Rilevazione presenze conforme al GDPR: cosa devono sapere i datori di lavoro

In Italia, a seguito della sentenza della Corte di Giustizia dell’UE del 2019 e degli obblighi derivanti dal Regolamento UE 2016/679 (GDPR), i datori di lavoro sono tenuti a rilevare l’orario di lavoro dei propri collaboratori. La normativa italiana di riferimento è il Codice Privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) e il GDPR stesso, con la vigilanza del Garante per la Protezione dei Dati Personali. Come si concilia questo obbligo con i requisiti stringenti in materia di protezione dei dati? In questo articolo troverà tutto ciò che è essenziale sapere.

La doppia sfida

Le aziende si trovano di fronte a due obblighi che vanno rispettati in parallelo:

1. Obbligo di rilevazione dell’orario di lavoro: La giurisprudenza europea e le normative nazionali impongono ai datori di lavoro di adottare un sistema per la registrazione dell’orario di lavoro. Per un approfondimento, consulti il nostro articolo sull’obbligo di rilevazione delle presenze.

2. Protezione dei dati: Il GDPR e il Codice Privacy italiano richiedono un trattamento accurato dei dati personali — e gli orari di lavoro sono dati personali a tutti gli effetti.

Quali dati possono essere raccolti?

Dati ammissibili

Nell’ambito della rilevazione delle presenze è consentito raccogliere:

• Inizio e fine dell’orario di lavoro giornaliero
• Pause
• Straordinari
• Attribuzione a progetto o cliente (se necessario per ragioni operative)
• Posizione geografica per i collaboratori in mobilità (con limitazioni — consulti il nostro articolo sul GPS tracking dei dipendenti: cosa è consentito?)

Dati non ammissibili

Non possono essere raccolti:

• Protocolli dettagliati delle attività svolte
• Contenuti delle pause private
• Misurazioni delle prestazioni senza giustificato motivo
• Tracciamento continuativo della posizione

I 7 principi del GDPR nella rilevazione presenze

1. Liceità del trattamento

È necessaria una base giuridica per il trattamento. Per la rilevazione delle presenze si tratta di:

• Art. 6, par. 1, lett. c) GDPR (obbligo legale)
• Art. 6, par. 1, lett. f) GDPR (legittimo interesse)

2. Limitazione delle finalità

I dati orari raccolti possono essere utilizzati solo per scopi definiti:

• ✅ Elaborazione delle retribuzioni
• ✅ Documentazione verso le autorità competenti
• ✅ Fatturazione per progetto
• ❌ Controllo occulto delle prestazioni
• ❌ Elaborazione di profili comportamentali

3. Minimizzazione dei dati

Raccolga solo i dati effettivamente necessari. Si ponga queste domande:

• Ho davvero bisogno di questa informazione?
• Esiste un’alternativa meno invasiva?
• Posso ottenere il risultato con meno dati?

4. Esattezza

I dati raccolti devono essere corretti. Questo implica:

• I collaboratori devono poter verificare i propri orari
• Le correzioni devono essere possibili
• I dati errati devono essere rettificati

5. Limitazione della conservazione

I dati possono essere conservati solo per il tempo necessario:

Tipologia di dato	Periodo di conservazione
Documentazione retributiva	10 anni (obblighi fiscali e previdenziali)
Prove di straordinari	In base al CCNL applicato
Dati GPS	Il minor tempo possibile

6. Integrità e riservatezza

Devono essere adottate misure tecniche adeguate:

• Cifratura dei dati
• Controlli degli accessi
• Password sicure
• Backup regolari

7. Responsabilizzazione (Accountability)

Il datore di lavoro deve essere in grado di dimostrare la conformità:

• Processi documentati
• Registro delle attività di trattamento
• Valutazione d’impatto sulla protezione dei dati (se applicabile)

Attuazione pratica

Redigere il registro delle attività di trattamento

Documenti la rilevazione delle presenze nel registro delle attività di trattamento ai sensi dell’art. 30 GDPR:

Attività di trattamento: Rilevazione dell'orario di lavoro
Finalità: Adempimento dell'obbligo di legge, elaborazione delle retribuzioni
Categorie di interessati: Dipendenti e collaboratori
Categorie di dati: Orari di lavoro, pause, eventualmente dati di posizione
Termini di cancellazione: 10 anni dalla chiusura dell'anno solare
Misure tecniche: Cifratura, controlli degli accessi

Adempiere agli obblighi di informativa

Informi i propri collaboratori ai sensi dell’art. 13 GDPR in merito a:

1. Titolare del trattamento: Chi è responsabile del trattamento dei dati?
2. Finalità: Per quale scopo vengono raccolti i dati?
3. Base giuridica: Su quale fondamento normativo?
4. Destinatari: Chi riceve i dati?
5. Periodo di conservazione: Per quanto tempo vengono conservati i dati?
6. Diritti degli interessati: Quali diritti hanno i collaboratori?

Regolare il rapporto con il responsabile del trattamento

Utilizza un software esterno? In tal caso è obbligatorio stipulare un accordo di responsabile del trattamento (Data Processing Agreement — DPA) ai sensi dell’art. 28 GDPR con il fornitore. Tale accordo disciplina:

• Istruzioni documentate al responsabile
• Misure tecniche e organizzative
• Sub-responsabili del trattamento
• Cancellazione dei dati alla scadenza del contratto

Checklist: la Sua rilevazione presenze è conforme al GDPR?

✅ Base giuridica documentata?

✅ Collaboratori informati tramite informativa privacy?

✅ Raccolti solo i dati strettamente necessari?

✅ Diritti di accesso definiti e limitati?

✅ Termini di cancellazione stabiliti?

✅ Sicurezza tecnica garantita?

✅ DPA stipulato con il fornitore del software?

✅ Registro delle attività di trattamento aggiornato?

✅ Diritti degli interessati garantiti (accesso, rettifica, cancellazione)?

✅ Responsabile della protezione dei dati (DPO) coinvolto, ove obbligatorio?

Crew Active: conformità al GDPR integrata by design

In Crew Active la protezione dei dati è stata progettata sin dall’inizio come elemento strutturale della piattaforma.

Infrastruttura europea

• Server ubicati esclusivamente in data center europei
• Partner contrattuale con sede nell’UE
• Supporto in lingua italiana disponibile

Privacy by Design

• Vengono raccolti solo i dati strettamente necessari
• Cancellazione automatica al termine dei periodi di conservazione definiti
• Diritti di accesso granulari e configurabili
• Trasmissione dei dati cifrata end-to-end

Documentazione giuridicamente sicura

• Accordo di responsabile del trattamento (DPA) pronto all’uso
• Supporto nell’adempimento degli obblighi informativi
• Funzioni di esportazione per rispondere alle richieste degli interessati

Conclusione

Una rilevazione delle presenze conforme al GDPR e al Codice Privacy italiano non è un’impresa impossibile, ma richiede scelte consapevoli e processi ben strutturati. Con il software giusto e procedure ben pensate, è possibile soddisfare sia l’obbligo di rilevazione sia le prescrizioni del Garante Privacy — senza compromessi.

---

Provi Crew Active: Rilevazione presenze che prende sul serio la protezione dei dati. 1 mese gratuito, senza rischi.