Privacy e timbratura GPS: le regole del Garante nel 2026

Sì, in Italia i dipendenti possono timbrare con lo smartphone e la posizione GPS, ma solo a condizioni precise. Il sistema deve rilevare la posizione solo nel momento della timbratura, non deve ricostruire gli spostamenti e deve conservare il minimo indispensabile. Deve rispettare l’art. 4 dello Statuto dei Lavoratori e i dipendenti devono ricevere un’informativa chiara prima dell’attivazione. In questa guida trovi cosa ha deciso il Garante Privacy, cosa cambia per lo smart working dopo la sentenza di Cosenza del 2026 e una checklist da seguire prima di attivare la timbratura geolocalizzata nella tua PMI.

In breve

• La timbratura via app con GPS è ammessa se la posizione viene letta solo all’inizio e alla fine del lavoro e le coordinate superflue vengono cancellate.
• Il consenso del dipendente non basta: nel lavoro subordinato non è una base giuridica affidabile. Servono finalità chiare, proporzionalità e, se c’è possibilità di controllo a distanza, la procedura dell’art. 4 dello Statuto.
• Il tracciamento continuo è la linea rossa: se il sistema segue il lavoratore, diventa uno strumento di monitoraggio e non di gestione delle presenze.
• Sullo smart working il quadro è in movimento: il Garante ha sanzionato un ente con 50.000 euro nel 2025, ma nel 2026 un tribunale ha annullato quella sanzione.
• Informativa e diritto di accesso contano quanto la tecnologia: nel 2026 il Garante ha sanzionato un’azienda per 39.000 euro proprio su questi due punti.

Indice

• Timbrare con lo smartphone e il GPS è legale?
• Le norme che si applicano alla geolocalizzazione dei dipendenti
• Timbratura puntuale o tracciamento continuo: la differenza che conta
• Smart working e GPS: la sanzione del 2025 e la sentenza di Cosenza
• I casi del 2026: veicoli aziendali e diritto di accesso
• Cosa scrivere nell’informativa privacy sulla geolocalizzazione
• Checklist: 7 passi prima di attivare la timbratura GPS
• Il nostro punto di vista
• Timbrature con verifica GPS su HRpro
• Domande frequenti
• Fonti

Timbrare con lo smartphone e il GPS è legale?

Il riferimento resta la verifica preliminare che il Garante ha rilasciato nel 2016 a due società del gruppo Manpower. Le aziende volevano far timbrare tramite app i dipendenti che lavorano presso altre ditte o che operano sempre fuori sede. Il Garante ha detto sì, ma con paletti tecnici precisi, riassunti nella newsletter del Garante del 10 ottobre 2016.

Il provvedimento completo stabilisce le condizioni da rispettare. Secondo la verifica preliminare del Garante sul caso Manpower:

1. il sistema cancella le coordinate geografiche del dispositivo e conserva solo la sede di lavoro, la data e l’orario della timbratura;
2. sullo schermo del telefono compare un’icona che indica quando la localizzazione è attiva;
3. l’app non accede ad altri dati presenti sul telefono: traffico telefonico, SMS, e-mail, cronologia di navigazione;
4. i dipendenti ricevono un’informativa completa sul trattamento.

In pratica il GPS serve a una sola cosa: confermare che la persona si trova nel luogo giusto quando timbra. Tutto il resto è di troppo. Se vuoi un quadro più ampio sugli obblighi di rilevazione, leggi la nostra guida su rilevazione presenze, obblighi e normativa.

Le norme che si applicano alla geolocalizzazione dei dipendenti

Quando attivi una timbratura con GPS devi rispettare due insiemi di regole insieme: le norme sul lavoro e quelle sulla privacy. Rispettarne uno non ti esonera dall’altro.

Art. 4 dello Statuto dei Lavoratori

L’art. 4 della Legge 300/1970 regola gli strumenti da cui può derivare un controllo a distanza dei lavoratori. Se lo strumento non è indispensabile per svolgere la prestazione, serve un accordo con le rappresentanze sindacali (RSA o RSU) oppure, se manca, l’autorizzazione dell’Ispettorato del Lavoro.

Con la circolare n. 2 del 7 novembre 2016, l’Ispettorato Nazionale del Lavoro ha chiarito che i sistemi di geolocalizzazione sono di norma un elemento “aggiunto” agli strumenti di lavoro. Quindi, nella maggior parte dei casi, ricadono nella procedura dell’art. 4, comma 1. Per una PMI la strada più prudente è chiedere al consulente del lavoro se serve l’accordo o l’autorizzazione, prima di attivare il modulo, e non dopo.

GDPR e Codice Privacy

Sul versante privacy valgono il Regolamento UE 2016/679 (GDPR) e il Codice Privacy italiano. In concreto devi:

• definire una finalità precisa (gestione delle presenze, non “controllo”);
• raccogliere solo i dati necessari a quella finalità (minimizzazione);
• fissare tempi di conservazione coerenti;
• dare un’informativa ai sensi dell’art. 13 GDPR prima di iniziare;
• valutare se serve una valutazione d’impatto (DPIA).

Le violazioni possono costare cifre importanti. Le sanzioni amministrative previste dal GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato, a cui si aggiungono le conseguenze sul piano del lavoro. Per esempio, i dati raccolti in modo illecito non possono essere usati in un procedimento disciplinare.

Perché il consenso del dipendente non è la soluzione

Molti titolari pensano: “faccio firmare un modulo di consenso e sono a posto”. Non funziona così. Nel rapporto di lavoro c’è uno squilibrio di potere: il dipendente difficilmente può dire no al proprio datore di lavoro. Per questo il Garante non considera il consenso una base giuridica idonea per la geolocalizzazione. Nel caso sanzionato nel 2025, l’app rilevava la posizione dei lavoratori in smart working previo consenso, ma questo non ha evitato la sanzione.

La base corretta è un’altra: la necessità di gestire il rapporto di lavoro, con regole proporzionate e documentate. Il consenso non sostituisce la procedura dell’art. 4 né l’informativa.

Timbratura puntuale o tracciamento continuo: la differenza che conta

Tutto si gioca su una distinzione: il GPS registra un evento (entro, esco) oppure segue la persona? Nel primo caso stai gestendo le presenze. Nel secondo stai sorvegliando il lavoratore.

Un sistema che legge la posizione solo nel momento della timbratura, senza permettere di ricostruire gli spostamenti né di misurare i tempi di permanenza, non è stato assimilato a un sistema di sorveglianza. Prima di scegliere, valuta anche le alternative al GPS. Per chi lavora sempre nella stessa sede, per esempio, può bastare la timbratura con QR code.

Smart working e GPS: la sanzione del 2025 e la sentenza di Cosenza

Il lavoro agile è il terreno più delicato. A maggio 2025 il Garante ha comminato una sanzione di 50.000 euro a un ente che rilevava la posizione geografica di circa cento dipendenti durante lo smart working. Secondo l’Autorità, geolocalizzare chi lavora da remoto riduce lo spazio di libertà che il lavoro agile dovrebbe garantire. Nel caso specifico l’ente faceva anche controlli a campione: chiedeva al dipendente di attivare il GPS per verificare che si trovasse davvero nel luogo dichiarato nell’accordo individuale.

Nel 2026 il quadro è cambiato. Con la sentenza del 1° luglio 2026 il Tribunale di Cosenza ha annullato l’ordinanza-ingiunzione n. 135/2025 e la relativa sanzione da 50.000 euro. Il giudice ha considerato la geolocalizzazione puntuale, legata solo alla timbratura, uno strumento organizzativo e non un controllo a distanza.

Cosa significa per te? Una sentenza di primo grado non cambia l’orientamento del Garante. Fino a quando la questione non sarà consolidata, conviene essere prudenti:

• per chi lavora in smart working preferisci strumenti che non richiedono la posizione, come la timbratura da app senza GPS o la registrazione dell’orario;
• se proprio usi il GPS, limitalo all’istante della timbratura e non usarlo mai per verificare dove si trova il dipendente durante la giornata;
• confrontati con il DPO o con il consulente privacy prima di attivarlo.

Il tema della registrazione del lavoro da remoto riguarda tutta l’Europa. Questa guida spiega come organizzare la registrazione del lavoro a distanza dal punto di vista dell’ufficio personale. Per il contesto italiano trovi le indicazioni pratiche nel nostro articolo su come gestire le presenze in smart working.

I casi del 2026: veicoli aziendali e diritto di accesso

Due provvedimenti del 2026 riguardano il GPS sui veicoli, ma i principi valgono anche per le app di timbratura.

Provvedimento n. 382 del 28 maggio 2026

Il Garante ha sanzionato un’azienda sanitaria che geolocalizzava i propri autisti tramite GPS sui mezzi aziendali. Dal provvedimento del 28 maggio 2026 emerge che il sistema rilevava il segnale ogni 60 secondi e permetteva di vedere la posizione in tempo reale. Solo durante l’istruttoria l’azienda ha portato l’intervallo a 15 minuti e ha disattivato in modo permanente la visualizzazione in tempo reale. La sanzione è stata di 6.000 euro. Il Garante ha contestato anche la mancanza di una DPIA e l’impossibilità di disattivare la localizzazione durante le pause.

Provvedimento n. 585 del 6 agosto 2026

Un ex dipendente di una società di vigilanza, licenziato dopo una contestazione disciplinare, aveva chiesto di vedere i dati GPS raccolti dall’auto aziendale. L’azienda non ha risposto in modo adeguato. Il Garante ha inflitto una sanzione di 39.000 euro per il mancato riscontro alla richiesta di accesso e per l’assenza di un’informativa specifica sulla geolocalizzazione. Questo nonostante esistesse un accordo sindacale ai sensi dell’art. 4.

La lezione per una PMI è chiara: l’accordo sindacale non sostituisce l’informativa. E se un dipendente chiede i propri dati di timbratura, devi rispondere, anche quando ritieni di non poterli consegnare, spiegando i motivi.

Cosa scrivere nell’informativa privacy sulla geolocalizzazione

L’informativa è il documento che il Garante controlla per primo. Deve essere specifica per il GPS, non un paragrafo generico dentro l’informativa sul personale. Includi almeno questi punti:

1. Titolare del trattamento e contatti del DPO, se nominato.
2. Finalità: gestione delle presenze e degli orari, spiegata in modo concreto.
3. Dati raccolti: posizione al momento della timbratura, data, ora, sede associata. Specifica cosa non viene raccolto (percorsi, posizione fuori dalla timbratura, altri dati del telefono).
4. Base giuridica: esecuzione del rapporto di lavoro e obblighi di legge, non il consenso.
5. Tempi di conservazione: un periodo definito e coerente con la finalità. Verifica che il software li rispetti davvero.
6. Chi accede ai dati: ufficio HR, consulente del lavoro, fornitore del software come responsabile del trattamento.
7. Riferimento all’art. 4: accordo sindacale o autorizzazione dell’Ispettorato, se applicabile.
8. Diritti del lavoratore: accesso, rettifica, limitazione, reclamo al Garante, e come esercitarli.

Consegna l’informativa prima di attivare l’app e conserva la prova della consegna.

Checklist: 7 passi prima di attivare la timbratura GPS

1. Definisci chi deve timbrare con il GPS. Spesso serve solo per chi lavora fuori sede o presso clienti. Per gli altri può bastare una timbratura senza posizione.
2. Verifica l’art. 4 con il consulente del lavoro. Accordo con RSA/RSU o, in mancanza, istanza all’Ispettorato territoriale.
3. Valuta la DPIA. Se la localizzazione non è strettamente puntuale, o riguarda molti dipendenti, la valutazione d’impatto è quasi sempre necessaria.
4. Configura il software in modo minimo. Posizione solo alla timbratura, nessuna lettura in background, icona visibile, nessun accesso ad altri dati del telefono.
5. Fissa i tempi di conservazione e controlla che i dati vengano davvero eliminati alla scadenza.
6. Limita gli accessi. Solo chi gestisce le presenze vede i dati, con profili distinti tra titolare, HR e consulente.
7. Consegna l’informativa e prepara la procedura per le richieste di accesso, così sai rispondere entro i termini del GDPR.

Per gli aspetti pratici dell’uso quotidiano, leggi anche come timbrare con il GPS senza errori e la nostra sintesi su quando la timbratura GPS è legale.

Il nostro punto di vista

Lavoriamo ogni giorno con titolari di PMI, uffici HR e consulenti del lavoro, e vediamo sempre lo stesso equivoco: si pensa che la privacy si risolva con un documento firmato. Invece la parte decisiva è come configuri lo strumento. Un’informativa perfetta non salva un’app che legge la posizione in background. Un’app configurata bene, che registra solo l’evento della timbratura, rende l’informativa semplice da scrivere e facile da difendere.

Per questo nella nostra piattaforma la verifica GPS ha uno scopo preciso: garantire che la timbratura sia accurata, cioè che la persona timbri dal luogo previsto. Non serve a sapere dove si trova un dipendente durante la giornata, e secondo noi non dovrebbe servire a questo in nessuna azienda. Un altro consiglio: attiva il GPS solo dove ha senso. Se i moduli si accendono e si spengono in autonomia, puoi usare la geolocalizzazione per le squadre in trasferta e una timbratura semplice per l’ufficio.

Ultimo punto: qualunque software tu scelga, chiedi al fornitore per iscritto quando viene letta la posizione, cosa viene salvato e per quanto tempo. Sono le stesse domande che ti farebbe il Garante.

— Ufficio

Timbrature con verifica GPS su HRpro

Con il modulo Timbrature e Presenze di HRpro i tuoi dipendenti timbrano dallo smartphone senza installazioni tradizionali. Tu vedi presenze e assenze in tempo reale e prepari i dati per le paghe senza fogli da ricopiare. La configurazione è inclusa, senza costi di attivazione. Il piano base costa 50 € al mese, più una licenza da 3 a 5 € al mese per dipendente. Ferie, permessi e malattia sono già nella stessa app. Trovi tutti i moduli opzionali nella pagina prezzi di HRpro e puoi partire con la prova gratuita.

Domande frequenti

Il datore di lavoro può vedere dove mi trovo con l’app di timbratura?

Se l’app rispetta le indicazioni del Garante, no. La posizione viene letta solo nel momento in cui timbri, e il sistema conserva la sede, la data e l’ora, non i tuoi spostamenti. Quando il GPS è attivo deve comparire un’icona sullo schermo. Se pensi che l’app ti segua durante la giornata, puoi chiedere l’accesso ai tuoi dati e, se serve, presentare reclamo al Garante.

Serve l’accordo sindacale per la timbratura GPS?

Nella maggior parte dei casi conviene considerarlo necessario. Secondo l’Ispettorato Nazionale del Lavoro, i sistemi di geolocalizzazione non sono di norma strumenti indispensabili per lavorare, quindi ricadono nell’art. 4 dello Statuto. Senza RSA o RSU serve l’autorizzazione dell’Ispettorato territoriale. Verifica il tuo caso con il consulente del lavoro.

Chi controlla il rispetto della privacy sul lavoro in Italia?

L’autorità competente è il Garante per la protezione dei dati personali, che riceve reclami, svolge ispezioni e irroga sanzioni. Le ispezioni possono avvenire anche con il supporto del Nucleo speciale privacy della Guardia di Finanza. Per la parte lavoristica, cioè l’art. 4 dello Statuto, è competente l’Ispettorato del Lavoro.

Posso usare il GPS per controllare chi è in smart working?

Per verificare dove si trova il dipendente, no: il Garante lo considera un controllo non ammesso. Nel 2026 un tribunale ha annullato una sanzione relativa a una geolocalizzazione limitata alla sola timbratura, ma l’orientamento non è ancora consolidato. La scelta più sicura è gestire le presenze in smart working senza rilevare la posizione.

Fonti

• Garante Privacy, verifica preliminare sul caso Manpower (2016)
• Garante Privacy, newsletter del 10 ottobre 2016
• Ministero del Lavoro, circolare INL n. 2/2016 sui sistemi GPS
• Garante Privacy, newsletter dell’8 maggio 2025 su smart working e geolocalizzazione
• ICTLC, smart working e geolocalizzazione
• Stefanelli & Stefanelli, divieto di geolocalizzazione in smart working
• Altalex, Tribunale di Cosenza e geolocalizzazione puntuale
• PMI.it, timbratura da remoto e geolocalizzazione
• Garante Privacy, provvedimento del 28 maggio 2026
• Pedroni Law, commento al provvedimento n. 382/2026
• Federprivacy, provvedimento n. 585/2026

Raccomandati

• Timbratura GPS è legale? Regole per le PMI
• Timbratura GPS da smartphone: regole e vantaggi
• Come timbrare con GPS senza errori aziendali
• Privacy HR: dati del personale sotto controllo