Rif. Sentenza: Tribunale di Cosenza, 1 luglio 2026, n. 1368/25 RG (Prima Sezione Civile, Giudice Dott. R. G.).

Il perimetro dei controlli a distanza nel lavoro agile ha trovato un nuovo, fondamentale punto di equilibrio. Con la sentenza in epigrafe, il Tribunale di Cosenza ha annullato l’ordinanza-ingiunzione del Garante per la protezione dei dati personali (che aveva irrogato una sanzione da 50.000 euro) e la conseguente cartella esattoriale, bocciando la tesi dell’Autorità secondo cui l’uso di applicativi di geolocalizzazione per la timbratura nel lavoro agile sarebbe in toto illecito. Per gli addetti ai lavori, questa pronuncia non è una mera vittoria di parte, ma una sentenza-manuale che smonta l’impostazione sanzionatoria basata sulle potenzialità astratte di un software, per ancorarla alla concretezza fattuale del suo utilizzo.

Il Nodo Giuridico: Dove “mirano” i Giudici di Cosenza

Il Tribunale individua con chiarezza chirurgica i due vizi macroscopici dell’ordinanza del Garante: il travisamento del fatto e l’eccesso di potere per invasione di competenze giuslavoristiche.

1. Il travisamento del fatto: la geolocalizzazione “istantanea ed estemporanea” Il Garante aveva sanzionato l’Ente ritenendo che l’app “Time Relax” fosse uno strumento di “monitoraggio diretto, costante e indiscriminato”. Il Giudice civile, entrando nel merito tecnico, dimostra che il software non traccia i movimenti durante la giornata, ma si limita a rilevare le coordinate geografiche esclusivamente nel momento esatto della timbratura (ordinaria o straordinaria a seguito di controllo a campione tramite preventiva telefonata). Il Tribunale chiarisce che non siamo di fronte a un controllo della condotta, ma a un mezzo di rilevazione della presenza assimilabile ai sistemi automatizzati di timbratura, seppur “potenziati” dalla remotizzazione.

2. L’eccesso di potere: il Garante non è un Giudice del Lavoro Il passaggio più innovativo della sentenza riguarda la natura del lavoro agile. Il Garante aveva sostenuto che, essendo il lavoro agile una prestazione “per obiettivi” e senza vincoli di orario/luogo, il controllo sulla presenza fosse a priori incompatibile con il modello contrattuale. Il Tribunale di Cosenza stoppa questa deriva, affermando che non rientra fra i poteri del Garante “esprimere un giudizio tecnico-giuridico sul modulo laburistico adottato dall’Ente”. Il nucleo identitario del lavoro agile (ex art. 18 L. 81/2017) è l’accordo tra le parti: se le parti (o la contrattazione sindacale integrativa) pattuiscono l’obbligo di localizzarsi in specifici luoghi e prevedono verifiche a campione, il Garante non può sostituirsi al legislatore o alle parti sociali invalidando il contratto.

L’Arsenal Normativo e Giurisprudenziale (Le parole esatte dei Giudici)

Per costruire la propria decisione, il Giudice di Cosenza utilizza un perimetro normativo e giurisprudenziale preciso. Di seguito si riportano i testi esatti citati in sentenza, fondamentali per le memorie difensive.

Sulla natura degli strumenti (Art. 4 Statuto dei Lavoratori):

«La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze» (Art. 4, comma 2, L. 300/1970). «Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196» (Art. 4, comma 3, L. 300/1970).

Sul Lavoro Agile (L. 81/2017):

«L’accordo relativo alla modalità di lavoro agile disciplina l’esercizio del potere di controllo del datore di lavoro sulla prestazione resa dal lavoratore all’esterno dei locali aziendali nel rispetto di quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300, e successive modificazioni» (Art. 21, comma 1, L. 81/2017).

Sulla Cassazione: Il Principio di Metodo e il Consenso

Il Tribunale richiama giurisprudenza di legittimità per dimostrare che la liceità dipende dal funzionamento concreto e che il consenso del lavoratore, se informato, ha un peso specifico decisivo.

• Cass. civ., sez. L, 22/9/2021, n. 25732 (Il principio di metodo): «la valutazione del regime giuridico applicabile dipende da come concretamente funziona l’attrezzo di controllo, a prescindere dal nome o dalla qualificazione datane dal datore di lavoro».
• Cass. civ., sez. L, 13/5/2016, n. 9904 (I sistemi di timbratura “potenziati” non sono vietati per sé): «La rilevazione dei dati di entrata ed uscita dall’azienda mediante un’apparecchiatura predisposta dal datore di lavoro […] ove sia utilizzabile anche in funzione di controllo a distanza del rispetto dell’orario di lavoro e della correttezza dell’esecuzione della prestazione, si risolve in un accertamento sul “quantum” dell’adempimento, sicché è illegittima ai sensi dell’art. 4, comma 2, della l. n. 300 del 1970 se non concordata con le rappresentanze sindacali, ovvero autorizzata dall’ispettorato del lavoro […]».
• Cass. civ., sez. lavoro, 24/11/2025, n. 30822 (Il valore del consenso e dell’informativa): «In tema di controllo a distanza, le informazioni raccolte tramite impianti audiovisivi autorizzati ai sensi dell’art. 4 della legge n. 300/1970 nel testo modificato dal D.Lgs. n. 151/2015, sono utilizzabili a tutti i fini connessi al rapporto di lavoro, inclusi quelli disciplinari, a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e dell’effettuazione dei controlli, e nel rispetto delle disposizioni dettate dal Codice in materia di protezione dei dati personali».

La “Checklist” per il Legale: Come Vincere una Causa Simile

Alla luce dell’architettura argomentativa del Tribunale di Cosenza, l’avvocato che si trovi a difendere un datore di lavoro (pubblico o privato) sanzionato dal Garante per l’uso di app di geolocalizzazione/timbratura nello smart working deve impostare la strategia difensiva su quattro pilastri inattaccabili, evitando di cadere nella trappola della “difesa astratta sulla privacy”.

1. Demolire la premessa fattuale del Garante (Il “Fatto” batte il “Potenziale”)

Il Garante tende a sanzionare le funzionalità teoriche di un software GPS (es. “può tracciare tutto il giorno”).

• Azione: Produrre immediatamente la documentazione tecnica (manuali, log di sistema, verbali sindacali) che dimostri come il software sia configurato per attivare la geolocalizzazione esclusivamente e istantaneamente al momento del tap di timbratura (o su chiamata per controllo a campione).
• Argomento chiave: Citare il Tribunale di Cosenza: non si tratta di monitoraggio diurno, ma di una “istantanea ed estemporanea geolocalizzazione” assimilabile alla timbratura col badge cartaceo, solo digitalizzata.

2. Eccepire l’Eccesso di Potere per Invasione di Competenza Giuslavoristica

Se il Garante motiva la sanzione affermando che “il lavoro agile non prevede controlli sui luoghi o sugli orari”, la difesa non deve limitarsi a citare il GDPR.

• Azione: Eccepire l’eccesso di potere dell’Autorità Amministrativa Indipendente. Il Garante non ha il potere di riscrivere l’art. 18 della L. 81/2017. Se l’accordo individuale o la contrattazione collettiva integrativa hanno pattuito specifiche postazioni di lavoro e modalità di verifica, il Garante deve limitarsi a verificare se il trattamento dati rispetta il GDPR, non se il contratto di lavoro è conforme a un suo personale e rigido paradigma di smart working.

3. Valorizzare l’Accordo Sindacale e il Consenso Informato (L’overruling del Garante)

Il Garante spesso liquida il consenso del dipendente come “viziato” dal rapporto di subordinazione, rendendolo irrilevante.

• Azione: Smontare questa tesi definendola un’“operazione ermeneutica di overruling” che “finisce per svilire” la dignità del lavoratore, privandolo della capacità di disporre dei propri diritti (ex art. 5 c.c.).
• Prova: Dimostrare che il consenso non è stato estorto, ma è il frutto di un iter procedimentale trasparente (verbali sindacali, informative dettagliate, regolamenti aziendali). Citare Cass. n. 30822/2025 per ribadire che l’adeguata informazione rende i dati pienamente utilizzabili, anche a fini disciplinari.

4. Attaccare la Mancata Valutazione di Impatto (DPIA) Reale

Il Garante contesta la sproporzione del trattamento.

• Azione: Dimostrare che la DPIA (Valutazione di Impatto) non è stata omessa, ma è stata effettuata in sede di accordo sindacale (come rilevato dal Giudice di Cosenza nel verbale del 2023/2024). Inoltre, far notare l’irragionevolezza della pretesa del Garante di sostituire i controlli automatizzati con “report periodici” o “momenti di confronto”, poiché ciò ignora la realtà tecnica e organizzativa del lavoro agile, dove l’automazione è l’unico strumento di verifica oggettiva e paritaria.

In sintesi: La sentenza di Cosenza insegna che, nel contenzioso privacy sul lavoro, la vittoria si ottiene spostando il piano dello scontro dall’ideologia della sorveglianza di massa alla cronaca dei fatti tecnici e contrattuali, costringendo il Garante a rimanere entro i confini della sua competenza amministrativa, senza sconfinare in giudizi di merito sul diritto del lavoro.