Lavoro straordinario: regole, gestione operativa e obblighi per le aziende

Un responsabile che risponde alle email fuori orario finisce per fissare, senza volerlo, lo standard implicito per tutto il team: se lui scrive alle undici di sera, i collaboratori si sentono tenuti a rispondere. Senza una policy scritta, è questo il meccanismo che normalizza la reperibilità continua in azienda.

Il diritto alla disconnessione impone di rendere esplicito ciò che finora restava implicito: documentare procedure, fasce orarie e regole d'ingaggio negli accordi individuali e nelle policy interne.

Vediamo cosa prevede la normativa aggiornata, quali obblighi ricadono sull'azienda e come gestire concretamente lo stacco digitale.

Cos'è il diritto alla disconnessione

Spegnere i dispositivi, chiudere le piattaforme di messaggistica, ignorare le comunicazioni di lavoro fuori dal proprio orario senza conseguenze sulla carriera o sulla valutazione: questo è, nella pratica, il diritto alla disconnessione.

Non basta dire ai dipendenti “staccate pure”. La legge impone all'azienda di mettere in campo misure organizzative e tecniche concrete per impedire che l'operatività digitale prosegua senza sosta dopo il turno. Significa stabilire nero su bianco quando la prestazione si interrompe e quali strumenti non vanno monitorati durante pause, riposi e festività.

Il quadro normativo: L. 81/2017, L.61/2021 e le novità 2026

Il perimetro normativo italiano si muove su tre livelli, e in nessuno di questi esiste un divieto esplicito di inviare comunicazioni fuori orario. Il primo è la Legge n. 81/2017 sul lavoro agile, il cui articolo 19 impone che l'accordo individuale definisca i tempi di riposo e le misure tecniche e organizzative necessarie ad assicurare la disconnessione del lavoratore dalle strumentazioni tecnologiche di lavoro.

Il secondo è l'articolo 2, comma 1-ter, del D.L. 30/2021, inserito in sede di conversione dalla Legge n. 61/2021: riconosce espressamente il diritto alla disconnessione a chi lavora in modalità agile e stabilisce che il suo esercizio non può avere ripercussioni sul rapporto di lavoro o sui trattamenti retributivi. Restano fermi gli eventuali periodi di reperibilità concordati. Accanto alla norma, il Protocollo nazionale sul lavoro agile del dicembre 2021 chiede di individuare nell'accordo una fascia oraria di disconnessione: non è una legge, ma è il riferimento con cui contrattazione collettiva e organi di vigilanza misurano l'adeguatezza degli accordi.

Il terzo livello è il più recente. Dal 7 aprile 2026 la Legge 11 marzo 2026, n. 34 ha portato il lavoro agile dentro il Testo unico sulla sicurezza: per chi lavora fuori dai locali aziendali l'informativa annuale sui rischi va consegnata anche al rappresentante dei lavoratori per la sicurezza, e la sua omissione è diventata una contravvenzione, punita con arresto da due a quattro mesi oppure con ammenda. La legge non nomina la disconnessione e non impone di bloccare tecnicamente le comunicazioni fuori orario: il collegamento passa dai rischi da iperconnessione, che rientrano tra quelli specifici da individuare nell'informativa. Obblighi e sanzioni sono trattati in dettaglio nella guida su sicurezza e lavoro agile.

Il Decreto Lavoro 2026 non interviene invece sullo stacco digitale: riguarda salario giusto, incentivi alle assunzioni e contrasto al caporalato digitale.

A chi si applica: solo ai lavoratori agili o a tutti?

Formalmente, l'obbligo di inserire specifiche clausole sulla disconnessione riguarda il lavoro agile (L. 81/2017). Il comma 7-bis dell'art. 3 del D.Lgs. 81/2008 restringe ulteriormente il campo: riguarda la prestazione resa in ambienti che non rientrano nella disponibilità giuridica del datore, quindi non copre il dipendente in sede con lo smartphone aziendale. Limitare le regole ai soli lavoratori agili resta però una scelta rischiosa.

Estendere la policy a tutta la popolazione aziendale (inclusi i dipendenti in presenza dotati di smartphone o laptop aziendali) è l'unica scelta per evitare tre rischi concreti.

• Violazione dell'orario di lavoro (D.Lgs. 66/2003): ogni dipendente ha diritto a 11 ore di riposo consecutivo ogni 24 ore. Le notifiche fuori orario fanno sfiorare questa soglia con facilità.

• Contenziosi sullo stress lavoro-correlato (D.Lgs. 81/2008): la valutazione dei rischi psicosociali impone di monitorare gli effetti dell'iperconnessione; se l'azienda non lo fa e un dipendente accusa un danno da stress, la mancata vigilanza diventa essa stessa un elemento a suo carico in giudizio.

• Conformità ai CCNL: diversi contratti collettivi prevedono ormai regole precise sull’uso di strumenti digitali fuori turno. Va verificato il CCNL applicato in azienda.

Gli obblighi dell'azienda: cosa deve prevedere l'accordo individuale

Per mettersi al riparo da contestazioni, l'accordo di smart working deve contenere punti specifici:

• Fasce di contattabilità e non contattabilità: orari stabiliti in cui il dipendente risponde e finestre in cui è espressamente autorizzato a ignorare qualsiasi input. 

• Misure tecniche: le regole operative adottate (es. blocco dell'invio di email aziendali in orario notturno o attivazione di risposte automatiche). 

• Gestione delle urgenze: una definizione chiara di cosa costituisce emergenza e attraverso quale canale va gestita (per esempio  solo chiamata telefonica vocale, evitati i messaggi in chat). 

• Tutele formali: la garanzia esplicita che disconnettersi non influirà su aumenti, promozioni o valutazioni.

Come strutturare una policy aziendale sulla disconnessione

Affidarsi ai singoli accordi non basta: serve una policy aziendale uniforme per evitare che ogni manager gestisca i collaboratori a modo suo. Il percorso operativo si articola in quattro fasi.

• Mappatura degli strumenti e dei ruoli: analizzare chi, in azienda, utilizza dispositivi portatili o ha accesso remoto ai sistemi fuori sede.

• Definizione delle regole d'ingaggio: impostare buone pratiche condivise, come l'uso della funzione "invia più tardi" per le email scritte di sera.

• Formazione dei responsabili: i primi a dover rispettare gli orari di stacco dei collaboratori sono i capi. La cultura dell'urgenza immotivata si corregge partendo dall’alto.

• Tracciabilità digitale: adottare strumenti che registrano con precisione presenze, uscite e straordinari, impedendo che l'attività extra diventi un flusso sommerso.

Le sanzioni per chi non rispetta il diritto alla disconnessione

Trattare la disconnessione come un dettaglio burocratico espone l'azienda a conseguenze economiche e legali significative. 

Accordi irregolari o nulli: la mancanza della clausola di disconnessione nello smart working rende l'accordo non conforme alla L. 81/2017, scatenando sanzioni amministrative durante le ispezioni. 

Richieste di straordinario e arretrati: email, messaggi e chiamate sistematiche fuori orario diventano prove in tribunale per chiedere il pagamento di ore straordinarie, differenze retributive e contributi. 

Azioni risarcitorie (Art. 2087 c.c.): se l'iperconnessione sistematica genera stress, burnout o problemi di salute, il dipendente può citare in giudizio l'azienda per il danno alla salute, chiamando in causa la violazione dell'obbligo datoriale di tutela previsto dall'art. 2087 c.c.

Diritto alla disconnessione: domande frequenti

Il diritto alla disconnessione vale anche fuori dallo smart working?

Sì. Le regole generali sull'orario di lavoro (D.Lgs. 66/2003) e i CCNL tutelano chiunque. Chi lavora in presenza non è tenuto a rispondere a chiamate o email fuori turno, a meno che non sia attivo un accordo formale di reperibilità.

Il dipendente può rinunciare al diritto alla disconnessione?

No. Essendo una norma posta a tutela della salute e della sicurezza (Art. 32 della Costituzione e D.Lgs. 81/2008), il diritto è indisponibile. Eventuali patti o accordi in cui il lavoratore dichiara di voler "restare sempre reperibile" sono legalmente nulli.

Come si gestisce la reperibilità senza violare la disconnessione?

La reperibilità è un istituto contrattuale a sé stante: prevede un'indennità economica dedicata, limiti di attivazione ben precisi stabiliti dal CCNL e una turnazione formale. Fuori da questo perimetro, vige la disconnessione ordinaria.

Cosa cambia con la Legge 34/2026 sul tema?

La Legge 34/2026 eleva il diritto alla disconnessione a presidio di salute e sicurezza: introduce responsabilità che può assumere rilievo penale se l'azienda omette protocolli tecnici adeguati, e rende necessario l'uso di sistemi digitali capaci di certificare l'effettivo stacco del lavoratore.La legge non nomina la disconnessione e non introduce alcun obbligo di bloccare tecnicamente le comunicazioni fuori orario. Dal 7 aprile 2026 porta il lavoro agile dentro il Testo unico sulla sicurezza: chi lavora in modalità agile fuori dai locali aziendali deve ricevere almeno una volta l'anno un'informativa scritta sui rischi generali e specifici di quella modalità, con consegna anche al rappresentante dei lavoratori per la sicurezza. L'omessa consegna è una contravvenzione, punita con arresto da due a quattro mesi o ammenda. I rischi da iperconnessione vanno considerati tra quelli specifici da individuare nell'informativa: è per questa via, interpretativa e non espressa, che la disconnessione entra nel perimetro della sicurezza sul lavoro.

Un dipendente chiede di lavorare qualche mese dalla casa dei genitori all'estero, o di trasferirsi nel paese del partner continuando a lavorare per l'azienda. È una richiesta sempre più comune a cui molte PMI rispondono con un sì informale.

In realtà, autorizzare lo smart working oltreconfine senza le dovute verifiche apre contemporaneamente quattro fascicoli complessi: previdenziale, fiscale, di stabile organizzazione e di sicurezza sul lavoro. La prestazione da remoto all’estero è legale, ma richiede di garantire la conformità normativa fin dal primo giorno e di documentare ogni passaggio per tutelare il datore di lavoro da sanzioni, contestazioni e rettifiche retroattive sui cedolini.

Vediamo cosa verificare prima di firmare un'autorizzazione, i rischi reali per l'azienda e cosa inserire nell'accordo individuale.

Smart working dall'estero: è legale per i dipendenti italiani?

Lavorare in smart working da un altro Paese è legale, ma non è automatico: la Legge 81/2017 disciplina il lavoro agile come rapporto privo di vincoli di luogo, ma regola solo il profilo contrattuale interno. Non risolve i profili fiscali, previdenziali e autorizzativi che nascono nel momento in cui il lavoratore opera fisicamente in un altro Stato. 

Per un'azienda, autorizzare la prestazione senza verifiche preventive significa esporsi a rischi che emergono solo mesi dopo, quando sono più difficili da gestire:

• accertamenti sulla residenza fiscale del dipendente;

• contestazioni e recuperi contributivi da parte degli enti previdenziali esteri;

• il rischio di configurare una stabile organizzazione non voluta in un altro Paese.

Per evitare che una gestione informale si trasformi in un problema amministrativo, la richiesta non deve mai essere concordata a voce: occorre attivare un flusso di verifica chiaro e raccogliere la documentazione prima dell'inizio della prestazione all’estero.

• Inquadra il Paese: stabilisci se la destinazione è in UE, SEE o Svizzera oppure fuori, perché da qui dipende tutto il resto.

• Verifica la posizione previdenziale: quantifica la percentuale di tempo che il dipendente lavorerà dall'estero e richiedi all'INPS il certificato A1 prima della partenza.

• Verifica la posizione fiscale: stima i giorni di permanenza nel periodo d'imposta e valuta con il consulente se cambia qualcosa sulle ritenute in busta paga.

• Formalizza l'accordo e le comunicazioni: firma l'accordo individuale integrato, invia la comunicazione al Ministero del Lavoro entro cinque giorni e archivia tutto nel fascicolo del dipendente.

Le implicazioni previdenziali: dove va versata la contribuzione

All'interno dell'Unione Europea, il principio generale del Regolamento CE 883/2004 fissa la regola del lex loci laboris: il lavoratore è soggetto al sistema previdenziale del paese in cui svolge fisicamente l’attività. L'articolo 13, paragrafo 1, lettera a), letto insieme all'articolo 14, paragrafi 8 e 10, del Regolamento CE 987/2009, fissa la soglia ordinaria del 25%: se il dipendente lavora abitualmente da un altro Stato membro per almeno un quarto del proprio tempo, scatta l'obbligo di versare i contributi in quel paese.

Dal 2024 esiste una gestione più flessibile: l'Italia ha aderito all'Accordo Quadro multilaterale sul telelavoro transfrontaliero, che consente di lavorare fino al 49,9% del tempo dallo Stato di residenza mantenendo la contribuzione nel Paese del datore di lavoro. L'Accordo vale però solo fra Stati firmatari e solo quando il telelavoro si svolge nello Stato di residenza del lavoratore: non copre il dipendente residente in Italia che chiede di lavorare temporaneamente da un altro Paese, per il quale restano applicabili le regole ordinarie.

Per accedervi l’ufficio HR deve gestire due adempimenti obbligatori:

• accordo scritto tra azienda e lavoratore che certifichi la percentuale esatta di telelavoro previsto;

• richiesta formale di deroga (ex art. 16 del Regolamento) all’INPS per l’ottenimento del certificato A1.

Senza il modello A1 archiviato nel fascicolo del dipendente, si torna alla soglia ordinaria del 25%, con il rischio di dover versare arretrati e sanzioni all'ente previdenziale estero.

Fuori dall'Unione Europea, in assenza di una convenzione bilaterale di sicurezza sociale tra Italia e il paese di destinazione, il rischio concreto è la doppia contribuzione obbligatoria, con versamenti dovuti contemporaneamente sia in Italia sia nel paese estero.

Le implicazioni fiscali: dove il lavoratore paga le tasse

Ai fini fiscali, il riferimento è l’articolo 2 del TUIR, D.P.R. 917/1986, riscritto dal D.Lgs. 209/2023 con effetto dal 1° gennaio 2024. Da quella data si considera fiscalmente residente in Italia chi, per almeno 183 giorni nel periodo d’imposta, soddisfa anche uno solo di quattro criteri alternativi: residenza civilistica, domicilio, presenza fisica nel territorio dello Stato, iscrizione anagrafica. Il criterio che pesa di più sul lavoro da remoto è quello della presenza fisica, perché chi opera dall'Italia per la maggior parte dell'anno integra il requisito a prescindere da dove abbia sede il datore di lavoro. Ne consegue che  l'iscrizione all’AIRE (Agenzia Nazionale Residenti all’Estero) non basta da sola a escludere la residenza fiscale italiana.

L'Agenzia delle Entrate con la Circolare 25/E/2023 ha chiarito che se il lavoratore mantiene in Italia il domicilio (il centro dei propri affari o interessi personali) o la dimora abituale per la maggior parte dell'anno, resta fiscalmente residente in Italia, anche se la permanenza era legata a circostanze eccezionali, come durante l'emergenza Covid. Le istruzioni operative aggiornate ai nuovi criteri sono nella circolare n. 20/E del 4 novembre 2024, che conferma la residenza fiscale italiana del lavoratore in modalità agile fisicamente presente in Italia per oltre 183 giorni.

Superata la soglia dei 183 giorni e accertata la residenza fiscale estera, il reddito può essere tassato nel paese in cui il lavoro viene effettivamente svolto, secondo le Convenzioni contro le doppie imposizioni in vigore tra l'Italia e quel paese. In questo scenario, l'azienda deve ricalibrare la propria posizione di sostituto d'imposta e l'applicazione delle ritenute in busta paga.

I rischi per l'azienda: stabile organizzazione e obblighi locali

È il rischio meno conosciuto e quello con le conseguenze economiche più severe per l’azienda. In via generale l'abitazione privata di un dipendente all'estero non costituisce una stabile organizzazione dell'impresa: perché lo diventi serve che quel luogo sia a disposizione dell'azienda con continuità, oppure che il lavoratore concluda abitualmente contratti in nome dell'impresa. Quando invece il dipendente negozia con clienti locali, definisce prezzi e condizioni, dispone di potere di firma o rappresenta l'impresa in quel Paese, l'attività svolta dalla sua abitazione può configurare una stabile organizzazione occulta ai sensi dell'articolo 5 del Modello OCSE e dell'articolo 162 del TUIR.

L’accertamento da parte delle autorità fiscali estere comporta l’obbligo di dichiarare e tassare in loco la quota di reddito societario prodotto da quella sede, oltre a pesanti sanzioni per omessa dichiarazione.

Per una prima valutazione del rischio, chi si occupa di gestione del personale deve porsi quattro domande operative:

• Il dipendente ha contatto diretto o negozia con clienti locali?

• Può concordare prezzi o condizioni contrattuali?

• Ha il potere di vincolare l'azienda con la propria firma?

• Lavora da casa all’estero per oltre la metà del proprio tempo?

Se la risposta è positiva a più di una domanda, occorre effettuare una verifica con un consulente di fiscalità internazionale prima di autorizzare la modalità.

Cosa deve prevedere l'accordo individuale per il lavoro dall'estero

Un accordo di smart working standard, pensato per l’Italia, non tutela l'azienda all’estero. Per garantire la conformità, l'accordo individuale deve documentare alcuni dati.

• Inquadramento logistico. Paese di destinazione, indirizzo esatto dell'immobile e periodo temporalmente delimitato.

• Percentuale di tempo da remoto. Dato indispensabile per la richiesta del certificato A1 e per rientrare nell'Accordo Quadro europeo.

• Sicurezza dei dati e GDPR. Definizione degli strumenti di lavoro idonei e delle misure di protezione dei dati trattati dall'estero.

• Clausole di revoca unilaterale. Facoltà del datore di lavoro di richiamare il dipendente se il prolungamento compromette la conformità fiscale o previdenziale aziendale.

• Salute e sicurezza (D.Lgs. 81/2008). Informativa scritta annuale sui rischi al lavoratore e al RLS, dovuta anche per la prestazione dall'estero. Dal 7 aprile 2026 l'omissione è sanzionata penalmente (art. 3, comma 7-bis, D.Lgs. 81/2008): arresto da due a quattro mesi o ammenda fino a 7.403,96 euro.

• Comunicazione al Ministero del Lavoro. La comunicazione obbligatoria di lavoro agile va trasmessa sul portale Servizi Lavoro entro cinque giorni dalla firma (art. 23 L. 81/2017), anche quando la prestazione si svolge all'estero. Omissione o ritardo: da 100 a 500 euro per lavoratore.

Documentare con precisione queste condizioni fin dall'inizio permette all'azienda di dimostrare, in caso di ispezione, la corretta gestione del rapporto. 


I paesi UE ed extra-UE: le differenze da conoscere

All'interno dell'Unione Europea (e per i paesi che hanno aderito all'Accordo Quadro), la gestione è relativamente più semplice: soglie percentuali definite (25% o 49,9%), certificato A1 rilasciato dall'INPS come prova della copertura previdenziale, e convenzioni fiscali consolidate tra la maggior parte degli stati membri.

• Fuori dall'Unione Europea, la gestione richiede verifiche puntuali da Paese a Paese.

• Piano previdenziale: occorre verificare l'esistenza di una convenzione bilaterale di sicurezza sociale con l'Italia. In sua assenza, si rischia la doppia contribuzione.

• Piano fiscale: va analizzata la singola convenzione contro le doppie imposizioni per determinare le corrette ritenute da applicare nel cedolino.

• Piano di immigrazione: in molti Paesi extra-UE, lavorare da remoto richiede un visto specifico (come i Digital Nomad Visa) o un permesso di soggiorno per lavoro. Il normale visto turistico non autorizza la prestazione lavorativa.

Smart working estero: domande frequenti

Un dipendente può lavorare dall'estero per qualche settimana senza problemi?

Non esiste una soglia sotto la quale non ci sia nulla da fare. Un periodo di due o quattro settimane di norma non sposta la residenza fiscale né la contribuzione, ma per un'attività svolta in UE, SEE o Svizzera il certificato A1 va richiesto all'INPS prima della partenza, anche per pochi giorni di lavoro. Restano poi necessari l'accordo scritto, la comunicazione al Ministero del Lavoro e la notifica del periodo per la copertura assicurativa.

Serve un accordo specifico diverso da quello standard?

Sì. L'accordo individuale per lo smart working dall'estero deve integrare il modello ordinario ex L. 81/2017 con gli elementi specifici del Paese di destinazione: percentuale di tempo da remoto, indirizzo della sede di lavoro, durata esatta e clausole di revoca legate alla conformità fiscale.

L'azienda rischia sanzioni se non regolarizza la situazione?

Sì. Sul piano previdenziale si rischiano addebiti per contributi omessi all'estero e sanzioni civili. Sul piano fiscale, il rischio principale è l'accertamento di una stabile organizzazione non dichiarata, con sanzioni e recuperi sulle imposte societarie. 

Chi si occupa della copertura assicurativa contro gli infortuni?

Nei Paesi UE la copertura INAIL segue di norma il rapporto di lavoro italiano, e il modello PD DA1 documenta il diritto all'assistenza in caso di infortunio; fuori dall'Unione la posizione assicurativa va verificata Paese per Paese. In ogni caso la condizione essenziale è che l'attività sia stata esplicitamente autorizzata e documentata dall'azienda. Senza un'autorizzazione tracciabile, la tutela dell'infortunio può essere contestata

Con Fluida, le PMI centralizzano la gestione dei documenti e delle autorizzazioni HR in un unico ambiente digitale: puoi archiviare gli accordi individuali nel fascicolo del dipendente, impostare promemoria per la scadenza dei periodi autorizzati all'estero e monitorare con precisione i giorni di presenza e di lavoro agile.

Installare un sistema GPS su un'auto aziendale o su uno smartphone di lavoro sembra una scelta puramente organizzativa. Aiuta a sapere dove si trova un mezzo, a ottimizzare un percorso, tutelare un bene aziendale. Eppure, quello stesso dato di posizione, raccolto nel tempo, diventa quasi sempre anche un dato sul comportamento della persona che lo utilizza: dove si trova, quanto si ferma, che percorso ha seguito.  

È per questo che la geolocalizzazione dei dipendenti si trova all'incrocio tra due corpi normativi: lo Statuto dei Lavoratori e il GDPR. Le aziende che ignorano uno dei due si espongono a sanzioni concrete, come mostrano i provvedimenti adottati dal Garante Privacy tra il 2025 e il 2026.  

Questa guida approfondisce quando il GPS è lecito, cosa deve contenere l'accordo o l'autorizzazione, e cosa rischia chi non rispetta le regole.

Geolocalizzazione dei dipendenti: il quadro normativo di riferimento

Chi installa un sistema di geolocalizzazione deve garantire la conformità su più livelli contemporaneamente, come mostrano i provvedimenti del Garante Privacy in materia.:

• L'articolo 4 dello Statuto dei Lavoratori (L. 300/1970, come modificato dal D.Lgs. 151/2015), che disciplina i controlli a distanza.

• Il GDPR (Regolamento UE 2016/679) e il Codice Privacy, che regolano il trattamento dei dati di posizione come dati personali.

• Il D.Lgs. 104/2022 (Decreto Trasparenza), che si applica quando il sistema di geolocalizzazione include funzioni di monitoraggio automatizzato (art. 1-bis del D.Lgs. 152/1997).

A questo si aggiungono le indicazioni dell'Ispettorato Nazionale del Lavoro, le pronunce della Cassazione e i provvedimenti del Garante Privacy che convergono su un principio: la tecnologia utilizzata conta meno degli effetti concreti del trattamento sul lavoratore.

L'articolo 4 dello Statuto dei Lavoratori: i limiti al controllo a distanza

L'articolo 4 dello Statuto dei Lavoratori vieta l'uso di impianti e strumenti dai quali derivi anche solo la possibilità di controllo a distanza dell'attività dei lavoratori, salvo due condizioni alternative: 

• un accordo con le rappresentanze sindacali aziendali (RSU/RSA);

• in mancanza di accordo, l'autorizzazione dell'Ispettorato Nazionale del Lavoro.

Esiste un'eccezione, prevista dal comma 2, per gli “strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa”: in questo caso non serve accordo né autorizzazione.

Nella Nota INL n. 1511 del 16 febbraio 2026, relativa al settore della vigilanza privata, l'Ispettorato ha chiarito che la presenza di un decreto ministeriale che contempla l'uso di sistemi di geo-referenziazione non basta a trasformarli in strumenti di lavoro esenti dalla procedura dell'art. 4: per rientrare nell'eccezione, lo strumento deve essere strettamente ed esclusivamente indispensabile all'esecuzione della prestazione, non semplicemente utile all'organizzazione o al monitoraggio. La Circolare INL n. 2 del 7 novembre 2016 fornisce il criterio pratico: strumento di lavoro in senso stretto è solo l'apparecchio indispensabile al lavoratore per adempiere la prestazione dedotta in contratto.

Il comma 3, infine, impone in ogni caso un'informativa adeguata al lavoratore sulle modalità d'uso degli strumenti e di effettuazione dei controlli.

Quando il GPS è lecito: le condizioni che lo permettono

La geolocalizzazione dei veicoli aziendali è legittima quando ricorrono insieme tre condizioni.

• Una finalità legittima. Sicurezza sul lavoro, esigenze organizzative e produttive, o tutela del patrimonio aziendale, mai il monitoraggio della prestazione lavorativa come fine a sé stante.

• La procedura dell'art. 4. Accordo sindacale, o in alternativa autorizzazione INL.

• Il rispetto del GDPR. L'informativa preventiva, principio di minimizzazione dei dati, e, quando il monitoraggio è sistematico, una valutazione d'impatto DPIA) ai sensi dell'art. 35 del GDPR. Sui veicoli va inoltre apposta la vetrofania con il pittogramma indicato dal Garante, la cosiddetta informativa di primo livello.

La minimizzazione ha un peso pratico specifico: nel Provvedimento n. 382/2026, il Garante ha sanzionato un'azienda sanitaria pubblica proprio per la frequenza con cui veniva rilevata la posizione dei veicoli assegnati ai suoi autisti, ritenuta sproporzionata: il sistema rilevava la posizione ogni 60 secondi, permettendo di ricostruire l'intero tragitto in modo continuo. Dopo l'intervento del Garante, l'azienda ha ridotto la frequenza di campionamento a 15 minuti e ha disattivato in modo permanente la visualizzazione della posizione in tempo reale, che il Garante ritiene ammissibile solo davanti a esigenze di sicurezza concrete. Il sistema dovrebbe inoltre consentire di sospendere la localizzazione durante le pause e fuori dall’orario di lavoro, con un pulsante dedicato: vale anche quando il mezzo è a uso esclusivamente lavorativo, perché una pausa breve e imprevista resta sempre possibile. 

Un modello che rispetta questo principio per costruzione, per esempio, non salva affatto le coordinate: verifica solo se il dispositivo si trova in un'area autorizzata (il cosiddetto geofencing) e registra l'esito, non la posizione. È l'approccio adottato dalla timbratura smart di Fluida.

Sistemi di localizzazione automatizzati: obblighi di trasparenza

L'obbligo di informativa sui sistemi automatizzati non nasce dalla normativa sull'intelligenza artificiale, ma da una fonte precedente e spesso trascurata: l'articolo 1-bis del D.Lgs. 152/1997, introdotto dal Decreto Trasparenza (D.Lgs. 104/2022). La norma impone al datore di lavoro di informare il lavoratore quando le modalità di esecuzione della prestazione sono organizzate mediante "sistemi decisionali o di monitoraggio automatizzati”, una definizione che, secondo la Circolare del Ministero del Lavoro n. 19/2022, include esplicitamente i sistemi GPS, insieme a gestione turni, determinazione della retribuzione, tablet, smartwatch o braccialetti aziendali. Restano invece esclusi i semplici badge o timbrature che non generano automaticamente una decisione datoriale.

Per un sistema GPS la distinzione è quindi netta:

• un semplice tracker che si limita a registrare la posizione resta soggetto solo all’art. 4 dello Statuto e GDPR;

• se il sistema di geolocalizzazione integra funzioni automatizzate (come il rilevamento automatico di anomalie nei percorsi, alert generati in autonomia o punteggi di efficienza calcolati dall'algoritmo), scattano anche gli obblighi informativi più dettagliati dell'art. 1-bis.

In questo secondo caso, l'azienda deve documentare analiticamente: la logica di funzionamento del sistema, le categorie di dati elaborate, le misure di sicurezza adottate e i potenziali impatti sull'attività del lavoratore.

L'informativa ai lavoratori: cosa deve contenere

L'informativa non è un adempimento formale da archiviare, ma la condizione stessa che rende utilizzabili i dati raccolti: senza un'informativa preventiva, i dati di geolocalizzazione non possono essere usati nemmeno a fini disciplinari, indipendentemente dalla gravità del comportamento del dipendente.

Per essere completa, deve documentare:

• le finalità del trattamento e la base giuridica;

• le modalità di funzionamento del sistema e le modalità con cui vengono effettuate le verifiche;

• le categorie di dati raccolti e i tempi di conservazione;

• se il sistema include componenti automatizzate, la logica di funzionamento richiesta dal D.lgs 152/1997.

Documentare la consegna dell’informativa, non solo il suo contenuto, è altrettanto importante: strumenti che tracciano data e conferma di lettura, come le comunicazioni aziendali, permettono di dimostrarlo senza dover ricostruire tutto a mano in caso di verifiche necessarie.

Il ruolo del Garante Privacy: i provvedimenti più recenti

Il Garante ha affrontato la geolocalizzazione dei lavoratori più volte nel tempo, ma due provvedimenti recenti meritano attenzione. Il Provvedimento n. 755/2025 (18 dicembre 2025) riguarda un sistema di telematica satellitare privo di geolocalizzazione: eppure il dettaglio dei dati raccolti, la loro conservazione per tredici mesi e l'assegnazione di un punteggio sullo stile di guida, senza distinguere tra viaggi professionali e personali, sono stati ritenuti nel loro insieme un monitoraggio dell'attività del lavoratore svolto in assenza delle garanzie dell'art. 4.. Il Provvedimento n. 382/2026 (28 maggio 2026) ha sanzionato un'azienda sanitaria per un trattamento illegittimo dei dati di geolocalizzazione dei propri autisti, evidenziando una frequenza di tracciamento sproporzionata e l'assenza di una DPIA preventiva.

Un principio emerge con chiarezza da questi provvedimenti, ed è forse il più frainteso dalle aziende: l'autorizzazione dell'Ispettorato del Lavoro non esaurisce gli obblighi privacy. Anche in presenza di un titolo legittimante ai sensi dello Statuto dei Lavoratori, il trattamento deve comunque rispettare separatamente i principi del GDPR come liceità, correttezza, trasparenza, minimizzazione. Il ponte tra i due piani è l'art. 114 del Codice Privacy, che richiama l'art. 4 dello Statuto come condizione di liceità del trattamento. Sulla stessa linea la Cassazione (ordinanza n. 3462 del 16 febbraio 2026): titolare del trattamento è chi decide finalità e modalità del sistema, non chi lo ha sviluppato. Il datore di lavoro risponde quindi in proprio anche quando il software è di un fornitore terzo.

Le sanzioni per uso illecito del GPS

Le sanzioni GDPR per un trattamento illecito dei dati di geolocalizzazione possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo globale, ai sensi dell'articolo 83, paragrafo 5, del Regolamento. Nella pratica, gli importi effettivamente irrogati sono spesso più contenuti: nel caso del Provvedimento 382/2026, la sanzione è stata quantificata in 6.000 euro, grazie alla massima cooperazione dell'azienda durante l'istruttoria e all'adeguamento spontaneo del sistema.

Al di là dell'importo, la conseguenza più concreta per un'azienda è un'altra: i dati raccolti senza rispettare la procedura e quindi accordo, autorizzazione, informativa non sono utilizzabili a fini disciplinari: l’inutilizzabilità è sancita dall’art.2-decies del Codice Privacy. Un licenziamento basato su dati GPS raccolti illegittimamente rischia di essere annullato, indipendentemente da quanto fosse fondata la contestazione originaria.

GPS e dipendenti: domande frequenti

Il GPS sulle auto aziendali è sempre lecito?

No. Anche quando il GPS è tecnicamente utile o addirittura richiesto da una normativa di settore, non diventa automaticamente uno strumento di lavoro esente dalla procedura dell'art. 4. Serve comunque un accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato Nazionale del Lavoro, oltre al rispetto del GDPR.

I dipendenti devono essere informati prima dell'attivazione?

Sì, sempre. Senza un'informativa preventiva e adeguata, i dati raccolti non sono utilizzabili nemmeno a fini disciplinari, e il trattamento risulta illegittimo indipendentemente dal fatto che l'azienda abbia ottenuto l'accordo sindacale o l'autorizzazione INL.  

È necessario l'accordo sindacale per usare il GPS?

È la via principale, ma non l'unica: in mancanza di rappresentanze sindacali aziendali o di un accordo, l'azienda può richiedere l'autorizzazione dell'Ispettorato Nazionale del Lavoro. Uno dei due titoli è comunque sempre necessario se il sistema consente un controllo, anche indiretto, dell'attività lavorativa. 

Il GPS sullo smartphone aziendale ha le stesse regole?

Sì. Il principio dell'articolo 4 non riguarda un dispositivo specifico, ma qualunque strumento dal quale derivi la possibilità di controllo a distanza, che sia un'auto, uno smartphone o un tablet aziendale, le garanzie da rispettare sono le stesse.