Ordinanza ingiunzione o revoca n. 135 del 13/03/2025

ARSAC – geolocalizzazione dei dipendenti in lavoro agile e uso disciplinare dei dati

Il Garante ha esaminato il reclamo di una dipendente di ARSAC e una segnalazione del Dipartimento della Funzione Pubblica relativi all’uso dell’applicativo Time Relax per geolocalizzare i lavoratori in modalità agile. Il procedimento ha riguardato sia i controlli ordinari sulla timbratura sia un controllo mirato conclusosi con una contestazione disciplinare.

Origine del procedimento e fatti esaminati

Il reclamo lamentava che, durante verifiche svolte nei giorni indicati negli atti, l’Azienda avesse richiesto alla dipendente di effettuare timbrature tramite l’applicativo e di inviare una mail per indicare il luogo in cui si trovava, così da confrontarlo con la località prevista nell’accordo di lavoro agile. La segnalazione del Dipartimento della Funzione Pubblica riferiva analoghe pratiche di localizzazione dei dispositivi utilizzati dai dipendenti in smart working.

Nel corso dell’istruttoria, ARSAC ha dichiarato che:

• il controllo avveniva nei giorni e nelle fasce orarie di contattabilità;
• la timbratura da remoto richiedeva il consenso alla geolocalizzazione;
• i dati venivano confrontati con i luoghi previsti dagli accordi individuali;
• i controlli mirati erano casuali e seguiti da un verbale inviato al direttore generale.

Trattamento dei dati e uso dell’applicativo Time Relax

L’istruttoria ha accertato che, dal momento di adozione della delibera aziendale e del regolamento sul lavoro agile fino alla disattivazione della funzione, ARSAC ha acquisito, al momento della timbratura in entrata e in uscita, le coordinate geografiche del dispositivo del dipendente, insieme a codice identificativo, data e ora. Il dato era utilizzato per verificare se il lavoratore si trovasse in una delle sedi consentite dall’accordo di lavoro agile.

Il trattamento avveniva in due modalità:

• in via generale, a ogni timbratura quotidiana, anche in occasione di permessi;
• in via mirata, con controlli casuali su specifici dipendenti, preceduti da contatto telefonico e seguiti da richiesta di dichiarazione via email del luogo esatto in cui il dipendente si trovava.

Valutazioni del Garante sulla liceità del controllo

Il Garante ha ritenuto che il trattamento fosse finalizzato a un controllo diretto sulla posizione geografica del lavoratore e, quindi, sull’osservanza della prestazione in modalità agile, finalità non consentita dall’ordinamento. Ha richiamato:

• l’art. 4 della l. 300/1970, applicabile anche al lavoro agile tramite l’art. 21 della l. 81/2017;
• gli artt. 88 e 114 del Codice privacy;
• i principi europei e nazionali sui controlli a distanza, che consentono solo controlli incidentali e non diretti o sistematici.

L’Autorità ha escluso che l’accordo sindacale, il regolamento aziendale o l’atto amministrativo interno potessero costituire base sufficiente per introdurre un controllo della geolocalizzazione finalizzato alla verifica della sede di lavoro effettiva. Ha inoltre ribadito che il consenso del dipendente non è un valido presupposto di liceità nel contesto lavorativo, per l’asimmetria del rapporto e la disciplina dell’art. 7 GDPR.

Ulteriori violazioni accertate

Il Garante ha individuato ulteriori profili di illiceità:

• mancata base giuridica idonea: violazione degli artt. 5 e 6 GDPR;
• limitazione della finalità: il dato era raccolto per un controllo non consentito e poi usato anche in chiave disciplinare;
• minimizzazione: la raccolta della posizione geografica è stata ritenuta non pertinente e non necessaria rispetto alle finalità del lavoro agile;
• privacy by design e by default: non risultava adottata una progettazione che limitasse il trattamento ai dati strettamente necessari;
• informativa insufficiente: la documentazione aziendale non sostituiva l’informativa ex art. 13 GDPR;
• mancata valutazione d’impatto: il trattamento, per natura e contesto, presentava un rischio elevato e richiedeva una DPIA ex art. 35 GDPR.

Il Garante ha anche osservato che la geolocalizzazione poteva incidere sulla sfera privata del dipendente, soprattutto nel lavoro agile, e che l’eventuale esigenza di sicurezza avrebbe dovuto essere soddisfatta con istruzioni organizzative e misure tecniche meno invasive.

Uso dei dati a fini disciplinari

Per quanto riguarda il procedimento disciplinare avviato nei confronti della reclamante, il Garante ha rilevato che i dati di geolocalizzazione erano stati acquisiti proprio mediante il trattamento illecito e poi richiamati nella contestazione dell’addebito, con riferimento alla discordanza tra ubicazione dichiarata e localizzazione accertata. La successiva sospensione del procedimento disciplinare non è stata ritenuta sufficiente a escludere l’illiceità dell’uso ulteriore dei dati.

Esito del procedimento

Il Garante ha dichiarato l’illiceità del trattamento effettuato da ARSAC per violazione degli artt. 5, 6, 13, 25, 35 e 88 GDPR e dell’art. 113 del Codice privacy. Ha preso atto che l’Azienda aveva disattivato la funzione di geolocalizzazione e sospeso il procedimento disciplinare, ritenendo pertanto non necessari ulteriori provvedimenti correttivi ex art. 58, par. 2, GDPR.

Sono stati disposti:

• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno.

Non emerge l’irrogazione di una sanzione pecuniaria nel testo fornito.