Il Garante per la protezione dei dati personali ha sanzionato la Regione Lombardia per una serie di irregolarità nel trattamento dei dati dei propri dipendenti, in particolare relativi a

• all’uso della posta elettronica e 
• alla navigazione internet.

L’ispezione, avviata d’ufficio, mirava a verificare la conformità delle pratiche adottate nel contesto del lavoro agile.

Dall’istruttoria è emerso che la Regione conservava i metadati della posta elettronica (informazioni su mittente, destinatario, oggetto, orari e dimensioni dei messaggi) per 90 giorni, e i log di navigazione internet per ben 12 mesi, senza aver prima stipulato accordi sindacali come richiesto dalla normativa (art. 4, comma 1, Legge 20 maggio 1970, n. 300). 

Inoltre, tali trattamenti non erano stati preceduti da una valutazione d’impatto sulla protezione dei dati, violando l’art. 35 del Regolamento (UE) 2016/679 (GDPR).

Qui le indicazioni del garante sula privacy nel lavoro dipendente

Solo durante l’istruttoria, la Regione ha provveduto a regolarizzare la situazione, stipulando accordi con le organizzazioni sindacali e introducendo misure migliorative, ma ciò non è bastato ad evitare la sanzione.

Scarica qui il provvedimento del Provvedimento  243 del 29 aprile 2025 [doc web 10134221] reso noto nella Newsletter del 30.5.2025.

Le violazioni: dati conservati troppo a lungo e uso non proporzionato

Il Garante ha rilevato come la conservazione dei metadati e dei log fosse eccessiva e sproporzionata rispetto alle finalità dichiarate, che erano di natura tecnica o legate alla sicurezza informatica.

 In particolare, per i metadati email, il limite previsto per un uso tecnico e lecito secondo l’art. 4, comma 2, dello Statuto dei Lavoratori, è generalmente fissato a 21 giorni. Superare tale soglia, come nel caso della Regione, rientra invece nella casistica dell’art. 4, comma 1, che impone l’accordo sindacale.

Per i log di navigazione, la situazione è risultata ancora più delicata: la raccolta sistematica e la possibilità di ricondurre tali dati ai singoli dipendenti, seppure mediante l’incrocio di dati fra fornitori, configura un controllo indiretto dell’attività lavorativa.

 Il Garante ha quindi stabilito che tale pratica, in assenza di adeguate misure tecniche e di anonimizzazione, viola i principi di minimizzazione, proporzionalità e limitazione della conservazione previsti dagli artt. 5 e 25 del GDPR.

Anche la gestione dei ticket di assistenza tecnica tramite il vecchio sistema OTRS ha sollevato criticità: i dati erano conservati fino a 9 anni senza giustificazioni adeguate, e mancava un accordo specifico con i fornitori per disciplinare il trattamento, in violazione dell’art. 28 del GDPR.

La decisione del Garante e le misure richieste

A conclusione dell’istruttoria, il Garante ha dichiarato l’illiceità dei trattamenti e ha inflitto tre sanzioni amministrative distinte:

• 20.000 euro per la conservazione illecita dei metadati di posta elettronica;
• 25.000 euro per la conservazione eccessiva dei log internet;
• 5.000 euro per la gestione impropria dei dati di assistenza tecnica.

Oltre alla multa, la Regione Lombardia dovrà adottare misure correttive entro 90 giorni, tra cui:

• anonimizzare i log di navigazione più datati;
• ridurre a 90 giorni la conservazione dei dati internet, estendibile solo se anonimizzati;
• limitare l’accesso a tali dati a un numero ristretto di soggetti autorizzati;
• aggiornare gli accordi sindacali in coerenza con le nuove disposizioni.

Il provvedimento è stato pubblicato sul sito del Garante in base all’art. 166 del Codice in materia di protezione dei dati personali, per la sua rilevanza e funzione dissuasiva.

Durante la conversione in legge del decreto lavoro 48/ 2023 era stata reintrodotta la possibilità del lavoro agile in forma semplificata cioè senza la firma di accordi individuali ,  per i dipendenti  delle aziende private con figli fino a 14 anni di età,  fino al 31 dicembre 2023, ennesima proroga  della norma istitutiva del decreto Salva Italia 18 2020, art 87, che rispondeva all'emergenza della pandemia COVID 19.

Le ultime  disposizioni ancora in vigore erano contenute  nel comma 3-bis dell’art. 42 del   decreto Lavoro 48 2023.

 nel corso della conversione in legge del Decreto Anticipi 145 2023 è stata introdotta una nuova mini proroga , fino al 31 marzo 2024. La novità è stata inaspettata in quanto si tratta di una modifica richiesta dalle minoranze che , in realtà chiedeva un prolungamento fino a giugno. La novità è in vigore  dal 17.12.2023, con  la pubblicazione in Gazzetta Ufficiale  della legge  191 2023 avvenuta il 16 dicembre 2023. 

La formulazione della norma  che introduce la proroga modificando decreti precedenti  che facevano riferimento cumulativamente anche ad e categorie di lavoratori (proroga del termine previsto dall'articolo 10, comma 2, del decreto-legge 24 marzo 2022, n. 24, convertito, con modificazioni, dalla legge 19 maggio 2022, n. 52, con riferimento alla disposizione di cui al punto 2 dell'allegato B9 , ha creato qualche dubbio sul fatto  che la proroga valga anche per i lavoratori fragili .

La questa possibilità è stata esplicitamente negata dal Dossier studi del Parlamento  sulla legge di conversione che afferma  che  per i lavoratori fragili  "la norma in oggetto fa riferimento alla sorveglianza sanitaria di cui all’articolo 83 del medesimo D.L. n. 34, la disciplina della quale non trova più applicazione per decorso dei termini”.  Non si escludono comunque ulteriori interventi ministeriali o chiarimenti INPS in materia.

Ricordiamo di seguito cosa prevede la norma sul lavoro agile per i lavoratori con figli fino a 14 anni di età.

Smart working genitori  under 14: cos'è

La norma in sintesi prevede che:

• i genitori lavoratori dipendenti del  settore  privato  che  hanno almeno un figlio minore di anni 14, hanno diritto a svolgere la prestazione di lavoro in modalita'  agile anche  in  assenza  degli  accordi  individuali,   
• a  condizione  che  tale   modalita' sia compatibile con le caratteristiche della prestazione (in questo si differenzia dal lavoro agile per i lavoratori fragili, che possono essere  anche adibiti  a mansioni diverse o a attività formative).
• il diritto non è applicabile   se nel nucleo  familiare  è presente un altro  genitore  beneficiario  di  strumenti  di   sostegno  al  reddito per sospensione dell'attività oppure non lavoratore,  
• resta fermo rispetto degli obblighi informativi previsti dagli articoli da  18  a  23 della legge 22  maggio  2017,  n.  81.
• La prestazione lavorativa in lavoro  agile  puo'  essere  svolta anche  attraverso  strumenti  informatici  nella  disponibilità del dipendente qualora non siano forniti dal datore di lavoro. 
• Per l'intero periodo i datori di  lavoro  del  settore privato comunicano al Ministero del lavoro e delle  politiche  sociali, in via telematica, i nominativi dei lavoratori e la data  di  cessazione della prestazione di lavoro in modalita' agile, ricorrendo  alla documentazione resa  disponibile  sul  sito  del  Ministero. 
•  gli obblighi di  informativa  sulla salute e sicurezza sul lavoro  di  cui  all'articolo  22  della medesima legge n. 81 del 2017, possono essere assolti in  via  telematica  anche ricorrendo alla documentazione resa disponibile dall'INAIL.

Smart working genitori: la comunicazione telematica del datore di lavoro

Si ricorda che in base all'art. 23, primo comma, della Legge 22 maggio 2017, n. 81  dal 1° settembre 2022, il datore di lavoro deve comunicare in via telematica al Ministero del Lavoro e delle Politiche Sociali i nominativi dei lavoratori e la data di inizio e di cessazione delle prestazioni di lavoro in modalità agile, secondo le modalità individuate con il Decreto del Ministero del Lavoro e delle Politiche Sociali n. 149 del 22 agosto 2022  e relativi Allegati aventi ad oggetto il modello di "Comunicazione Accordo di Lavoro agile (Articolo 23, comma 1, della L. n. 81/2017)" e le "Regole di compilazione della comunicazione dell'accordo per lo svolgimento dell'attività lavorativa in modalità "Lavoro Agile". 

Dal 1° febbraio 2023 tutte le comunicazioni devono essere inviate soltanto mediante la procedura ordinaria con l'applicativo disponibile su Servizi Lavoro, denominato "Lavoro agile" ma le eventuali comunicazioni relative ai lavoratori "fragili" ed ai lavoratori con figli minori di 14 anni aventi ad oggetto il periodo di lavoro agile sino al 30 giugno 2023, possono essere inoltrate senza l'allegazione dell'accordo individuale.

Il Ministero del lavoro ha successivamente  aggiornato  la piattaforma di comunicazione  da parte dei datori di lavoro per i periodi dal 28 febbraio 2023 per cui e' possibile per  il datore di lavoro che  effettua la comunicazione in forma individuale, scegliere tra le categorie di lavoratori privi  di accordo individuale quella dei genitori di figli under 14.

Per chi  utilizza il file excel massivo è stato introdotto il nuovo codice LFU14.

Aggiornato anche il manuale utente in cui si ricorda che non è necessaria una nuova comunicazione, nel caso  esista con il dipendente  un accordo precedente di smart working  e una precedente comunicazione.

In arrivo una nuova proroga per le prestazioni lavorative in smart working fino al 30 giugno 2023 . Lo prevede una emendamento approvato in Commissione durante la conversione in legge del decreto Milleproroghe. Il ministero del lavoro con un comunicato di ieri  nel sito istituzionale dà per certa la modifica normativa   affermando  testualmente: 

" Il Ministero del Lavoro e delle Politiche Sociali e il Governo mantengono le promesse sulla proroga fino al 30 giugno per i lavoratori fragili, tanto del settore pubblico che di quello privato.

Il Ministro Marina Calderone, in tal senso, aveva già annunciato durante il question time al Senato del 26 gennaio scorso l'impegno a trovare le risorse per permettere la proroga dello smart working oltre il 31 marzo. Impegno concretizzatosi grazie alle coperture finanziarie (16 milioni di euro), oltre che del Ministero del Lavoro e delle Politiche Sociali, anche dei Ministeri dell'Economia e delle Finanze e dell'Istruzione e del Merito ad un emendamento al Decreto Milleproroghe approvato stamattina all'unanimità presso le Commissioni Bilancio e Affari costituzionali del Senato

Ricordiamo che  l'art. 26, commi 2 e 2-bis, del decreto-legge 17 marzo  2020,  n. 18, a causa dell'emergenza COVID aveva stabilito  che i  lavoratori  dipendenti  pubblici  e   privati   in   possesso   di certificazione  rilasciata  dai  competenti   organi   medico-legali, attestante una condizione di rischio derivante da immunodepressione o  da esiti da patologie oncologiche o  dallo  svolgimento  di  relative  terapie  salvavita,  ivi  inclusi  i  lavoratori  in   possesso   del riconoscimento di disabilita' con connotazione di gravita'  (Legge 104/1992) hanno diritto :

• a svolgere   di  norma  la  prestazione  lavorativa  in  modalita'  agile,   oppure
• ad essere  adibiti a diversa mansione ricompresa nella  medesima categoria o  area  di  inquadramento, previsti dal CCNL 
• o specifiche  attivita'  di formazione professionale anche da remoto;

La disposizione è stata  prorogata  piu volte, fino all'ultima proroga contenuta nella legge di bilancio 2023 (art. 1 comma 306) , con scadenza 31 marzo 2023.

Chi ha diritto al lavoro agile 

Per quanto riguarda i beneficiari della isura era stato pubblicato in G.U. n. 35 dell'11 febbraio 2022  il Decreto 4 febbraio 2022 del Ministero della salute  con l'individuazione delle patologie croniche con scarso compenso clinico e con particolare connotazione di gravita', in presenza delle quali  a prestazione lavorativa e' normalmente svolta in modalita' agile (cd. smart working).

Va sottolineato però  che  il testo della legge di bilancio  rinvia espressamente al decreto ministeriale sopracitato,  diversamente dalla precedente proroga del DL Aiuti bis ( Dl 115/2022) che invece  richiamava l’articolo 26, comma 2, del Dl 18/2020, il quale  prevede come beneficiari 

•  i lavoratori portatori di disabilità grave ai sensi dell’articolo 3, comma 3, della legge 104/1992 o 
• quelli che versano in una condizione di rischio derivante da immunodepressione o da esiti da patologie oncologiche o dallo svolgimento di relative terapie salvavita.

Nel messaggio INPS  3622 del  30  giugno 2022 si accordava il diritto al lavoro agile a tutte le categorie previste dai diversi provvedimenti  normativi,  mentre la tutela economica  in caso di assenza era riservata SOLO  ai soggetti portatori delle patologie elencate dal DM di febbraio 2022.

Ora la lettura formalistica della norma della legge di bilancio  porterebbe ad escludere dal lavoro agile  le categorie  previste dal DL 18-2020.

A questo punto sarebbe  auspicabile per fugare ogni dubbio un nuovo  chiarimento ministeriale o dell'Istituto previdenziale.

Patologie per diritto al lavoro agile – Decreto Ministero della salute 4.2.2022

Il ministero della salute aveva  individuato  in particolare le seguenti patologie e condizioni   per il  diritto allo smart working:

   A) indipendentemente dallo stato vaccinale: 

      a.1)  pazienti  con  marcata  compromissione   della   risposta immunitaria per:   trapianto di organo solido in terapia immunosoppressiva; trapianto di cellule staminali ematopoietiche (entro due annidal  trapianto  o  in  terapia  immunosoppressiva  per  malattia  deltrapianto contro l'ospite cronica); attesa di trapianto d'organo;         terapie a base di cellule T esprimenti un Recettore ChimericoAntigenico (cellule CAR-T);  patologia oncologica o onco-ematologica  in  trattamento  con farmaci immunosoppressivi, mielosoppressivi o  a  meno  di  sei  mesi dalla sospensione delle cure;  immunodeficienze  primitive  (es.   sindrome   di   DiGeorge, sindrome di Wiskott-Aldrich, immunodeficienza comune variabile etc.); immunodeficienze secondarie a trattamento farmacologico  (es:terapia  corticosteroidea  ad  alto  dosaggio  protratta  nel  tempo, farmaci immunosoppressori, farmaci biologici  con  rilevante  impatto sulla funzionalita' del sistema immunitario etc.);  dialisi e insufficienza renale cronica grave; pregressa splenectomia;   sindrome da immunodeficienza acquisita (AIDS) con  conta  dei  linfociti T CD4+ < 200cellule/µl o sulla base di giudizio clinico; 

      a.2)  pazienti  che  presentino  tre  o  piu'  delle   seguenti  condizioni patologiche: 

•         cardiopatia ischemica; 
•         fibrillazione atriale; 
•         scompenso cardiaco; 
•         ictus; 
•         diabete mellito; 
•         bronco-pneumopatia ostruttiva cronica; 
•         epatite cronica; 
•         obesita'; 

   B soggetti  esentati dalla  vaccinazione  anti COVID per  motivi sanitari e contemporaneamente almeno una delle seguenti condizioni: 

•       eta' >60 anni; 
•       condizioni  di  cui  all'allegato  2  della   circolare   della  Direzione generale della prevenzione sanitaria  del  Ministero  della  salute n. 45886 dell'8 ottobre 2021.

• DM 4.2.2022 ministero della Salute