Il Garante per la protezione dei dati personali, con il provvedimento n. 135 del 13 marzo 2025, ha dichiarato l’illiceità del trattamento dei dati di geolocalizzazione dei dipendenti pubblici in smart working effettuato da ARSAC tramite l’applicativo “Time Relax”. Il caso solleva importanti questioni giuridiche in merito ai limiti del potere datoriale nella gestione del lavoro agile, all’uso delle tecnologie di controllo e alla tutela dei diritti fondamentali del lavoratore. L’intervento dell’Autorità ribadisce il ruolo centrale dei principi di proporzionalità, minimizzazione e liceità nel trattamento dei dati personali, anche in ambito pubblico. La decisione costituisce un rilevante precedente nell’evoluzione del bilanciamento tra efficienza amministrativa e dignità della persona che lavora.
- Introduzione
La crescente diffusione del lavoro agile nella pubblica amministrazione ha comportato un radicale mutamento delle modalità organizzative e gestionali del rapporto di lavoro, ponendo nuove sfide interpretative per la tutela della riservatezza del lavoratore. In questo scenario, il caso ARSAC – oggetto del provvedimento n. 135 del 13 marzo 2025 del Garante per la protezione dei dati personali – rappresenta un momento di svolta nell’affermazione dei limiti giuridici all’uso delle tecnologie di controllo, come la geolocalizzazione. L’Autorità ha sanzionato l’Azienda per l’illegittima raccolta e utilizzazione dei dati relativi alla posizione geografica dei dipendenti pubblici in modalità agile, ritenendola contraria ai principi cardine del Regolamento (UE) 2016/679 e al Codice della privacy. L’analisi del caso consente di riflettere sui criteri di liceità e proporzionalità del trattamento in ambito lavorativo e sul ruolo dell’ordinamento nel garantire un equilibrio tra potere organizzativo datoriale e diritti fondamentali del lavoratore.
- Geolocalizzazione dei dipendenti in smart working e tutela della riservatezza: il monito del Garante Privacy al caso ARSAC
L’avvento del lavoro agile nella pubblica amministrazione ha accelerato un profondo ripensamento delle forme di controllo e organizzazione della prestazione lavorativa. In questo mutato contesto, le esigenze di efficienza gestionale si sono spesso confrontate con il perimetro costituzionale e legislativo di tutela della persona che lavora. Una recente pronuncia del Garante per la protezione dei dati personali – provvedimento n. 135 del 13 marzo 2025 – ha chiarito i limiti invalicabili alla geolocalizzazione dei lavoratori pubblici, dichiarando l’illiceità del trattamento dei dati personali effettuato dall’Azienda Regionale per lo Sviluppo dell’Agricoltura Calabrese (ARSAC) mediante l’applicativo “Time Relax”. Il provvedimento, frutto di un’articolata istruttoria avviata a seguito di reclamo e segnalazione da parte della Presidenza del Consiglio dei ministri, rappresenta una pietra miliare nell’interpretazione del rapporto tra potere direttivo del datore pubblico e diritti fondamentali del lavoratore, specie nei contesti resi opachi dalla digitalizzazione del rapporto di lavoro.
Secondo quanto accertato dal Garante, ARSAC ha adottato un sistema di controllo che, sotto il pretesto della gestione del lavoro agile, prevedeva la sistematica rilevazione della posizione geografica dei dipendenti attraverso la piattaforma digitale “Time Relax”. La raccolta dei dati di geolocalizzazione avveniva, in particolare, in due modalità: da un lato, in via ordinaria, all’atto della timbratura in entrata e in uscita, richiesta anche per la fruizione di permessi; dall’altro, in via mirata, mediante controlli casuali attivati dal servizio ispettivo interno, con inviti telefonici al lavoratore per effettuare la doppia timbratura accompagnata da autodichiarazione del luogo fisico in cui la prestazione veniva resa. Tali informazioni, incrociate tra di loro, erano poi trasmesse all’organo direttivo e talora utilizzate per contestazioni disciplinari, come avvenuto nel caso oggetto di reclamo. In difesa del proprio operato, l’Azienda ha sostenuto la liceità del trattamento sulla base di un accordo con le rappresentanze sindacali, di una deliberazione amministrativa generale interna, del consenso manifestato dai lavoratori interessati, nonché dell’asserita funzione organizzativa, produttiva e di sicurezza perseguita attraverso l’uso della geolocalizzazione.
Il Garante, con un’ampia motivazione in diritto, ha tuttavia escluso la liceità del trattamento svolto da ARSAC, affermando con nettezza l’inidoneità delle basi giuridiche invocate. Innanzitutto, è stato ribadito che il consenso del lavoratore non può mai considerarsi liberamente prestato nell’ambito del rapporto di lavoro, alla luce dell’asimmetria contrattuale esistente e dei principi consolidati a livello europeo e nazionale. Inoltre, l’accordo sindacale e il regolamento aziendale – pur se esistenti – non sono strumenti in grado di derogare alla disciplina primaria dettata dal Regolamento (UE) 2016/679 (GDPR) e dal Codice della privacy (d.lgs. 196/2003), specialmente in assenza di un’autorizzazione dell’Ispettorato del lavoro come prescritta dall’art. 4 dello Statuto dei lavoratori per l’uso di strumenti dai quali possa derivare un controllo a distanza. Non è infatti sufficiente che il trattamento sia motivato da esigenze genericamente organizzative, poiché lo stesso deve essere finalizzato in modo esclusivo e specifico alla tutela del patrimonio aziendale, della sicurezza sul lavoro o alla soddisfazione di imprescindibili esigenze produttive, in assenza delle quali il trattamento diventa sproporzionato, invasivo e, in definitiva, illegittimo. Il caso ARSAC ha evidenziato come il datore di lavoro abbia deliberatamente adottato un sistema tecnologico con funzionalità primariamente orientate al monitoraggio della posizione lavorativa, compromettendo il principio di minimizzazione dei dati e operando una raccolta sistematica, indiscriminata e non necessaria, in violazione del principio di proporzionalità.
Una delle violazioni più gravi contestate dall’Autorità ha riguardato la mancata effettuazione di una valutazione d’impatto ex art. 35 GDPR, la quale, se realizzata, avrebbe dovuto far emergere i rischi specifici derivanti dalla geolocalizzazione nel contesto lavorativo, in particolare alla luce della vulnerabilità del lavoratore pubblico e dell’intreccio tra vita personale e lavorativa tipico dello smart working. L’Azienda non solo ha omesso di svolgere tale valutazione, ma ha anche trascurato i principi di “privacy by design” e “privacy by default”, trascurando la predisposizione di misure idonee a garantire la tutela effettiva della riservatezza e dei diritti fondamentali. Sotto altro profilo, la documentazione trasmessa in sede di istruttoria non è risultata idonea a soddisfare i requisiti informativi imposti dall’art. 13 del Regolamento, in quanto mancava una specifica informativa sul trattamento della geolocalizzazione e sulle sue finalità. In tal modo, è stato compromesso anche il principio di trasparenza nei confronti degli interessati, rendendo opaco l’esercizio di poteri datoriali fortemente invasivi. Ancora più rilevante è stato l’utilizzo illecito, da parte dell’Azienda, dei dati geolocalizzati a fini disciplinari, in violazione dell’art. 2-decies del Codice, che stabilisce il principio di inutilizzabilità dei dati raccolti in violazione delle disposizioni vigenti. È stato accertato, infatti, che i dati ricavati dal sistema Time Relax sono stati utilizzati per avviare un procedimento disciplinare contro una dipendente, sulla base della discordanza tra la posizione registrata e quella autorizzata. Anche in questo caso, il Garante ha precisato che eventuali sanzioni disciplinari possono fondarsi solo su dati raccolti lecitamente e in presenza di un’idonea base giuridica, nel rispetto del principio di limitazione della finalità.
La decisione dell’Autorità si pone nel solco di un orientamento ormai consolidato, nazionale ed europeo, volto a ribadire la necessità di un bilanciamento proporzionato tra le prerogative datoriali e i diritti fondamentali del lavoratore. L’impiego delle tecnologie, soprattutto in ambito pubblico, non può tradursi in una forma occulta o surrettizia di sorveglianza del dipendente, specie se attuata in modo sistematico e con strumenti che consentono una precisa ricostruzione della sua localizzazione fisica, potenzialmente interferente con la sfera privata e familiare. Né può accettarsi che l’autonomia regolamentare dell’amministrazione, anche se accompagnata da forme di partecipazione sindacale, si trasformi in un ambito di legittimazione di trattamenti che alterano l’equilibrio tra poteri organizzativi e dignità personale del lavoratore. Al contrario, il rispetto delle fonti sovraordinate, in particolare il Regolamento UE, rappresenta un vincolo non derogabile neppure in presenza di accordi o regolamenti interni.
In ragione delle plurime violazioni riscontrate – tra cui gli artt. 5, 6, 13, 25, 35 e 88 del Regolamento e l’art. 113 del Codice – il Garante ha irrogato una sanzione amministrativa pecuniaria pari a 50.000 euro, ritenendola proporzionata rispetto alla gravità dei fatti, alla durata del trattamento, al numero degli interessati coinvolti e alla natura intrinsecamente delicata dei dati trattati. La sanzione, pur tenendo conto di alcune circostanze attenuanti (cooperazione dell’Azienda, interruzione del trattamento, assenza di precedenti), assume un rilevante valore deterrente, anche per la sua pubblicazione obbligatoria sul sito istituzionale dell’Autorità. La pronuncia in esame riafferma con forza che la transizione verso modelli organizzativi digitali non può mai avvenire in deroga ai principi fondamentali dell’ordinamento, primo fra tutti il diritto alla protezione dei dati personali, che si configura quale presidio essenziale della libertà individuale anche nell’ambiente lavorativo. La tecnologia, in quanto strumento, deve essere progettata ed utilizzata con finalità chiare, proporzionate e rispettose della dignità della persona, specialmente quando si applica in contesti pubblici in cui la fiducia tra istituzione e cittadino-lavoratore costituisce il fondamento della legittimità dell’azione amministrativa.
- Conclusione
Il provvedimento adottato dal Garante nel caso ARSAC segna una tappa significativa nell’evoluzione dell’interprete pubblico della protezione dei dati, riaffermando che l’utilizzo delle tecnologie digitali nel contesto lavorativo deve sempre rispettare i principi costituzionali e sovranazionali in tema di dignità, libertà e riservatezza. L’illiceità del trattamento mediante sistemi di geolocalizzazione sistematica, nonostante il consenso del dipendente o la stipula di accordi sindacali, evidenzia l’irrinunciabile primato delle fonti di rango superiore e la necessità di garantire la legalità sostanziale dell’azione amministrativa. Il principio di minimizzazione, il divieto di controllo diretto e la necessità di un’idonea base giuridica restano capisaldi inviolabili. La pronuncia costituisce un monito per tutte le amministrazioni pubbliche: la transizione digitale, per quanto necessaria, non può prescindere dal rispetto dei diritti fondamentali della persona.
