La regione Lombardia è stata sanzionata nei giorni scorsi dal Garante per la privacy per aver raccolto e conservato dati relativi alla navigazione web e alle comunicazioni di posta elettronica dei dipendenti che lavorano in modalità agile. La misura, considerata una violazione della normativa sulla tutela dei dati personali e sul controllo a distanza dei lavoratori, riguarda l’assenza di un confronto preventivo con le rappresentanze sindacali, come previsto dallo Statuto dei Lavoratori. Il provvedimento impone alla Lombardia di porre rimedio entro novanta giorni, evitando così pratiche di sorveglianza che rischiano di trasformarsi in un controllo occulto delle attività lavorative.
Le motivazioni della sanzione del garante privacy alla regione lombardia
Alla fine di aprile 2025, il Garante per la protezione dei dati personali ha annunciato una multa nei confronti della regione Lombardia per irregolarità nella gestione dei dati dei dipendenti in smart working. In particolare, la regione aveva raccolto e archiviato i log di navigazione internet — cioè gli elenchi dei siti visitati — e le informazioni relative alla posta elettronica aziendale senza aver prima informato e coinvolto le rappresentanze sindacali. Questa omissione rappresenta una violazione dello Statuto dei Lavoratori, che tutela la riservatezza e la dignità dei lavoratori anche quando operano da remoto.
Sorveglianza e mancanza di trasparenza
Secondo il Garante, la Regione ha messo in atto una forma di sorveglianza, diretta o indiretta, che può compromettere il diritto alla riservatezza durante le attività svolte in smart working. Il controllo sui dati raccolti, infatti, non era preceduto da un accordo specifico con i sindacati e dunque mancava la trasparenza necessaria in questi casi. Questa situazione ha sollevato preoccupazioni sul possibile uso non autorizzato dei dati e su un controllo troppo invasivo sui dipendenti.
I dati raccolti e le implicazioni del controllo sulle attività in smart working
Le informazioni oggetto della contestazione riguardano soprattutto due tipologie di dati sensibili per i lavoratori in smart working. La prima riguarda i log di navigazione, cioè il tracciamento dei siti web visitati dai dipendenti durante l’orario di lavoro. Questo tipo di controllo può rivelare non solamente le attività lavorative svolte, ma anche eventuali visite a pagine personali o di altro tipo, con implicazioni sulla privacy.
La seconda categoria riguarda la posta elettronica aziendale. Conservare e monitorare i messaggi di mail senza accordi espliciti può indurre una forma di sorveglianza nascosta, che si pone come deterrente e limita la libertà di comunicazione interna. I dipendenti potrebbero sentirsi sotto controllo continuo senza essere stati messi al corrente, situazione che crea tensione e sfiducia.
Limiti e prescrizioni per il trattamento dei dati
Il Garante ha sollecitato la regione Lombardia a correggere questa condotta, segnalando che la raccolta e il trattamento dei dati devono rispettare limiti precisi, sia per la tutela della privacy che per evitare forme di controllo eccessive o non concordate. Quindi ogni monitoraggio nelle realtà di lavoro agile deve essere trasparente, motivato, proporzionato ed eseguito solo dopo aver coinvolto i sindacati e i lavoratori.
Il termine di 90 giorni per la regione lombardia per adeguarsi alle prescrizioni
Il Garante ha concesso alla regione Lombardia un termine di novanta giorni per correggere le violazioni riscontrate sulla gestione dei dati personali dei lavoratori in smart working. Questo periodo serve a predisporre e adottare tutte le misure necessarie a rispettare le norme vigenti, a partire dall’avvio di un confronto obbligatorio con le rappresentanze sindacali.
L’adeguamento prevede l’eliminazione delle pratiche di raccolta dati non autorizzate e la definizione di regole chiare su quali informazioni possono essere raccolte durante l’orario di lavoro e come devono essere gestite. La regione dovrà inoltre garantire trasparenza ai dipendenti, informandoli sui trattamenti effettuati e assicurandone i diritti di accesso e controllo sui propri dati.
Evitare un controllo occulto sulle attività lavorative
Questi interventi sono essenziali per evitare che il monitoraggio delle attività lavorative si trasformi in uno strumento di controllo occulto, che la legge impedisce per salvaguardare la libertà e la dignità dei lavoratori. Il mancato rispetto delle prescrizioni potrebbe comportare ulteriori sanzioni o provvedimenti da parte del Garante o di altre autorità competenti.
Il ruolo dello statuto dei lavoratori nella regolazione del controllo a distanza
Lo Statuto dei Lavoratori, norma centrale sul diritto e sulla tutela dei lavoratori in Italia, stabilisce precise regole sul controllo a distanza e sulle misure di sorveglianza negli ambienti di lavoro. In particolare prevede che qualsiasi forma di monitoraggio sulle attività dei dipendenti debba essere concordata preventivamente con le rappresentanze sindacali e rispettare criteri di trasparenza e proporzionalità.
Nel caso della regione Lombardia, la mancanza di accordo sindacale ha reso nullo il presupposto legale per la raccolta di dati personali in smart working. Questo rende nullo o illecito il trattamento dei log di navigazione e delle mail senza aver coinvolto i soggetti che rappresentano i lavoratori.
Protezione della sfera privata e fiducia reciproca
La norma intende tutelare anche la sfera privata dei dipendenti e assicurare che il monitoraggio non venga usato per usi non consentiti, come una forma di sorveglianza costante o di pressione sul lavoratore. L’applicazione corretta dello Statuto è un passaggio fondamentale per garantire un rapporto di fiducia tra datore di lavoro e dipendenti anche nell’ambiente digitale.
Il contesto recente delle normative e il rischio delle sorveglianze non autorizzate
Negli ultimi anni il tema del lavoro agile ha portato all’attenzione delle autorità e delle aziende il problema del controllo e della privacy dei dipendenti fuori dall’ufficio fisico. La diffusione dello smart working ha richiesto che venissero stabilite regole precise per evitare derivazioni di sorveglianza non autorizzate, che ridurrebbero gli spazi di libertà e autonomia per chi lavora da remoto.
La vicenda della regione Lombardia evidenzia come, anche a pochi anni dal grande impiego dello smart working, possa ancora mancare attenzione e rigore nell’applicazione delle regole sulla privacy. Il Garante continua a ricordare a enti e imprese che ogni monitoraggio deve essere giustificato da motivi leciti, documentato e trasparente.
Tutela dei dati personali per salvaguardare libertà e diritti
Nel contesto attuale, la tutela dei dati personali assume un ruolo cardine per conservare diritti e libertà delle persone. La tecnologia permette di raccogliere molte informazioni ma questo deve avvenire rispettando la legge e con il consenso informato, altrimenti la linea fra controllo e abuso diventa sottile e pericolosa.
“La tecnologia è un alleato prezioso solo se usata nel rispetto della persona e della normativa vigente,” ha commentato un esperto in privacy.
