Chi lavora da casa può essere rintracciato via GPS dal proprio datore di lavoro? La domanda, che interessa molti lavoratori dopo l’ampia diffusione del lavoro agile nella Pubblica Amministrazione, ha trovato risposta nella sentenza n. 972/2026 del Tribunale di Cosenza, pubblicata il 1° luglio 2026. Il giudice ha annullato una sanzione da 50mila euro, che il Garante per la protezione dei dati personali aveva inflitto a un ente pubblico per l'uso di un'applicazione di timbratura da remoto in grado di rilevare la posizione del dipendente. La pronuncia non apre a un controllo indiscriminato dei lavoratori, ma traccia un confine tra ciò che può essere definito quale sorveglianza vietata e ciò che, invece, costituisce semplice attestazione di presenza.
Tre sedi autorizzate e un controllo a sorpresa
La vicenda riguarda una dipendente pubblica, ammessa a svolgere la prestazione in modalità agile da tre luoghi indicati in un accordo individuale con l'amministrazione. Per verificare le presenze, l'ente si avvaleva di un applicativo, denominato Time Relax, capace di registrare la posizione geografica del lavoratore nel solo istante in cui questi effettuava la timbratura d'ingresso o di uscita. Il sistema prevedeva anche controlli a campione. In tali occasioni, l'ufficio ispettivo contattava telefonicamente il dipendente chiedendogli di attivare la geolocalizzazione e di eseguire una nuova marcatura.
Proprio in occasione di due verifiche di questo tipo, effettuate il 23 e il 25 gennaio 2024, emergeva che la lavoratrice si trovava in una postazione non compresa fra quelle autorizzate. Ne scaturiva un procedimento disciplinare, poi sospeso, oltre a un esposto in Procura, archiviato dal Gip di Cosenza. La dipendente, a quel punto, si rivolgeva al Garante privacy, lamentando un trattamento illecito dei propri dati di localizzazione.
La sanzione dell'Autorità, 50mila euro per un controllo ritenuto illegittimo
Con il provvedimento n. 135 del 13 marzo 2025, il Garante accoglieva il reclamo e sanzionava l'amministrazione per 50mila euro. In particolare, l’Authority contestava la violazione di diverse disposizioni del GDPR, artt. 5, 6, 13, 25, 35 e 88, nonché del Codice privacy, artt. 113 e 114. Secondo l'Autorità, la geolocalizzazione del personale in lavoro agile costituiva un controllo a distanza incompatibile con la flessibilità tipica dello smart working, non riconducibile ad alcuna delle finalità che l'art. 4 dello st. lav. considera legittime. Per il Garante, era irrilevante anche il consenso prestato dalla dipendente all'uso dell'applicativo.
La decisione del Tribunale, annullate sanzione e cartella esattoriale
Il giudice ha accolto integralmente le argomentazioni dell'ente ricorrente, annullando sia l'ordinanza-ingiunzione del Garante sia la successiva cartella esattoriale.
La pronuncia si fonda sulla lettura dell'art. 4 della legge n. 300/1970, che distingue nettamente due categorie di strumenti. I dispositivi da cui può derivare un controllo a distanza dell'attività lavorativa sono ammessi solo per esigenze organizzative e produttive, di sicurezza sul lavoro o di tutela del patrimonio aziendale e solo previo accordo con le rappresentanze sindacali oppure autorizzazione dell'Ispettorato del lavoro. Gli strumenti che il dipendente utilizza per rendere la prestazione e i dispositivi di rilevazione di accessi e presenze, invece, non sono soggetti a queste stesse condizioni.
Secondo il Tribunale, l'applicativo oggetto di causa va ricondotto proprio a questa seconda tipologia di strumenti. Acquisendo la posizione soltanto nell'istante della marcatura e non durante l'intera giornata lavorativa, non consente alcuna ricostruzione degli spostamenti né un monitoraggio continuativo della prestazione. Si tratta, in altre parole, di una timbratura rafforzata da un dato sulla posizione e non di un sistema di sorveglianza.
Cosa dice la Cassazione sul punto
A sostegno di questa lettura, la sentenza richiama alcuni precedenti della Suprema Corte. La pronuncia n. 25732/2021 ha chiarito che la qualificazione giuridica di uno strumento dipende dal suo concreto funzionamento, non dal nome che gli viene attribuito. La sentenza n. 9904/2016 ha già ammesso che le timbrature “potenziate”, capaci cioè di registrare informazioni ulteriori rispetto al semplice ingresso e uscita, non sono di per sé vietate, restando comunque soggette alle garanzie dell'art. 4. Diverso, invece, il caso deciso con la sentenza n. 19922/2016, relativa a un sistema GPS installato su veicoli aziendali con localizzazione costante, ritenuto un’ipotesi di monitoraggio continuo e, quindi, incompatibile con la disciplina sui controlli a distanza.
Il peso del consenso informato e dell'intesa sindacale
Il Tribunale valorizza anche un altro aspetto, ossia il consenso della lavoratrice, che il Garante aveva ritenuto del tutto inefficace ai fini della liceità del trattamento. Per il giudice calabrese, negare ogni rilievo alla volontà del lavoratore rischia di comprimerne la dignità anziché tutelarla. Nel caso specifico, l'utilizzo dell'applicativo era stato condiviso con le rappresentanze sindacali in due distinti incontri ed era stato inserito nel piano organizzativo del lavoro agile dell'ente per il triennio 2024-2026. Su questo aspetto la sentenza si allinea a un orientamento più recente della Cassazione (cfr. sent. n. 30822/2025 del 24 novembre 2025), secondo cui le informazioni raccolte tramite strumenti autorizzati ai sensi dell'art. 4 sono utilizzabili anche a fini disciplinari, purché il lavoratore sia stato adeguatamente informato sulle modalità d'uso.
Inoltre, il Tribunale afferma che non spetta al Garante sindacare le scelte organizzative del datore di lavoro pubblico, né stabilire quale modello di lavoro agile sia preferibile. Il compito dell'Autorità resta limitato alla verifica della liceità del trattamento dei dati e dell'adeguatezza dell'informativa fornita ai lavoratori.
Tre sedi autorizzate e un controllo a sorpresa
La vicenda riguarda una dipendente pubblica, ammessa a svolgere la prestazione in modalità agile da tre luoghi indicati in un accordo individuale con l'amministrazione. Per verificare le presenze, l'ente si avvaleva di un applicativo, denominato Time Relax, capace di registrare la posizione geografica del lavoratore nel solo istante in cui questi effettuava la timbratura d'ingresso o di uscita. Il sistema prevedeva anche controlli a campione. In tali occasioni, l'ufficio ispettivo contattava telefonicamente il dipendente chiedendogli di attivare la geolocalizzazione e di eseguire una nuova marcatura.
Proprio in occasione di due verifiche di questo tipo, effettuate il 23 e il 25 gennaio 2024, emergeva che la lavoratrice si trovava in una postazione non compresa fra quelle autorizzate. Ne scaturiva un procedimento disciplinare, poi sospeso, oltre a un esposto in Procura, archiviato dal Gip di Cosenza. La dipendente, a quel punto, si rivolgeva al Garante privacy, lamentando un trattamento illecito dei propri dati di localizzazione.
La sanzione dell'Autorità, 50mila euro per un controllo ritenuto illegittimo
Con il provvedimento n. 135 del 13 marzo 2025, il Garante accoglieva il reclamo e sanzionava l'amministrazione per 50mila euro. In particolare, l’Authority contestava la violazione di diverse disposizioni del GDPR, artt. 5, 6, 13, 25, 35 e 88, nonché del Codice privacy, artt. 113 e 114. Secondo l'Autorità, la geolocalizzazione del personale in lavoro agile costituiva un controllo a distanza incompatibile con la flessibilità tipica dello smart working, non riconducibile ad alcuna delle finalità che l'art. 4 dello st. lav. considera legittime. Per il Garante, era irrilevante anche il consenso prestato dalla dipendente all'uso dell'applicativo.
La decisione del Tribunale, annullate sanzione e cartella esattoriale
Il giudice ha accolto integralmente le argomentazioni dell'ente ricorrente, annullando sia l'ordinanza-ingiunzione del Garante sia la successiva cartella esattoriale.
La pronuncia si fonda sulla lettura dell'art. 4 della legge n. 300/1970, che distingue nettamente due categorie di strumenti. I dispositivi da cui può derivare un controllo a distanza dell'attività lavorativa sono ammessi solo per esigenze organizzative e produttive, di sicurezza sul lavoro o di tutela del patrimonio aziendale e solo previo accordo con le rappresentanze sindacali oppure autorizzazione dell'Ispettorato del lavoro. Gli strumenti che il dipendente utilizza per rendere la prestazione e i dispositivi di rilevazione di accessi e presenze, invece, non sono soggetti a queste stesse condizioni.
Secondo il Tribunale, l'applicativo oggetto di causa va ricondotto proprio a questa seconda tipologia di strumenti. Acquisendo la posizione soltanto nell'istante della marcatura e non durante l'intera giornata lavorativa, non consente alcuna ricostruzione degli spostamenti né un monitoraggio continuativo della prestazione. Si tratta, in altre parole, di una timbratura rafforzata da un dato sulla posizione e non di un sistema di sorveglianza.
Cosa dice la Cassazione sul punto
A sostegno di questa lettura, la sentenza richiama alcuni precedenti della Suprema Corte. La pronuncia n. 25732/2021 ha chiarito che la qualificazione giuridica di uno strumento dipende dal suo concreto funzionamento, non dal nome che gli viene attribuito. La sentenza n. 9904/2016 ha già ammesso che le timbrature “potenziate”, capaci cioè di registrare informazioni ulteriori rispetto al semplice ingresso e uscita, non sono di per sé vietate, restando comunque soggette alle garanzie dell'art. 4. Diverso, invece, il caso deciso con la sentenza n. 19922/2016, relativa a un sistema GPS installato su veicoli aziendali con localizzazione costante, ritenuto un’ipotesi di monitoraggio continuo e, quindi, incompatibile con la disciplina sui controlli a distanza.
Il peso del consenso informato e dell'intesa sindacale
Il Tribunale valorizza anche un altro aspetto, ossia il consenso della lavoratrice, che il Garante aveva ritenuto del tutto inefficace ai fini della liceità del trattamento. Per il giudice calabrese, negare ogni rilievo alla volontà del lavoratore rischia di comprimerne la dignità anziché tutelarla. Nel caso specifico, l'utilizzo dell'applicativo era stato condiviso con le rappresentanze sindacali in due distinti incontri ed era stato inserito nel piano organizzativo del lavoro agile dell'ente per il triennio 2024-2026. Su questo aspetto la sentenza si allinea a un orientamento più recente della Cassazione (cfr. sent. n. 30822/2025 del 24 novembre 2025), secondo cui le informazioni raccolte tramite strumenti autorizzati ai sensi dell'art. 4 sono utilizzabili anche a fini disciplinari, purché il lavoratore sia stato adeguatamente informato sulle modalità d'uso.
Inoltre, il Tribunale afferma che non spetta al Garante sindacare le scelte organizzative del datore di lavoro pubblico, né stabilire quale modello di lavoro agile sia preferibile. Il compito dell'Autorità resta limitato alla verifica della liceità del trattamento dei dati e dell'adeguatezza dell'informativa fornita ai lavoratori.
