Garante Privacy vieta monitoraggio geolocalizzazione dipendenti in smart working nuove regole e tutela dati personali

le ragioni del divieto alla geolocalizzazione in smart working

Il Garante per la protezione dei dati personali ha chiarito in modo inequivocabile che l’utilizzo della geolocalizzazione per monitorare i dipendenti durante lo smart working costituisce una violazione sostanziale della loro privacy e dignità. La fondamentale motivazione alla base di questo divieto risiede nella natura dei sistemi di controllo tecnologico che, se impiegati in modo indiscriminato o meccanico, determinano un monitoraggio diretto e costante dell’attività lavorativa, limitando ingiustificatamente la libertà personale del lavoratore.

Questa restrizione si fonda su principi costituzionali e normativi consolidati, in particolare sul rispetto dello Statuto dei lavoratori (L. 300/1970) e sul quadro europeo del GDPR. La legge stabilisce che ogni forma di controllo a distanza deve essere improntata a criteri di necessità, proporzionalità e trasparenza, nonché limitata ai soli casi in cui sussistano esigenze organizzative, produttive, di sicurezza sul lavoro o di tutela del patrimonio aziendale. Qualsiasi forma di tracciamento continuativo che ecceda queste finalità specifiche è quindi da considerarsi illegittima.

In particolare, il Garante ha evidenziato come la geolocalizzazione sistematica dei lavoratori attivati in modalità agile produce un effetto di compressione della sfera privata e mette a rischio la dignità del dipendente, configurando una forma di controllo diretto del lavoratore che non è consentita dal nostro ordinamento. Inoltre, l’utilizzo di tecnologie invasive senza un chiaro e specifico motivo autorizzato comporta un trattamento dei dati personali che viola i principi fondamentali di minimizzazione e limitazione delineati dal Regolamento europeo sul trattamento dati personali (GDPR).

Risulta pertanto imprescindibile che ogni intervento di monitoraggio, anche nei contesti digitali e da remoto, rispetti l’equilibrio tra le esigenze aziendali e la tutela dei diritti fondamentali delle persone, evitando prassi che si traducano in una sorveglianza indiscriminata o automatica. In assenza di questi requisiti, il datore di lavoro si espone a sanzioni severe e a possibili contenziosi sia di carattere amministrativo che giuslavoristico.

il caso e il reclamo dei dipendenti

Il caso sottoposto all’attenzione del Garante della privacy riguarda il trattamento illecito dei dati di geolocalizzazione effettuato da un’Azienda regionale per lo sviluppo e per i servizi in agricoltura (ARSAC), coinvolgendo circa cento lavoratori in smart working. Le criticità sono emerse grazie al reclamo di una dipendente, supportato inoltre da una segnalazione dell’Ispettorato della Funzione Pubblica. Il fulcro del contendere è il metodo di controllo adottato, che ha previsto il monitoraggio costante della posizione territoriale del personale tramite strumenti tecnologici utilizzati durante l’intero arco dell’attività lavorativa agile.

Dall’istruttoria è emerso che all’interno dell’azienda venivano richieste timbrature di entrata e uscita su una piattaforma denominata Timerelax, abbinate all’invio di email confermative per controllare la congruenza tra la posizione geografica rilevata e quella autorizzata dall’accordo individuale di smart working. Nel caso specifico, la lavoratrice ha segnalato che la posizione geografica rilevata risultava incompatibile con i termini contrattuali, trovandosi a diversi chilometri dalla sede concordata, circostanza riscontrata anche dalla stessa azienda durante le verifiche via mappa digitale.

Il reclamo ha evidenziato come tale sistema di monitoraggio diretto e continuativo avesse effetti invasivi sulla libertà personale e sulla dignità del dipendente, alimentando un clima di controllo serrato e automatizzato, non previsto né giustificato dalla legge. L’azienda ha poi intrapreso un procedimento disciplinare nei confronti della dipendente, complicando ulteriormente la situazione e dando origine all’intervento del Garante.

Ciò ha portato l’Autorità a esaminare nel dettaglio le modalità di raccolta e trattamento dei dati di geolocalizzazione, accertando l’assenza di una base giuridica adeguata e la violazione dei principi del GDPR, in particolare quelli di minimizzazione dei dati e di limitazione della finalità del trattamento. La documentazione allegata al reclamo ha così permesso di ricostruire con precisione le dinamiche e le criticità della prassi adottata dalla società coinvolta.

le conseguenze e la sanzione per l’azienda

Le conseguenze per l’azienda coinvolta sono state immediate e significative. Il Garante per la protezione dei dati personali ha accertato che l’impiego indiscriminato della geolocalizzazione durante lo smart working ha comportato una violazione palese dei principi di proporzionalità, necessità e minimizzazione dei dati, fondamentali nel trattamento delle informazioni personali. Tale illecito si è tradotto nell’irrogazione di una sanzione amministrativa pecuniaria di 50.000 euro, a titolo di sanzione effettiva per la violazione delle norme sulla privacy.

La struttura aziendale è stata richiamata formalmente per aver posto in atto un sistema di controllo diretto e meccanico, perpetrato mediante l’uso continuo della piattaforma Timerelax, che consentiva di tracciare in tempo reale la posizione geografica dei dipendenti, al di fuori delle condizioni contrattuali concordate. Questo comportamento è stato giudicato lesivo della libertà e della dignità delle persone, configurandosi come una forma di sorveglianza diffusa non ammessa dalla normativa vigente.

Inoltre, la sanzione sottolinea il rischio concreto di ripercussioni legali e disciplinari che possono derivare dall’adozione di procedure di controllo invasive, soprattutto in assenza di un adeguato inquadramento normativo e delle necessarie garanzie. A seguito del provvedimento del Garante, le aziende sono invitate a rivedere i propri protocolli di monitoraggio, assicurandosi che ogni attività di raccolta dati risponda esclusivamente a esigenze legittime di sicurezza, organizzazione o tutela del patrimonio, e che siano rispettate tutte le misure di trasparenza e garanzia previste dalla legge.

In ultima analisi, il provvedimento ribadisce che lo smart working non può trasformarsi in uno strumento di controllo totalizzante e digitale, ma deve essere gestito nel pieno rispetto del quadro giuridico che tutela la persona e i suoi dati personali, limitando al minimo indispensabile ogni forma di monitoraggio.