Il Tribunale di Cosenza (sentenza del 1° luglio 2026), ha annullato una sanzione da 50.000 euro del Garante Privacy relativa all’uso di un sistema che rilevava la posizione GPS del dipendente solo al momento della timbratura e durante controlli a campione, senza tracciamento continuo durante la giornata. Il Tribunale ha quindi distinto la geolocalizzazione puntuale dal monitoraggio continuativo del lavoratore.
Dal punto di vista giuslavoristico, il nodo centrale è l’art. 4 dello Statuto dei Lavoratori. Gli strumenti di controllo a distanza richiedono normalmente accordo sindacale o autorizzazione, mentre gli strumenti utilizzati per rendere la prestazione o registrare accessi e presenze ne sono esclusi. La qualificazione dipende però non tanto dalla tecnologia in sé, quanto dalla sua configurazione concreta e dalle modalità effettive d’impiego.
La sentenza presenta tuttavia un elemento di ambiguità: riconduce il sistema di rilevazione utilizzato agli strumenti di registrazione delle presenze ex art. 4, comma 2, ma valorizza comunque l’accordo sindacale previsto per i sistemi di controllo del comma 1. Rimane quindi non del tutto risolto se la rilevazione GPS sia una semplice funzione accessoria della timbratura oppure un autonomo strumento di verifica del luogo della prestazione.
Sul piano GDPR, le coordinate GPS sono dati personali e il trattamento deve rispettare liceità, necessità, proporzionalità, accountability e privacy by design. Nell’articolo a cui facciamo riferimento, l’autore critica in particolare il rilievo attribuito dalla sentenza al consenso del lavoratore: nel rapporto di lavoro, soprattutto pubblico, il consenso è una base giuridica debole per lo squilibrio tra le parti. Per una PA, l’articolo ritiene più coerente la base dell’esecuzione di un compito di interesse pubblico o esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. e), GDPR.
Altro punto centrale è la DPIA ex art. 35 GDPR. Il Tribunale non considera i verbali sindacali equivalenti a una valutazione d’impatto, ma contesta al Garante di avere valutato il rischio in maniera troppo astratta, basandosi sulle potenzialità teoriche del GPS anziché sul concreto utilizzo, circoscritto a timbrature e controlli puntuali. La sentenza, quindi, non esclude affatto che una DPIA possa essere necessaria.
La conclusione pratica è che la pronuncia non liberalizza la geolocalizzazione dei dipendenti. La liceità richiede rilevazioni puntuali, finalità determinate, informativa adeguata, accessi selettivi ai dati, tempi di conservazione minimi, rispetto delle garanzie dello Statuto dei Lavoratori e, quando richiesta, DPIA. Il parametro decisivo resta la proporzionalità: raccogliere soltanto i dati necessari, nel momento necessario e per il tempo strettamente indispensabile.
Cordiali saluti
De Ambrogio Ghirardini STP SRL