le rappresentanze sindacali”. La sentenza non dedica a tale profilo un autonomo sviluppo motivazionale. Si ritiene che l’equazione fra confronto sindacale e valutazione d’impatto non sia sostenibile: l’art. 35, par. 7, richiede un contenuto minimo tipizzato — descrizione sistematica dei trattamenti, valutazione della necessità e proporzionalità, valutazione dei rischi per i diritti e le libertà, misure previste per affrontarli — e l’art. 35, par. 2, impone di consultare il responsabile della protezione dei dati. L’accordo sindacale e la valutazione d’impatto operano su piani distinti e non fungibili: il primo legittima l’installazione dello strumento sul piano giuslavoristico; la seconda documenta l’analisi del rischio sul piano dell’accountability ex art. 5, par. 2. Va aggiunto che il provvedimento del Garante n. 467 dell’11 ottobre 2018 include espressamente, nell’elenco delle tipologie di trattamento soggette a valutazione d’impatto, quelli effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici dai quali derivi la possibilità di controllo a distanza.

Archiviazione penale, cartella di pagamento e profili processuali

Il Tribunale liquida in poche righe il rilievo relativo al decreto di archiviazione emesso dal giudice per le indagini preliminari, affermando che esso “non rileva, se non ad colorandum”. La conclusione è coerente con i principi generali: il decreto di archiviazione non è sentenza e non produce effetti di giudicato nei giudizi civili o amministrativi, sicché l’accertamento dell’insussistenza di un illecito penale non preclude la contestazione di una violazione amministrativa in materia di protezione dei dati, che risponde a presupposti e a beni giuridici differenti.

Sul versante processuale, la vicenda presenta alcuni elementi di interesse pratico. Il giudizio di opposizione alla cartella di pagamento — emessa a seguito della sanzione — è stato riunito a quello di opposizione all’ordinanza-ingiunzione, con conseguente estensione alla cartella delle ragioni di merito accolte. L’agente della riscossione aveva eccepito il difetto di giurisdizione del giudice ordinario in favore di quello tributario, eccezione respinta con ordinanza resa a verbale: soluzione condivisibile, giacché la pretesa azionata ha natura di sanzione amministrativa non tributaria e la contestazione investe l’esistenza stessa del credito. Le spese sono state poste a carico dell’Autorità in ragione della soccombenza, e compensate nei confronti dell’agente della riscossione in considerazione del suo ruolo processuale. Il giudice ha inoltre motivato la maggiorazione della fase di studio “per via dell’assenza di riferimenti giurisprudenziali specifici e per la complessità della materia”: indicazione che, per quanto marginale, conferma la novità della questione.

Profili critici di sistema e portata della pronuncia

Alcune considerazioni di sintesi si impongono.

La prima riguarda l’effetto della decisione sull’assetto della compliance. Una sentenza di primo grado che annulla un provvedimento sanzionatorio non modifica l’orientamento dell’Autorità, che continua a costituire il parametro di riferimento nell’attività di controllo. Il titolare che assumesse la pronuncia quale autorizzazione generalizzata all’impiego della geolocalizzazione per la verifica delle presenze in lavoro agile si esporrebbe, secondo il parere di chi scrive, a un rischio significativo, tanto più che la ratio decidendi è fortemente ancorata alla specifica configurazione tecnica accertata e all’articolato corredo documentale prodotto dall’ente.

La seconda riguarda il rapporto fra qualificazione giuslavoristica e disciplina della protezione dei dati. La sentenza mostra come, nel contenzioso in materia, l’esito dipenda in misura decisiva dalla ricostruzione in fatto del funzionamento dello strumento. Ne discende un’indicazione metodologica: la documentazione tecnica — architettura del sistema, dati effettivamente raccolti, tempi di conservazione, profili di accesso, log delle interrogazioni — costituisce il vero fascicolo probatorio del titolare, e la sua assenza o genericità pregiudica ogni difesa, sia in sede di istruttoria dinanzi all’Autorità sia in sede giudiziale.

La terza riguarda una divergenza interpretativa che resta aperta e che il legislatore, non l’interprete, potrebbe essere chiamato a comporre: se la verifica del rispetto del vincolo di luogo, laddove pattuito nell’accordo individuale di lavoro agile, rientri fra le “esigenze organizzative e produttive” dell’art. 4, comma 1, ovvero costituisca controllo diretto sulla diligenza, come tale precluso. L’art. 21 della legge n. 81/2017, nel prevedere che l’accordo individui le condotte rilevanti sul piano disciplinare, presuppone una qualche forma di verificabilità; ma non chiarisce con quali strumenti essa possa essere condotta. Si ritiene che l’assenza di una disciplina di dettaglio — o di linee guida condivise fra Autorità di controllo e amministrazione del lavoro — sia all’origine di buona parte dell’incertezza applicativa oggi rilevabile.

Indicazioni operative per DPO, titolari pubblici e privati

Ferma la specificità del caso, la vicenda consente di isolare un insieme di adempimenti verificabili, utili tanto nella progettazione di nuovi sistemi quanto nella revisione di quelli esistenti.

La qualificazione funzionale dello strumento: prima di ogni altra valutazione occorre documentare che cosa il sistema fa e che cosa può fare, distinguendo le funzionalità attivate da quelle disponibili ma disattivate. La verifica va condotta su base documentale — scheda tecnica del fornitore, manuale di configurazione, evidenza dei parametri impostati — e non sulla sola denominazione commerciale del prodotto, secondo il criterio di metodo affermato da Cass. n. 25732/2021.

La scelta consapevole fra comma 1 e comma 2 dell’art. 4: ove residui un margine di dubbio sulla riconducibilità dello strumento ai meri dispositivi di registrazione degli accessi e delle presenze, si suggerisce di adottare in via prudenziale il regime più garantista del comma 1, attivando l’accordo sindacale o, in mancanza, il procedimento autorizzativo dinanzi all’Ispettorato nazionale del lavoro. L’adozione volontaria delle garanzie rafforzate è stata valorizzata, nel caso in esame, come indice di correttezza dell’operato del titolare.

L’anteriorità e specificità dell’accordo: l’accordo collettivo deve precedere l’attivazione dello strumento e avere ad oggetto quello specifico sistema, con indicazione delle finalità, dei dati trattati, delle modalità e della frequenza dei controlli, dei soggetti abilitati e dei tempi di conservazione. Un verbale di confronto sindacale privo di tali elementi, ovvero sopravvenuto rispetto all’avvio del trattamento, espone il titolare a una contestazione difficilmente superabile.

La base giuridica formalizzata e non affidata al consenso: per il datore di lavoro — a maggior ragione se pubblico — la base giuridica va individuata nell’art. 6, par. 1, lett. c) o e), del Regolamento, in combinato con l’art. 2-ter del Codice e con la disciplina del rapporto di lavoro. Il consenso dell’interessato, alla luce del considerando 43 e delle Linee guida 05/2020 del Comitato europeo per la protezione dei dati, non costituisce fondamento affidabile; si suggerisce di non costruire l’architettura di conformità su di esso, pur potendo l’adesione volontaria al regime di lavoro agile essere valorizzata nel giudizio di proporzionalità.

L’informativa specifica ai sensi dell’art. 13: le note organizzative e i prospetti esplicativi sul funzionamento dell’applicativo assolvono all’obbligo di “adeguata informazione” di cui all’art. 4, comma 3, dello Statuto, ma non sostituiscono l’informativa privacy, che deve indicare titolare e dati di contatto del responsabile della protezione dei dati, finalità e base giuridica, categorie di destinatari, periodo di conservazione, diritti dell’interessato e diritto di reclamo. Si suggerisce di conservare evidenza della consegna e della data.

La valutazione d’impatto autonoma e documentata: la valutazione ai sensi dell’art. 35 va redatta come documento a sé stante, con il contenuto minimo del par. 7 e con la consultazione documentata del responsabile della protezione dei dati ai sensi del par. 2. Il confronto sindacale non è surrogato della valutazione d’impatto; la loro sovrapposizione, ricorrente nella prassi, costituisce una delle carenze più frequentemente rilevate.

La minimizzazione tecnica e privacy by design: si suggerisce di privilegiare architetture che restituiscano l’esito della verifica anziché il dato di posizione — ad esempio la sola indicazione di compatibilità con una delle sedi dichiarate —, ovvero che applichino tecniche di riduzione della precisione, e di documentare nella valutazione d’impatto le alternative considerate e le ragioni della scelta.

Le politiche di conservazione e cancellazione: occorre definire e implementare tecnicamente un tempo di conservazione differenziato per il dato di posizione, di regola più breve di quello del dato di presenza, con cancellazione automatica e verifica periodica dell’effettivo funzionamento della procedura.

Il governo dei ruoli e delle abilitazioni: il fornitore della piattaforma va designato responsabile del trattamento ai sensi dell’art. 28, con atto giuridico che disciplini istruzioni, sub-responsabili, assistenza al titolare e cancellazione dei dati a fine rapporto. Le abilitazioni di accesso vanno limitate ai profili strettamente necessari e tracciate mediante registrazione degli accessi.

La disciplina dell’uso a fini sanzionatori: l’utilizzabilità delle informazioni “a tutti i fini connessi al rapporto di lavoro” presuppone il rispetto del comma 3 dell’art. 4 e delle disposizioni del Codice. Si suggerisce di formalizzare in una procedura interna i presupposti di attivazione della verifica a campione, la relativa tracciatura e le modalità di contestazione, evitando che l’accesso ai dati avvenga in via estemporanea e non documentata.

Conclusioni

La pronuncia del Tribunale di Cosenza si colloca in una zona di frizione fra due impostazioni che il diritto vivente non ha ancora composto. Da un lato, l’orientamento dell’Autorità di controllo, che legge l’art. 4 dello Statuto come sbarramento rispetto a ogni forma di verifica tecnologica direttamente preordinata al riscontro dell’adempimento, e che nel lavoro agile valorizza l’attenuazione dei confini fra sfera professionale e sfera privata quale ragione di rafforzamento della tutela. Dall’altro, la lettura del giudice ordinario, che ancora la qualificazione dello strumento al suo funzionamento concreto, riconosce cittadinanza al lavoro agile con vincolo di luogo pattuito e assegna rilievo all’adesione informata del lavoratore quale elemento del giudizio di proporzionalità.

Restano aperte, allo stato, alcune questioni puntuali. La prima concerne l’idoneità dei verbali di delegazione trattante nel pubblico impiego a integrare l’accordo collettivo richiesto dall’art. 4, comma 1, e la rilevanza dell’anteriorità di tale accordo rispetto all’attivazione dello strumento: profilo che, nel caso esaminato, la sentenza ha risolto in fatto, ma che merita approfondimento sistematico. La seconda concerne il coordinamento fra la disciplina del controllo a distanza e la funzione dell’accordo individuale di lavoro agile ai sensi dell’art. 21 della legge n. 81/2017: se l’accordo deve individuare le condotte disciplinarmente rilevanti connesse all’esecuzione della prestazione all’esterno dei locali aziendali, occorre chiarire con quali strumenti — e con quali garanzie — il rispetto di quelle prescrizioni possa essere verificato. La terza concerne il rapporto fra accertamento dell’illecito e struttura prognostica degli artt. 25 e 35 del Regolamento: la contestazione di una configurazione tecnica potenzialmente eccedente, ancorché non pienamente utilizzata, richiede una motivazione che espliciti il nesso fra funzionalità disponibili e rischio per gli interessati, e la giurisprudenza di merito appare, sul punto, ancora in formazione.

Una prospettiva evolutiva merita infine una segnalazione. Ove sistemi di rilevazione e verifica della prestazione incorporino componenti di “intelligenza artificiale” — ad esempio per l’analisi automatizzata dei dati di presenza o per la generazione di segnalazioni di anomalia —, al quadro sin qui descritto si aggiungeranno gli obblighi del regolamento (UE) 2024/1689, che nell’Allegato III include fra i sistemi ad alto rischio quelli destinati all’occupazione e alla gestione dei lavoratori, e che all’art. 26, par. 7, impone ai deployer datori di lavoro di informare i rappresentanti dei lavoratori e i lavoratori interessati prima della messa in servizio. La sovrapposizione fra art. 4 dello Statuto, artt. 35 e 88 del Regolamento generale e obblighi informativi del regolamento sull’intelligenza artificiale configurerà un adempimento a più livelli, che appare opportuno progettare in modo unitario sin dalla fase di selezione del fornitore, anziché ricostruire ex post in sede di contestazione.