01/01/2026: PER I NOSTRI RAGAZZI DI CRANS-MONTANA. PER NON DIMENTICARE.
Nel mio ente locale, per loggarsi alla rete aziendale da remoto in VPN, viene richiesta un'ulteriore verifica con un'app da installare sul proprio cellulare con il quale viene rilasciato un codice numerico che bisogna inserire oltre user e password per l'accesso alla VPN quando si lavora in smartworking. Molti colleghi si sono chiesti se è lecito che l'amministrazione chieda a ognuno di installare quest'app sul proprio cellulare per potersi loggare alla VPN dell'amministrazione da remoto. Il tema è: essendo il telefonino personale, è opportuno richiedere l'installazione di quest'app?
La richiesta di installare un’applicazione di autenticazione a due fattori (2FA) su un dispositivo personale per accedere alla VPN dell’ente locale durante lo smartworking solleva importanti questioni di legittimità, proporzionalità e opportunità. Analizziamo i principali aspetti.
1. Aspetti di legittimità
Privacy e GDPR
• Dati personali: La normativa europea (GDPR) protegge i dati personali, compresi quelli relativi ai dispositivi privati. Se l’app richiede autorizzazioni particolari (es. accesso a contatti o posizione), ciò potrebbe costituire un trattamento non proporzionato.
• Base giuridica: L’ente deve motivare la richiesta sulla base di un legittimo interesse, come la sicurezza informatica, e dimostrare che non esistano alternative meno invasive.
• Consenso informato: I dipendenti devono essere informati sui dati raccolti dall’app, sul loro utilizzo e sulla durata del trattamento. Tuttavia, il consenso non può essere considerato libero se l’uso dell’app è imposto come requisito lavorativo.
2. Aspetti di proporzionalità
L’autenticazione 2FA è giustificata per garantire la sicurezza degli accessi remoti, ma il metodo scelto deve essere proporzionato:
• Uso di dispositivi personali: Non è obbligatorio utilizzare un telefono personale, salvo che non sia esplicitamente previsto da regolamenti interni o accordi contrattuali.
• Alternative: Esistono soluzioni che non richiedono un dispositivo personale, come:
• Fornitura di token fisici o dispositivi aziendali.
• Utilizzo di codici via email aziendale o SMS su un numero aziendale.
• App installate su dispositivi aziendali forniti dall’ente.
3. Aspetti di opportunità
Richiedere l’installazione di un’app su dispositivi personali può generare malcontento e problematiche pratiche. Soluzioni alternative possono essere più equilibrate:
• Dispositivi aziendali: Fornire uno smartphone o un altro dispositivo per scopi lavorativi risolve il problema della commistione tra lavoro e vita privata.
• Accesso opzionale: Se l’app deve essere usata su dispositivi personali, la sua installazione dovrebbe essere volontaria e prevista solo per chi sceglie di lavorare da remoto.
4. Regolamenti interni
Se l’ente insiste sull’uso di dispositivi personali, è fondamentale adottare regolamenti interni che disciplinino la questione. Questi dovrebbero:
• Specificare i requisiti tecnici e di sicurezza.
• Garantire che il dipendente mantenga il controllo sul proprio dispositivo.
• Definire eventuali responsabilità dell’ente in caso di problemi legati all’app.
5. Raccomandazioni
• Consultazione con il DPO: Il Responsabile della Protezione dei Dati (DPO) dovrebbe essere coinvolto per valutare la conformità al GDPR e suggerire alternative.
• Valutazione di impatto (DPIA): Una DPIA potrebbe essere necessaria per analizzare i rischi legati al trattamento dei dati personali attraverso dispositivi privati.
• Dialogo con i dipendenti: Informare i lavoratori sui motivi della scelta e cercare soluzioni condivise può prevenire tensioni.
Conclusione
Non è vietato chiedere ai dipendenti di installare un’app di autenticazione, ma l’ente dovrebbe valutare alternative meno invasive e garantire che la richiesta sia giustificata e proporzionata. Idealmente, l’ente dovrebbe fornire strumenti aziendali per evitare problemi di privacy e garantire una netta separazione tra vita lavorativa e privata.
CASO SPECIFICO PER CITTÀ METROPOLITANA DI CATANIA
L'accordo che i dipendenti di C.M. di C. firmano per operare in smartworking richiama il
DECRETO SINDACO METROPOLITANO 12/2024 CON ALLEGATO “REGOLAMENTO PER L’ADOZIONE DEL LAVORO A DISTANZA PER IL PERSONALE DELLA CITTÀ METROPOLITANA DI CATANIA” dove all'art. 9 si indica: [omissis…] Ai fini della registrazione della presenza, il lavoratore a distanza dovrà scaricare un’apposita applicazione sul proprio cellulare attraverso la quale effettuare la timbratura in entrata ed uscita e contestualmente dimostrare la propria localizzazione. [omissis…].