Timbratura NFC e obblighi di legge: tracciabilità delle presenze in azienda

Cosa dice davvero la legge sulla timbratura

La prima distinzione da fare, e forse la più importante, è questa: la legge italiana non impone alcuna specifica tecnologia per timbrare. Non esiste una norma che dica che ogni azienda debba usare un cartellino elettronico, un badge NFC, un’app, un lettore biometrico o un altro dispositivo particolare. La tecnologia resta una scelta organizzativa del datore di lavoro, da valutare in base al tipo di attività, alle sedi, ai turni e alle esigenze di gestione concrete.

La legge impone, però, di rispettare e documentare l’orario di lavoro. Per questo la rilevazione delle presenze non può essere considerata soltanto una comodità amministrativa tra le tante — è, a tutti gli effetti, uno strumento di conformità.

L’articolo 4 del D.Lgs. 8 aprile 2003, n. 66 disciplina la durata massima dell’orario di lavoro. In particolare, stabilisce che la durata media dell’orario settimanale, comprensiva delle ore di lavoro straordinario, non può superare le 48 ore nel periodo di riferimento previsto dalla legge o dalla contrattazione collettiva — un periodo ordinario di quattro mesi, salvo le possibilità di estensione previste dalla normativa e dai contratti collettivi applicabili. Lo stesso decreto disciplina anche altri aspetti dell’orario, tra cui il riposo giornaliero di almeno 11 ore consecutive, il riposo settimanale, la pausa quando l’orario giornaliero supera determinate soglie, il lavoro notturno e le ferie annuali.

Per verificare il rispetto di questi limiti è necessario poter ricostruire, con sufficiente precisione, quando il lavoro è iniziato, quando è terminato, e quante ore sono state effettivamente lavorate. L’articolo 4, quindi, non impone affatto la timbratura NFC, e non è di per sé una norma tecnica sulla tracciabilità: stabilisce il limite da rispettare. La rilevazione delle presenze è lo strumento che consente all’azienda di dimostrare, se necessario, come quel limite sia stato effettivamente calcolato.

Un riferimento centrale, in questo senso, è l’articolo 39 del D.L. 25 giugno 2008, n. 112, convertito dalla L. 133/2008, che disciplina il Libro Unico del Lavoro, o LUL. Per i datori di lavoro privati interessati dalla disciplina, il LUL deve contenere, tra le altre informazioni, un calendario delle presenze da cui devono risultare, per ciascun giorno e lavoratore, il numero di ore lavorate, le ore di straordinario, le assenze anche non retribuite, le ferie e i riposi. Il LUL viene elaborato con cadenza mensile, e in linea generale deve essere compilato entro il giorno 16 del mese successivo a quello di riferimento.

La timbratura non coincide affatto con il LUL, e questa distinzione va tenuta presente. Il badge registra gli eventi di ingresso e uscita; il LUL contiene invece il riepilogo mensile necessario alla gestione del rapporto e della retribuzione. Un sistema digitale efficace deve quindi permettere di passare dai dati grezzi delle timbrature alle informazioni utilizzabili da HR, paghe e consulente del lavoro, senza perdere nulla nel passaggio.

Un altro passaggio fondamentale, per completare il quadro, è la sentenza del 14 maggio 2019 nella causa C-55/18, CCOO contro Deutsche Bank SAE. La Corte di Giustizia dell’Unione Europea ha affermato che gli Stati membri devono imporre ai datori di lavoro l’obbligo di predisporre un sistema che permetta di misurare la durata dell’orario giornaliero svolto da ciascun lavoratore. Il sistema deve essere oggettivo, affidabile e accessibile — tre requisiti che vale la pena tenere bene a mente. La sentenza non stabilisce affatto che tutte le aziende debbano installare un lettore NFC, e non prescrive neppure un particolare modello di badge o di software: indica soltanto un livello di qualità che il sistema di rilevazione deve raggiungere, qualunque tecnologia si scelga.

Un foglio compilato a fine mese, una ricostruzione fatta a memoria, o un file facilmente modificabile senza storico delle variazioni, possono rendere più difficile dimostrare l’effettivo andamento dell’orario. Un sistema digitale con eventi datati, regole chiare e accesso ai dati è, in generale, molto più adatto a questo scopo.

I requisiti di un sistema di rilevazione presenze

La conformità non dipende affatto dal nome della tecnologia scelta, ma da come il sistema funziona davvero nella pratica quotidiana. Un sistema di timbratura NFC dovrebbe essere progettato per garantire almeno alcuni requisiti fondamentali.

Il primo è l’oggettività. La registrazione deve basarsi su un evento verificabile, non su una ricostruzione successiva fatta a posteriori. La timbratura dovrebbe contenere almeno l’identificativo del lavoratore o del badge, data e ora dell’evento, sede o terminale se necessario e proporzionato, la causale dell’evento — entrata, uscita o pausa — e l’esito della registrazione. L’orologio del dispositivo e quello del server, in tutto questo, devono restare sincronizzati: una differenza di alcuni minuti può sembrare trascurabile a prima vista, ma diventa rilevante nel momento in cui si calcolano turni, pause o straordinari con precisione.

Il secondo requisito è l’affidabilità e l’integrità del dato. Un dato affidabile non è necessariamente un dato che non può mai essere corretto — nella gestione reale possono verificarsi un badge dimenticato, un lettore non disponibile, un errore di rete, o una timbratura registrata con la causale sbagliata. Il punto è che la correzione non deve mai cancellare la storia precedente. Un sistema ben progettato dovrebbe conservare sempre il valore originario, il nuovo valore, chi ha richiesto o effettuato la modifica, data e ora della modifica, la motivazione della rettifica, e l’eventuale approvazione del responsabile. In questo modo il dato finale può essere corretto, ma il percorso della correzione resta comunque verificabile da chiunque ne abbia bisogno.

Il terzo requisito è l’accessibilità. Il lavoratore deve poter conoscere le informazioni che lo riguardano, e questo può essere realizzato, a seconda del sistema adottato, attraverso un’app, un portale, un report periodico o un’altra modalità effettiva. Questo non significa che ogni dipendente debba poter vedere i dati degli altri — al contrario, i permessi devono essere configurati per mostrare a ciascuno solo le informazioni necessarie: le proprie timbrature al lavoratore, i dati del proprio team al responsabile autorizzato, e l’insieme dei dati a HR o agli amministratori abilitati.

Il quarto requisito riguarda la disponibilità e la continuità operativa. Un sistema di presenze deve prevedere cosa accade quando manca la connessione, il terminale è fuori servizio, o il badge non viene riconosciuto per qualche motivo. La procedura di emergenza dovrebbe consentire di registrare comunque l’evento, senza perdere la possibilità di verificare chi ha effettuato la modifica e perché. Anche i backup, i controlli di disponibilità e il ripristino vanno considerati parte integrante del sistema di tracciabilità, non un dettaglio infrastrutturale separato.

Il quinto requisito, infine, è il collegamento con paghe e LUL. Le timbrature hanno valore operativo soltanto se possono essere trasformate in dati realmente utili: il sistema dovrebbe facilitare il calcolo delle ore giornaliere, la gestione delle pause, il conteggio degli straordinari, l’integrazione con ferie, permessi e assenze, la produzione di report per il consulente del lavoro, e la verifica dei dati prima dell’elaborazione paghe. L’automazione del calcolo, va ricordato, non elimina la responsabilità del datore di lavoro: le regole devono essere sempre configurate in base al contratto individuale, al CCNL e all’organizzazione concreta del lavoro.

Conservazione dei dati: quanto tempo vanno tenute le timbrature

La domanda “per quanto tempo devo conservare le timbrature?” non ha, in realtà, una risposta unica valida per ogni dato e per ogni azienda — dipende da cosa si sta conservando e per quale scopo.

Il GDPR impone il principio di limitazione della conservazione: i dati personali devono essere conservati per un periodo non superiore a quello necessario alle finalità per cui sono trattati, salvo specifici obblighi di legge o esigenze di accertamento, esercizio o difesa di un diritto. Per questo il datore di lavoro dovrebbe definire una policy che distingua almeno tra i dati tecnici della timbratura — ID del badge, data, ora e terminale —, i dati elaborati per presenze, paghe, ferie e straordinari, i dati e i documenti che confluiscono nel Libro Unico del Lavoro, i log di sicurezza e audit trail, e i backup e le copie di emergenza.

Per il Libro Unico del Lavoro, l’articolo 39, comma 7, del D.L. 112/2008 prevede la conservazione per cinque anni dalla data dell’ultima registrazione. Questo non significa automaticamente che ogni log tecnico NFC debba essere conservato per cinque anni senza alcuna distinzione. Il dato originale può avere una funzione probatoria, o alimentare documenti obbligatori, ma il titolare deve comunque stabilire finalità, tempi e modalità di conservazione per ciascuna categoria. Se non esiste più una ragione concreta per conservare un dato dettagliato, mantenerlo indefinitamente può violare il principio di minimizzazione previsto dal regolamento.

La policy dovrebbe inoltre indicare con chiarezza chi può accedere ai dati durante il periodo di conservazione, come vengono protetti i backup, come vengono gestite le richieste di accesso o rettifica, quando i dati vengono cancellati o anonimizzati, e cosa accade se esiste un contenzioso o un’ispezione in corso. Su questi aspetti è opportuno coordinarsi sempre con il consulente del lavoro e, per i profili privacy più complessi, con il professionista incaricato della protezione dei dati.

NFC, GDPR e controllo dei lavoratori

Una timbratura NFC associata a un dipendente è, a tutti gli effetti, un dato personale. Il fatto che il badge non contenga il nome in chiaro non cambia affatto la valutazione: se l’azienda può collegare l’identificativo alla persona, il dato è riconducibile a un interessato secondo il GDPR.

Il sistema deve quindi rispettare i principi del regolamento: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza; e responsabilizzazione del titolare. In pratica, il datore di lavoro dovrebbe fornire un’informativa chiara che spieghi almeno chi tratta i dati, per quale motivo, quali dati vengono raccolti, chi può consultarli, per quanto tempo vengono conservati, e quali diritti può esercitare il lavoratore.

Per la gestione ordinaria delle presenze, non si dovrebbe mai presentare il consenso del dipendente come soluzione automatica e sufficiente. Il trattamento necessario alla gestione del rapporto di lavoro e all’adempimento degli obblighi applicabili deve poggiare su una base giuridica adeguata, individuata a monte dal titolare. Il consenso, in un rapporto caratterizzato da subordinazione, non è quasi mai una scelta realmente libera — e trattarlo come tale sarebbe un errore di valutazione piuttosto serio.

L’articolo 4 della L. 300/1970, lo Statuto dei lavoratori, disciplina gli impianti e gli strumenti dai quali può derivare anche la possibilità di controllo a distanza dell’attività dei lavoratori. Il comma 2 esclude dalla procedura prevista dal primo comma gli strumenti utilizzati dal lavoratore per rendere la prestazione, e gli strumenti di registrazione degli accessi e delle presenze. Un sistema NFC utilizzato esclusivamente per registrare ingressi e uscite rientra normalmente in questa categoria esclusa.

L’esenzione, però, non autorizza affatto qualsiasi uso del dispositivo. Restano necessari un uso coerente con la finalità dichiarata, un’informativa ai lavoratori, il rispetto del GDPR, limiti di accesso ai dati, e il divieto esplicito di utilizzare il sistema per un controllo continuo e sproporzionato. Se il dispositivo raccoglie anche dati ulteriori — come posizione continua, immagini, audio, o informazioni usate per valutare automaticamente la prestazione —, la valutazione giuridica può cambiare radicalmente. In questi casi bisogna analizzare separatamente le funzioni aggiuntive, e gli eventuali obblighi previsti dalla normativa sul controllo a distanza e dalla disciplina privacy applicabile.

Perché l’NFC è adatto alla tracciabilità

L’NFC, o Near Field Communication, è una tecnologia di comunicazione a corto raggio. Nella timbratura aziendale, il dipendente avvicina un badge a un lettore o a uno smartphone abilitato; il sistema riconosce il badge e registra l’evento in modo pressoché istantaneo.

Rispetto a soluzioni più invasive, l’NFC presenta alcune caratteristiche particolarmente utili per la rilevazione delle presenze. Registra un evento puntuale: la timbratura avviene in un momento preciso e presso un punto definito, il che rende semplice associare il dato a una sede o a un terminale, quando quell’informazione è necessaria per l’organizzazione aziendale. Non richiede il tracciamento continuo: un badge NFC non deve seguire gli spostamenti del dipendente durante la giornata — se il sistema è progettato correttamente, raccoglie il dato soltanto nel momento della timbratura, non una cronologia permanente della posizione, e questo aiuta a rispettare il principio di minimizzazione, raccogliendo solo le informazioni necessarie senza aggiungere automaticamente il GPS o altri dati non indispensabili. E non usa dati biometrici: il badge NFC non richiede, di per sé, impronte digitali, riconoscimento facciale o altri dati biometrici — una differenza importante, perché il Garante ha richiamato più volte l’attenzione sui rischi e sui limiti dell’uso della biometria per rilevare la presenza dei lavoratori.

Questo non significa, va detto con chiarezza, che ogni badge sia privo di rischi privacy. L’identificativo del badge resta un dato personale quando viene associato al lavoratore. Significa però che si può ottenere una rilevazione puntuale ed efficace senza introdurre una categoria particolare di dati personali, evitando così un livello di rischio più alto del necessario.

Un gesto rapido, in più, riduce le timbrature dimenticate e rende più immediata la verifica dell’evento. Il sistema può fornire un feedback di conferma, mostrare l’ultima timbratura, e segnalare eventuali anomalie senza appesantire l’esperienza del lavoratore.

L’NFC, però, non elimina tutti i rischi possibili. Il badge può essere perso, prestato o utilizzato da un’altra persona — l’NFC non dimostra da solo, in modo assoluto, che il lavoratore fisicamente presente sia davvero il titolare del badge. Per questo è necessario prevedere procedure complementari: badge personali e non cedibili, disattivazione immediata in caso di smarrimento, sostituzione e riassegnazione tracciata, analisi delle anomalie, regole chiare sulle correzioni, e formazione dei dipendenti su come usare correttamente il sistema. La tecnologia riduce il rischio di errore, e facilita la ricostruzione degli eventi, ma non sostituisce mai l’organizzazione aziendale.

La checklist per un sistema NFC conforme

Prima di adottare una soluzione di timbratura NFC, l’azienda dovrebbe verificare almeno questi punti:

1. Finalità definita: il sistema serve a rilevare presenze e orari, non a controllare ogni spostamento.
2. Badge assegnato individualmente: ogni badge è collegato a un solo lavoratore e può essere disattivato.
3. Timestamp affidabile: dispositivo e server usano un orario sincronizzato.
4. Eventi non alterabili senza traccia: ogni rettifica conserva valore precedente, autore, data e motivazione.
5. Accessi profilati: HR, responsabili, consulenti e lavoratori vedono solo ciò che serve al loro ruolo.
6. Informativa aggiornata: i lavoratori conoscono dati raccolti, finalità, tempi di conservazione e modalità di accesso.
7. Sicurezza adeguata: trasmissione protetta, credenziali sicure, backup e monitoraggio degli accessi amministrativi.
8. Procedura offline: l’azienda sa come gestire un lettore non disponibile o una timbratura mancata.
9. Integrazione amministrativa: i dati possono essere verificati e trasferiti nei flussi per paghe e LUL.
10. Policy di conservazione: esistono tempi documentati per dati operativi, audit, backup e cancellazione.

Se anche uno solo di questi punti manca, non è corretto affermare che il sistema sia conforme soltanto perché utilizza NFC.

Responsabilità del datore di lavoro e del fornitore

La responsabilità primaria delle scelte organizzative resta sempre in capo al datore di lavoro, che normalmente determina perché e come vengono trattati i dati delle presenze. Il datore deve individuare le finalità del trattamento, verificare gli obblighi applicabili e il CCNL di riferimento, scegliere una modalità di rilevazione adeguata al contesto, informare i lavoratori in modo chiaro, definire ruoli e autorizzazioni, stabilire tempi di conservazione e procedure di rettifica, verificare l’esattezza dei dati utilizzati per paghe e LUL, e controllare che il fornitore rispetti gli obblighi di sicurezza e privacy previsti.

Il fornitore software può agire come responsabile del trattamento, se tratta i dati per conto dell’azienda. In questo caso il rapporto deve essere disciplinato da un contratto o altro atto conforme all’articolo 28 GDPR, con istruzioni precise, misure di sicurezza, regole sugli accessi, e gestione degli eventuali subfornitori coinvolti nella catena.

Affidare il servizio a un fornitore, va detto con chiarezza, non trasferisce automaticamente la responsabilità normativa. Il datore di lavoro deve sempre poter dimostrare di aver scelto, configurato e controllato il sistema in modo coerente con le finalità dichiarate — la responsabilità, in altre parole, non si delega semplicemente affidando il compito a terzi.

Domande frequenti

Conclusione

La timbratura NFC non è un obbligo di legge. È uno strumento che può aiutare l’azienda a rispettare, e a dimostrare di rispettare, le regole sull’orario di lavoro — a condizione che sia inserito in un sistema completo, governato da procedure chiare e ben documentate.

Il riferimento non è soltanto l’articolo 4 del D.Lgs. 66/2003. Bisogna considerare insieme i limiti di orario, le pause e i riposi; il calendario delle presenze del Libro Unico del Lavoro; i requisiti di oggettività, affidabilità e accessibilità indicati dalla Corte di Giustizia UE; la trasparenza e la sicurezza richieste dal GDPR; i limiti allo sfruttamento dei dati per il controllo a distanza; e le responsabilità del datore di lavoro e del fornitore coinvolto.

In questo quadro, l’NFC è una soluzione equilibrata: registra un evento puntuale, non richiede il tracciamento continuo della posizione, e può funzionare senza dati biometrici. Ma la conformità non sta nel badge in sé. Sta nella combinazione tra tecnologia, configurazione, informativa, sicurezza, conservazione e organizzazione aziendale.

Per un’azienda che vuole abbandonare fogli, ricostruzioni manuali e dati difficili da verificare, il criterio giusto non è chiedersi soltanto se il sistema “usa NFC”. È chiedersi se ogni timbratura può essere spiegata, verificata, corretta e conservata nel modo giusto — quella è la vera misura della conformità.

• D.Lgs. 8 aprile 2003, n. 66 — Normattiva
• D.L. 25 giugno 2008, n. 112, art. 39 — Ministero del Lavoro
• Corte di Giustizia UE, causa C-55/18 — comunicato ufficiale
• Regolamento (UE) 2016/679 — GDPR, EUR-Lex
• L. 20 maggio 1970, n. 300 — Statuto dei lavoratori, Normattiva
• Garante Privacy, provvedimento n. 393 del 20 ottobre 2011 sulla biometria dei lavoratori