Lo smart working è diventato una modalità di lavoro permanente in Italia dopo il picco pandemico del 2020-2022. Le statistiche di settore stimano nel 2026 circa 3-4 milioni di lavoratori italiani che operano in modalità ibrida o totalmente remota, con un’enorme variabilità tra settori (servizi, IT, finanza con tassi alti; manifatturiero e retail con tassi più bassi). Ma questa diffusione di massa solleva sfide GDPR specifiche per il datore di lavoro: come garantire la sicurezza dei dati personali quando i dipendenti operano da casa, da uffici condivisi, o in mobilità? Quali strumenti di monitoraggio sono ammessi senza violare lo Statuto dei Lavoratori? E quali sono i confini tra controllo legittimo del datore e violazione della privacy del dipendente?
Questo articolo guida i datori di lavoro italiani — soprattutto PMI e libere imprese — attraverso gli obblighi GDPR specifici dello smart working nel 2026, con riferimenti agli adempimenti dello Statuto dei Lavoratori e ai recenti provvedimenti del Garante. Per la cornice generale sui dati dei lavoratori, vedi anche GDPR: chi è veramente coinvolto?.
Il quadro normativo: tre fonti che si sommano
In Italia, regolamentare lo smart working dal punto di vista privacy significa applicare tre fonti normative simultaneamente:
1. Legge 81/2017 sul lavoro agile (smart working). Disciplina le modalità contrattuali, la parità di trattamento, gli orari, gli strumenti di lavoro. Impone l’accordo scritto tra datore e lavoratore. Non disciplina direttamente la privacy ma fornisce il contesto contrattuale.
2. Statuto dei Lavoratori (Legge 300/1970). Resta pienamente applicabile anche in smart working:
- Art. 4: vieta i controlli a distanza dei lavoratori, salvo eccezioni
- Art. 8: vieta indagini su opinioni e fatti privati non rilevanti per l’attività professionale
- Le tutele del dipendente si applicano anche quando il dipendente è a casa o in mobilità
3. GDPR (Reg. UE 2016/679) e Codice Privacy (D.Lgs. 196/2003). Si applicano per tutti i trattamenti di dati personali nel contesto del rapporto di lavoro:
- Base giuridica: in genere esecuzione del contratto di lavoro, obblighi di legge (es. sicurezza), legittimo interesse documentato
- Informativa al lavoratore (Art. 13 GDPR)
- Misure di sicurezza adeguate (Art. 32)
- Eventuale DPIA per trattamenti ad alto rischio
Per il quadro complessivo, vedi Codice Privacy vs GDPR: cosa sapere in Italia.
I sei rischi specifici dello smart working
Lavorare fuori dall’ufficio aziendale espone i dati a rischi che non esistono (o sono molto attenuati) in presenza.
Rischio 1 — Dispositivi personali (BYOD). Molti smart worker utilizzano il proprio computer personale per accedere a email aziendali, gestionali, documenti. Senza misure adeguate, questo crea:
- Mancanza di controllo del datore sul dispositivo
- Possibile contaminazione tra dati aziendali e personali
- Difficoltà a cancellare i dati aziendali alla fine del rapporto
Mitigazione: politica BYOD scritta, software MDM (Mobile Device Management) che separa profili aziendali e personali, cifratura dei volumi contenenti dati aziendali.
Rischio 2 — Rete domestica e Wi-Fi pubblici. La rete Wi-Fi di casa è in genere meno protetta di quella aziendale. Un Wi-Fi pubblico (caffè, coworking, treno) è ancora più rischioso.
Mitigazione: VPN aziendale obbligatoria, configurazione del router domestico raccomandata, divieto di trasferire dati sensibili su reti pubbliche.
Rischio 3 — Documenti cartacei a casa. Stampe, appunti, foto di documenti possono restare a domicilio del dipendente. In caso di intrusione, furto, o anche solo trasloco, i dati sono esposti.
Mitigazione: politica chiara sul minimo cartaceo, distruzione regolare, divieto di portare a casa documenti riservati.
Rischio 4 — Videocall e registrazioni. Le riunioni in videocall possono contenere dati personali (clienti, colleghi). Le registrazioni, le trascrizioni automatiche (Teams, Zoom, Meet, Webex) creano archivi di dati che vanno gestiti.
Mitigazione: politica chiara sulle registrazioni (quando sono ammesse, con quale consenso, dove sono conservate), termini di conservazione delle trascrizioni AI.
Rischio 5 — Persone in casa che vedono lo schermo. Familiari, coinquilini, ospiti possono vedere lo schermo o sentire conversazioni telefoniche. Per ruoli sensibili (HR, consulenti, medici), questo è un rischio reale.
Mitigazione: postazione di lavoro dedicata, schermo orientato adeguatamente, cuffie con microfono, riservatezza nelle telefonate.
Rischio 6 — Furto o smarrimento del dispositivo. Un laptop dimenticato in treno, rubato in un caffè, o smarrito durante una trasferta diventa un breach se contiene dati personali non cifrati.
Mitigazione: cifratura full-disk obbligatoria, remote wipe configurato, procedura di notifica immediata al datore.
I controlli ammessi e quelli vietati dallo Statuto
L’Art. 4 dello Statuto dei Lavoratori, anche dopo la riforma del 2015 (Jobs Act), continua a porre limiti stringenti ai controlli a distanza dei lavoratori. La regola:
Sono ammessi i controlli sugli strumenti di lavoro (computer, telefono aziendale, account email aziendale) purché:
- Il lavoratore sia informato preventivamente, in forma scritta, su modalità e finalità del controllo
- I controlli siano proporzionati alle finalità (sicurezza, organizzazione, tutela del patrimonio aziendale)
- Il regolamento interno sia stato concordato (in azienda con RSA/RSU) o autorizzato (dalla Direzione Territoriale del Lavoro)
Sono vietati:
- Sistemi di monitoraggio continuo della prestazione (keyboard logger, screenshot periodici, tracciamento del mouse) salvo motivazioni specifiche e procedure formali
- Lettura sistematica della posta elettronica del dipendente
- Geolocalizzazione GPS continua durante il lavoro
- Controlli che riguardano la sfera privata del dipendente
Il Garante ha pubblicato linee guida sul controllo dei dispositivi e degli account email aziendali (provvedimento del 1° marzo 2007 e aggiornamenti successivi). I principi base:
- I controlli devono essere occasionali e motivati
- Il dipendente deve poter usare l’email aziendale per comunicazioni personali (entro limiti ragionevoli) senza che queste siano lette dal datore
- Account email del dipendente cessato: si possono conservare per un periodo limitato (in genere 30-60 giorni) per finalità di continuità operativa, poi cancellati
Le misure obbligatorie per il datore di lavoro
Per uno smart working conforme nel 2026, il datore di lavoro italiano deve implementare almeno queste misure:
Misura 1 — Accordo individuale di smart working. Per ogni dipendente che lavora in modalità agile, accordo scritto (Legge 81/2017) che include:
- Modalità di esecuzione (luoghi ammessi, orari)
- Strumenti forniti dal datore
- Procedure di sicurezza informatica
- Diritto alla disconnessione (Legge 81/2017 Art. 19)
- Modalità di controllo e disciplinare
Misura 2 — Policy aziendale di sicurezza informatica per smart working. Documento scritto che disciplina:
- Uso dei dispositivi aziendali e personali
- Reti ammesse (Wi-Fi aziendale, VPN, divieto di reti pubbliche non protette)
- Cifratura, password, autenticazione a più fattori
- Gestione di documenti cartacei
- Procedure in caso di smarrimento o furto
Misura 3 — Informativa privacy specifica per dipendenti in smart working. Aggiornamento dell’informativa privacy ai dipendenti per coprire:
- Trattamenti specifici dello smart working (controlli sugli strumenti, registrazioni di videocall)
- Finalità del trattamento e basi giuridiche
- Eventuali sub-fornitori (provider di videoconferenza, MDM, cloud)
- Termini di conservazione
Misura 4 — Dispositivi aziendali sicuri. Computer e smartphone aziendali con:
- Cifratura full-disk
- Antivirus aggiornato
- VPN preconfigurata
- MDM per gestione remota
- Backup automatico
Misura 5 — Formazione dei dipendenti. Training obbligatorio almeno annuale sui temi di sicurezza informatica e privacy:
- Phishing e social engineering
- Gestione delle password
- Uso corretto della VPN
- Procedure in caso di breach
Misura 6 — Procedura di breach. Documento scritto che disciplina:
- Chi deve essere notificato in caso di breach (responsabile IT, DPO, datore)
- Tempi di notifica al Garante (72 ore, Art. 33 GDPR)
- Comunicazione agli interessati se rischio elevato (Art. 34)
Per le sanzioni recenti del Garante in tema di breach, vedi Multe Garante 2026: casi recenti e lezioni.
La videoconferenza: gestione GDPR
Le videoconferenze sono diventate il principale strumento di lavoro a distanza. I temi GDPR specifici:
Scelta del fornitore: Zoom, Microsoft Teams, Google Meet, Webex, Whereby — tutti trasferiscono dati negli USA. Il Data Privacy Framework UE-USA copre la legittimità del trasferimento, ma serve documentazione:
- Data Processing Agreement (DPA) con il fornitore
- Verifica delle certificazioni (es. il fornitore aderisce al DPF)
- Configurazione della residenza dei dati quando possibile (es. Teams permette di scegliere data center europei)
Registrazione delle videocall: tre regole:
- Solo con consenso preventivo dei partecipanti
- Conservazione per un termine definito (es. 30 giorni per memorie di servizio, più lungo solo se necessario)
- Cancellazione automatica alla scadenza
Trascrizione automatica AI: la maggior parte dei provider offre oggi trascrizione automatica via AI. Questo crea archivi testuali aggiuntivi che vanno gestiti:
- Sub-fornitore AI: spesso terzo rispetto al provider di videoconferenza
- Conservazione e accesso: chi può vedere le trascrizioni?
- Diritto di rettifica: i partecipanti possono chiedere correzioni o cancellazioni?
Sfondi virtuali e dati di contesto: lo sfondo “vero” del dipendente può rivelare informazioni private (figli, animali, religione, salute). Buona pratica: incoraggiare l’uso di sfondi virtuali o stanza neutra.
Il diritto alla disconnessione
La Legge 81/2017 (Art. 19) ha introdotto in Italia il diritto alla disconnessione: il lavoratore in smart working ha diritto a non essere reperibile fuori dall’orario di lavoro. Per il datore di lavoro:
- L’accordo individuale di smart working deve precisare le modalità di esercizio della disconnessione
- Email e messaggi inviati fuori orario non obbligano il dipendente a rispondere
- Il datore deve astenersi da pratiche di pressione implicita (es. valutazione negativa di chi non risponde la sera)
In termini privacy: monitorare quante volte un dipendente “legge” email fuori orario, per quanto tempo, ecc. costituisce un trattamento di dati personali soggetto al GDPR e ai limiti dello Statuto.
FAQ
Posso usare un keylogger sui computer aziendali dei miei dipendenti? Solo in casi eccezionali, con autorizzazione e procedure rigorose. Lo Statuto dei Lavoratori (Art. 4) vieta i controlli continui. Un keylogger sistematico è quasi sempre illegittimo, e il Garante sanziona pesantemente questo tipo di pratica.
Posso geolocalizzare il dipendente in smart working? No, salvo eccezioni motivate (es. flotte aziendali con auto di servizio, e solo per finalità di sicurezza/logistica). La geolocalizzazione GPS continua di un dipendente in smart working è un controllo a distanza vietato dall’Art. 4 dello Statuto.
Devo nominare un DPO se ho dipendenti in smart working? Non automaticamente. Il DPO è obbligatorio per i criteri dell’Art. 37 GDPR (autorità pubblica, attività di monitoraggio su larga scala, trattamento di categorie particolari su larga scala). Lo smart working in sé non rientra in questi criteri. Tuttavia, un’azienda media con 30+ dipendenti e dati di clienti dovrebbe valutare seriamente la nomina.
I miei dipendenti possono usare ChatGPT/Claude per lavorare? Dipende dai dati inseriti nel prompt. Inserire dati dei clienti, dati di colleghi, dati riservati aziendali è un trasferimento a un fornitore terzo (OpenAI, Anthropic) che richiede base giuridica e documentazione. Buona pratica: policy aziendale chiara su quale AI è ammessa, per quali compiti, con quali dati.
Cosa fare se un dipendente perde il laptop aziendale?
- Notifica immediata al responsabile IT (entro ore)
- Remote wipe se configurato
- Valutazione del rischio: se il disco era cifrato e la password robusta, il rischio è basso (probabilmente non costituisce breach notificabile)
- Notifica al Garante (72 ore) se il rischio è significativo
- Comunicazione ai dipendenti il cui contenuto era esposto
Lo smart working da paesi extra-UE è ammesso? Tecnicamente sì, ma con cautele:
- Lo stato del lavoratore può cambiare (residenza fiscale, contributi)
- Il trasferimento di dati aziendali in paesi extra-UE è un trasferimento internazionale soggetto al GDPR (Capo V)
- Alcuni paesi hanno restrizioni sull’uso di strumenti aziendali (Russia, Cina)
- Il datore deve aggiornare l’informativa e l’accordo di smart working
Articolo aggiornato il 3 giugno 2026. I riferimenti normativi citati sono al GDPR (Reg. UE 2016/679), al Codice Privacy (D.Lgs. 196/2003), allo Statuto dei Lavoratori (Legge 300/1970) e alla Legge 81/2017 sul lavoro agile.
