Risposta breve
Un datore italiano può usare tecnologia che consente un controllo a distanza soltanto se supera due verifiche autonome. Prima, l'art. 4 dello Statuto dei lavoratori: finalità ammesse e, salvo le strette eccezioni per strumenti di lavoro e registrazione di accessi/presenze, previo accordo sindacale o autorizzazione dell'Ispettorato. Seconda, GDPR e Codice privacy: base giuridica, trasparenza preventiva, necessità, proporzionalità, minimizzazione, sicurezza, conservazione limitata e, nei casi ad alto rischio, valutazione d'impatto.
Consegnare un laptop o installare un'app non autorizza sorveglianza continua. Email, navigazione, screenshot, keylogging, webcam, GPS, badge, log, ranking e produttività possono ricostruire la prestazione. Il consenso del dipendente raramente risolve il problema, a causa dello squilibrio del rapporto, e non sostituisce l'art. 4. Dati biometrici e sanitari hanno condizioni ulteriori. Le informazioni raccolte illecitamente non diventano utilizzabili per fini disciplinari solo perché mostrano una violazione.
Prima dell'avvio occorre quindi documentare configurazione tecnica, persone coinvolte, accessi, tempi di conservazione, alternative meno invasive e regole per ogni successivo utilizzo.
La doppia porta: Statuto e protezione dati
L'art. 4 della consente strumenti dai quali derivi anche soltanto la possibilità di controllo per quattro finalità tassative:
«Gli impianti audiovisivi e gli altri strumenti [...] possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale.»
—
Occorre un accordo con RSU/RSA; in mancanza, autorizzazione dell'Ispettorato territoriale, oppure della sede centrale per unità in più territori. L'accordo non è un consenso privacy individuale e l'autorizzazione va ottenuta prima dell'installazione o impiego.
Il comma 2 esenta dalla procedura gli strumenti utilizzati dal lavoratore per rendere la prestazione e quelli che registrano accessi e presenze. L'eccezione è stretta: un computer necessario al lavoro può rientrarvi, ma un software aggiunto o configurato per sorvegliare sistematicamente può diventare un distinto strumento di controllo. Anche un GPS utile all'organizzazione non è automaticamente indispensabile alla prestazione. Nel febbraio 2026 l' ha richiesto la procedura del comma 1 per geolocalizzazione di guardie giurate, pur in presenza di una regola tecnica di settore.
Il comma 3 permette di usare le informazioni lecitamente raccolte per fini connessi al rapporto, anche disciplinari, solo se il lavoratore ha ricevuto adeguata informazione sulle modalità d'uso e di controllo e sono rispettate le norme privacy. Gli artt. 113 e 114 del richiamano inoltre gli artt. 8 e 4 dello Statuto: restano vietate indagini su opinioni politiche, religiose o sindacali e fatti privati irrilevanti per l'attitudine professionale.
Che cosa richiede il GDPR?
Il richiede una base dell'art. 6: obbligo legale, contratto nei limiti della necessità o interesse legittimo bilanciato sono più usuali del consenso. Ogni finalità deve essere concreta e comunicata prima del controllo; una formula come «sicurezza e gestione» non giustifica qualsiasi riuso.
I dati devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità».
—
Il datore deve scegliere l'opzione meno invasiva, limitare persone osservate, granularità, fasce orarie e conservazione, separare sicurezza da valutazione delle prestazioni, controllare i fornitori cloud, proteggere i log e documentare accessi. L'informativa ex art. 13 deve descrivere dati, finalità, basi, destinatari, tempi, diritti e logica automatizzata quando pertinente. Monitoraggio sistematico, biometria, localizzazione continua o profilazione possono richiedere una DPIA ex art. 35 e, se il rischio residuo resta alto, consultazione preventiva del Garante.
Email, internet e dispositivi
Il datore può stabilire policy per strumenti aziendali, cybersecurity, continuità operativa e uso personale, ma deve indicare controlli concreti. Accesso occulto e generalizzato al contenuto delle email, lettura indiscriminata, keylogging, screenshot frequenti o webcam sempre accesa sono difficilmente proporzionati. Anche mittente, destinatario, oggetto, ora e dimensione sono dati personali e possono rivelare relazioni o opinioni.
Nel , il Garante considera normalmente compatibile con l'eccezione dello strumento di lavoro la conservazione dei soli metadati tecnici necessari al funzionamento per non più di sette giorni, estensibili di 48 ore per esigenze comprovate e documentate. Raccolta preventiva e generalizzata per periodi più lunghi richiede le garanzie dell'art. 4, comma 1, e resta soggetta a proporzionalità e limitazione della conservazione. Non è un'autorizzazione a leggere il contenuto o a conservare ogni log per nove giorni.
Su dispositivi personali, il datore può proteggere dati aziendali mediante container, accessi e cancellazione selettiva, ma non esplorare foto, messaggi o account privati. La policy deve gestire assenze e cessazione con caselle funzionali, risposte automatiche e procedure controllate, evitando accessi informali alla corrispondenza dell'ex dipendente.
Geolocalizzazione, video e prestazioni
GPS su veicoli o telefoni deve essere necessario per una finalità ammessa, configurato per evitare controllo fuori orario, con accessi ristretti e conservazione breve. Quando non è lo strumento indispensabile con cui si rende la prestazione, serve accordo o autorizzazione. Va valutata la possibilità di disattivazione, di visualizzazione al lavoratore e di dati meno precisi. La stessa logica vale per videosorveglianza: angolo, audio, zoom, aree di pausa e conservazione devono essere minimizzati; cartello e informativa non sostituiscono la procedura lavoristica.
Dashboard di produttività, ticket, tempi, chiamate o qualità sono controlli se consentono di attribuire attività al singolo. Devono evitare metriche opache, ritmi lesivi, discriminazione e decisioni puramente meccaniche. I cosiddetti controlli difensivi mirati, avviati dopo un sospetto concreto per proteggere beni estranei all'esatto adempimento, hanno uno spazio giurisprudenziale ristretto: non giustificano raccolta preventiva massiva né eludono GDPR, informazione e proporzionalità.
Algoritmi e intelligenza artificiale
L'art. 1-bis del , modificato dal decreto Trasparenza, impone informazioni per sistemi decisionali o di monitoraggio integralmente automatizzati rilevanti per assunzione, gestione, cessazione, mansioni, sorveglianza, valutazione o adempimento. Il lavoratore e le rappresentanze ricevono finalità, logica, dati, parametri, controlli umani, accuratezza e rischi discriminatori; il lavoratore può chiedere dati e chiarimenti, con risposta scritta entro trenta giorni. Restano fermi Statuto e GDPR.
L'art. 22 GDPR limita decisioni basate unicamente su trattamento automatizzato con effetti giuridici o analogamente significativi, salvo eccezioni e garanzie, fra cui intervento umano effettivo e contestazione. L' qualifica molti sistemi di assunzione, assegnazione, promozione, cessazione e monitoraggio come ad alto rischio secondo il calendario applicabile. Dal 2 febbraio 2025 vieta il riconoscimento delle emozioni sul luogo di lavoro, salvo ragioni mediche o di sicurezza. Le regole AI si aggiungono, non sostituiscono, a diritto del lavoro, antidiscriminazione e privacy.
Biometria e dati sanitari
Impronte, volto o voce usati per identificazione univoca sono dati biometrici dell'art. 9 GDPR. Servono una specifica base normativa e le garanzie dell'art. 2-septies del Codice; il consenso dei dipendenti non colma l'assenza. Nel , il Garante ha ribadito che l'ordinamento non consente biometria per l'ordinaria rilevazione delle presenze: badge e altri mezzi meno invasivi raggiungono lo scopo. Un accesso biometrico a un'area realmente ad alta sicurezza richiede invece una base e una progettazione specifiche, non un'estensione automatica all'orario.
La sorveglianza sanitaria è affidata al medico competente nei casi dell'art. 41 del . Cartella ed esiti clinici restano sotto responsabilità medica; datore e lavoratore ricevono il giudizio di idoneità, eventuali prescrizioni o limiti, non una diagnosi completa. Le visite non possono accertare gravidanza e test su alcol o sostanze sono ammessi soltanto nei casi, attività e condizioni legali. Il datore non può trasformare app di benessere o wearable in sorveglianza sanitaria parallela.
Conclusione
Prima di attivare un controllo occorre mappare funzione tecnica e dati reali, non il nome commerciale: chi viene osservato, quando, con quale dettaglio, per quanto tempo e quali decisioni ne derivano. Poi servono finalità dell'art. 4, accordo o autorizzazione quando dovuti, informativa specifica, base GDPR, minimizzazione, sicurezza, DPIA e regole d'uso disciplinare. Se una di queste porte manca, installazione, trattamento e prova possono essere illeciti anche quando lo strumento appartiene al datore.
Fonti
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.