Guida GDPR 2026 🇮🇹

GDPR e Timbratura Dipendenti: Guida Completa

Raccogliere i dati di timbratura dei dipendenti è lecito — ma solo se fatto nel rispetto del GDPR. Scopri le basi giuridiche corrette, gli obblighi del datore di lavoro e come scegliere un software presenze conforme alla normativa italiana.

In sintesi: Il trattamento dei dati di timbratura rientra nell'art. 6(1)(b) e (c) del GDPR — esecuzione del contratto di lavoro e obbligo legale. Il consenso del dipendente non è la base giuridica corretta. I dati devono essere conservati per almeno 5 anni e protetti con misure adeguate.

Prova NoBadge gratis 15 giorni Leggi la normativa presenze

Nessuna carta di credito richiesta · Server UE · Conforme GDPR

Contenuto della guida

  1. 1. Cosa sono i dati di timbratura e perché sono dati personali
  2. 2. La base giuridica corretta: contratto, obbligo legale o consenso?
  3. 3. L'informativa privacy per i dipendenti
  4. 4. Conservazione dei dati: per quanto tempo?
  5. 5. Timbratura GPS e GDPR: cosa è permesso
  6. 6. Gli obblighi del datore di lavoro
  7. 7. Come scegliere un software presenze conforme GDPR
  8. 8. FAQ: domande frequenti su GDPR e timbratura
Fondamenti GDPR

I dati di timbratura sono dati personali: cosa dice il GDPR

Quando un dipendente timbra l'entrata o l'uscita — che sia tramite badge fisico, app GPS o QR code — vengono generati dati che identificano una persona fisica in un preciso momento e luogo. Secondo il Regolamento UE 2016/679 (GDPR), questi dati rientrano a pieno titolo nella categoria dei dati personali e il loro trattamento deve rispettare i principi di liceità, correttezza e trasparenza.

Orari di ingresso/uscita

Identificano la persona e rivelano abitudini, orari di vita e comportamenti lavorativi.

Dati di geolocalizzazione

Le coordinate GPS al momento della timbratura sono dati personali sensibili al contesto.

Ferie, permessi, assenze

Possono rivelare indirettamente informazioni sullo stato di salute o sulla vita privata.

"Qualsiasi informazione riguardante una persona fisica identificata o identificabile costituisce un dato personale." — Art. 4, GDPR UE 2016/679

Il titolare del trattamento — cioè il datore di lavoro — è responsabile di garantire che la raccolta, l'archiviazione e l'utilizzo di questi dati avvenga in modo lecito e proporzionato allo scopo. La violazione del GDPR in materia di privacy rilevazione presenze può comportare sanzioni fino al 4% del fatturato globale annuo o 20 milioni di euro.

Base giuridica

Quale base giuridica usare per la timbratura dipendenti?

Questo è il punto più frainteso dalla maggior parte dei datori di lavoro italiani. Molte aziende chiedono ai dipendenti di "firmare un consenso" per la rilevazione presenze — ma questo approccio è sbagliato e potenzialmente invalido secondo il GDPR.

❌ Perché il consenso non funziona nel rapporto di lavoro

Il GDPR richiede che il consenso sia libero, specifico, informato e inequivocabile. Nel contesto lavorativo, il rapporto di dipendenza tra datore e lavoratore rende il consenso strutturalmente non libero. Il Garante Privacy italiano ha confermato questa posizione: il consenso non è una base giuridica valida per trattare dati nell'ambito del rapporto di lavoro subordinato.

Le basi giuridiche corrette per la conformità GDPR presenze

Art. 6(1)(b) — Esecuzione del contratto

Il trattamento è necessario per l'esecuzione del contratto di lavoro. La rilevazione delle presenze è funzionale al calcolo della retribuzione, alla verifica dell'orario di lavoro e alla gestione del rapporto contrattuale. Questa è la base principale.

Art. 6(1)(c) — Obbligo legale

Il D.Lgs. 66/2003 e il D.Lgs. 81/2015 impongono al datore di lavoro di registrare l'orario di lavoro e di conservarne la documentazione. La rilevazione presenze è quindi un obbligo di legge, non una scelta discrezionale.

Art. 6(1)(f) — Legittimo interesse (uso limitato)

Applicabile in casi specifici come la prevenzione di frodi o la tutela della sicurezza aziendale, sempre previa valutazione di bilanciamento degli interessi. Non sostituisce le basi principali, ma può integrarle in scenari particolari.

Trasparenza

L'informativa privacy per i dipendenti: cosa deve contenere

Anche se il consenso non è la base giuridica corretta, il datore di lavoro ha comunque l'obbligo di fornire ai dipendenti un'informativa privacy completa ai sensi degli artt. 13-14 del GDPR, prima che il trattamento abbia inizio.

Elementi obbligatori dell'informativa per la rilevazione presenze

  • Identità e dati di contatto del titolare del trattamento (datore di lavoro)
  • Finalità del trattamento (calcolo retribuzione, verifica orario, adempimenti legali)
  • Base giuridica applicabile (art. 6(1)(b) e/o (c) GDPR)
  • Periodo di conservazione dei dati (minimo 5 anni)
  • Diritti dell'interessato (accesso, rettifica, cancellazione, opposizione)
  • Eventuali trasferimenti a terzi (es. consulente del lavoro, software in cloud)
  • Diritto di proporre reclamo al Garante Privacy italiano

L'informativa deve essere consegnata in forma scritta — anche digitale — prima dell'inizio del rapporto di lavoro o comunque prima che il sistema di rilevazione presenze venga attivato. Se utilizzi un software in cloud come NoBadge, il fornitore agisce come responsabile del trattamento e deve essere indicato nell'informativa con apposito accordo DPA (Data Processing Agreement).

Conservazione dati

Per quanto tempo conservare i dati di timbratura?

Il principio di limitazione della conservazione del GDPR (art. 5(1)(e)) impone di non conservare i dati personali più a lungo del necessario. Per i dati di timbratura, il periodo di conservazione è determinato dalla normativa lavoristica italiana.

5 anni

Periodo minimo di conservazione

In linea con i termini di prescrizione previsti dalla normativa lavoristica italiana per le controversie sul rapporto di lavoro (art. 2948 c.c.).

10 anni

Per documentazione contabile

I dati di presenze collegati alla retribuzione e alla documentazione contabile possono richiedere conservazione fino a 10 anni per obblighi fiscali.

✅ Come NoBadge gestisce la conservazione

NoBadge archivia automaticamente tutti i dati di timbratura per 5 anni su server situati in Italia, nel rispetto del GDPR. Al termine del periodo, i dati vengono eliminati in modo sicuro. Il sistema mantiene un log di audit completo per eventuali ispezioni dell'Ispettorato del Lavoro.

Geolocalizzazione

Timbratura GPS e GDPR: cosa è permesso in Italia

La timbratura tramite GPS è una delle modalità più diffuse per i lavoratori in mobilità — tecnici, agenti, operatori sul campo. Ma la geolocalizzazione dei dipendenti è soggetta a regole precise che derivano sia dal GDPR sia dall'art. 4 dello Statuto dei Lavoratori (L. 300/1970, modificato dal D.Lgs. 151/2015).

✅ Cosa è consentito

  • Rilevazione GPS solo durante l'orario di lavoro
  • Posizione al momento della timbratura (non tracking continuo)
  • Informativa preventiva ai dipendenti
  • Accordo sindacale o autorizzazione dell'Ispettorato del Lavoro (se strumento di controllo indiretto)
  • Finalità proporzionata (verifica presenza, non sorveglianza)

❌ Cosa non è consentito

  • Tracking GPS continuo durante e fuori dall'orario di lavoro
  • Geolocalizzazione senza informativa ai dipendenti
  • Uso dei dati GPS per scopi diversi dalla verifica presenze
  • Controllo a distanza dell'attività lavorativa senza accordo sindacale
  • Conservazione dei dati di posizione oltre il periodo necessario

⚠️ Attenzione: Se il sistema GPS viene utilizzato anche indirettamente per controllare l'attività lavorativa (non solo la presenza), si applica l'art. 4 dello Statuto dei Lavoratori che richiede accordo con le RSA/RSU o, in assenza, autorizzazione dell'Ispettorato Nazionale del Lavoro.

Obblighi del datore

Gli obblighi del datore di lavoro in materia di GDPR e presenze

Il datore di lavoro, in qualità di titolare del trattamento, deve adempiere a una serie di obblighi specifici per garantire la conformità GDPR nella gestione delle presenze dipendenti.

1

Registro delle attività di trattamento (art. 30 GDPR)

Documentare il trattamento dei dati di timbratura nel registro interno: finalità, categorie di dati, destinatari, periodo di conservazione, misure di sicurezza.

2

Informativa privacy ai dipendenti (artt. 13-14 GDPR)

Consegnare l'informativa prima dell'avvio del trattamento, con tutti gli elementi obbligatori previsti dal GDPR.

3

DPA con il fornitore software (art. 28 GDPR)

Stipulare un accordo di responsabile del trattamento (Data Processing Agreement) con il fornitore del software presenze, che deve garantire misure di sicurezza adeguate e server in UE.

4

Misure di sicurezza tecniche e organizzative (art. 32 GDPR)

Garantire crittografia dei dati, controllo degli accessi, backup regolari e procedure di gestione delle violazioni (data breach).

5

Gestione dei diritti degli interessati (artt. 15-22 GDPR)

Rispondere entro 30 giorni alle richieste dei dipendenti di accesso, rettifica, cancellazione o portabilità dei propri dati di timbratura.

6

Valutazione d'impatto (DPIA) se necessario (art. 35 GDPR)

Per trattamenti ad alto rischio (es. geolocalizzazione sistematica, biometria), potrebbe essere necessaria una valutazione d'impatto sulla protezione dei dati prima dell'avvio.

Software GDPR

Come scegliere un software presenze conforme al GDPR

Non tutti i software di rilevazione presenze offrono le stesse garanzie in termini di conformità GDPR. Ecco i criteri essenziali da verificare prima di scegliere una soluzione per la tua PMI.

Server in Italia o UE

I dati devono essere archiviati su server situati nell'Unione Europea. Evita soluzioni con data center fuori UE senza adeguate garanzie (es. Standard Contractual Clauses).

Crittografia end-to-end

I dati di timbratura devono essere crittografati sia in transito (TLS/HTTPS) sia a riposo, per proteggere da accessi non autorizzati.

DPA incluso nel contratto

Il fornitore deve mettere a disposizione un Data Processing Agreement (accordo ex art. 28 GDPR) firmato, che definisca ruoli, responsabilità e misure di sicurezza.

Archiviazione automatica 5 anni

Il sistema deve conservare automaticamente i dati per il periodo legalmente richiesto e cancellarli in modo sicuro alla scadenza.

Gestione diritti degli interessati

Funzionalità per rispondere alle richieste dei dipendenti: esportazione dati personali, rettifica, cancellazione su richiesta.

Report per Ispettorato del Lavoro

Export in formato standard dei registri presenze per ispezioni dell'Ispettorato Nazionale del Lavoro o del consulente del lavoro.

NoBadge: software presenze italiano conforme GDPR

NoBadge è sviluppato e gestito in Italia, con server in Italia (UE). Include crittografia end-to-end, archiviazione automatica per 5 anni, DPA incluso nel contratto, report pronti per l'Ispettorato del Lavoro e strumenti per la gestione delle informative e dei diritti degli interessati.

Prova gratis 15 giorni — Nessuna carta richiesta
Domande frequenti

FAQ: GDPR e Timbratura Dipendenti

Le domande più comuni su privacy, conformità e rilevazione presenze

Q Il GDPR si applica alla timbratura dei dipendenti?

Sì. I dati di timbratura (orari di entrata/uscita, posizione GPS, identità del dipendente) sono dati personali ai sensi del GDPR (Reg. UE 2016/679). Il datore di lavoro è il titolare del trattamento e deve rispettare tutti gli obblighi previsti dal regolamento.

Q Qual è la base giuridica per trattare i dati di timbratura?

La base giuridica principale è l'esecuzione del contratto di lavoro (art. 6, par. 1, lett. b GDPR) e l'obbligo legale (art. 6, par. 1, lett. c GDPR) derivante dal D.Lgs 81/2015 e dal CCNL di categoria. Il consenso del dipendente non è né necessario né sufficiente da solo.

Q Per quanto tempo si possono conservare i dati di timbratura?

I dati di timbratura devono essere conservati per un periodo minimo di 5 anni, in linea con i termini di prescrizione previsti dalla normativa lavoristica italiana. NoBadge archivia automaticamente tutti i dati per 5 anni su server in Italia conformi GDPR.

Q La timbratura GPS è consentita dal GDPR?

Sì, a determinate condizioni. La rilevazione GPS è lecita se limitata all'orario di lavoro, proporzionata allo scopo (verifica presenza, non controllo continuo), comunicata ai dipendenti tramite informativa e conforme all'art. 4 dello Statuto dei Lavoratori.

Q NoBadge è conforme al GDPR?

Sì. NoBadge è un software italiano che archivia i dati su server in Italia (UE), con crittografia end-to-end, archiviazione automatica per 5 anni e report pronti per l'Ispettorato del Lavoro. Include strumenti per la gestione delle informative e dei diritti degli interessati.

Gestisci le presenze in modo conforme al GDPR

NoBadge è il software italiano di rilevazione presenze progettato per le PMI. Server in Italia, crittografia, archiviazione automatica 5 anni e DPA incluso.

Prova gratis 15 giorni Leggi la normativa presenze

Nessuna carta di credito richiesta · Server UE · Conforme GDPR · Attivazione in 2 minuti