Il Garante Privacy, con provvedimento del 16 gennaio 2025, ha sanzionato un’azienda di autotrasporto per aver controllato in modo illecito circa 50 dipendenti, durante la loro attività lavorativa, utilizzando un sistema GPS installato sui veicoli aziendali.

Con tale provvedimento il Garante ha ribadito come l’installazione di impianti satellitari su mezzi aziendali debba necessariamente rispettare sia le norme in materia di trattamento dei dati personali, sia le disposizioni di cui all’art. 4 della Legge n. 300/1970 (c.d. Statuto dei Lavoratori) in materia di strumenti di controllo a distanza.

In particolare, ricordiamo che tale ultima norma vieta, in generale, “l’uso di impianti audiovisivi e di altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori”. Tuttavia, consente l’installazione degli impianti e delle apparecchiature di controllo “che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori” soltanto “previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti”. Con il provvedimento in questione, il Garante privacy evidenzia, tuttavia, come il rispetto di tale norma debba necessariamente essere accompagnato anche dal rispetto dei diritti lavoratori interessati dai sistemi di controllo aziendali, dovendosi a tal fine garantire che la raccolta delle informazioni ottenute attraverso le apparecchiature installate a bordo dei veicoli aziendali avvenga in osservanza delle norme in materia di trattamento dei dati personali.

Nel caso posto all’attenzione dell’Autorità, intervenuta a seguito della ricezione di un reclamo da parte di un ex dipendente dell’azienda, sono state riscontrate diverse irregolarità. In particolare, dalle ispezioni effettuate, è emerso che il sistema GPS installato sui veicoli aziendali tracciava in modo continuativo i dati di localizzazione, velocità, chilometraggio e stato dei veicoli (ad es. quando erano spenti o accesi), nonché i dati del cronotachigrafo relativi al DIN (Driver identification Number), dati di messagistica interscambiabili tra la piattaforma web e il dispositivo di bordo ed eventuali ulteriori informazioni che il cliente avesse inserito autonomamente, come ad esempio il nome del conducente e il numero di patente.

L’Autorità ha ritenuto che tale sistema, purché installato previo provvedimento autorizzatorio rilasciato dall’Ispettorato territoriale del Lavoro competente, non rispettasse la normativa privacy e fosse applicato in modo difforme rispetto a quanto previsto dal suddetto provvedimento autorizzatorio.

In particolare, il Garante, in primo luogo, ha rilevato gravi carenze nell’informativa fornita ai lavoratori, tra cui la mancata indicazione delle specifiche modalità con cui il trattamento veniva realizzato e la informazione relativa alla diretta identificabilità dei conducenti dei veicoli geolocalizzati. Infatti, diversamente da quanto sostenuto dall’azienda, l’Autorità ha evidenziato come, nel caso concreto, il sistema consentisse, seppure in maniera indiretta, l’identificazione del conducente del veicolo: l’associazione del dispositivo al numero di targa del veicolo, infatti, consentiva, di identificare il guidatore del mezzo attraverso l’associazione con altre informazioni anche nel caso in cui la guida dello stesso fosse in concreto affidata ad autisti diversi che si avvicendano.

Inoltre, l’Autorità ha contestato come, in ogni caso, a prescindere dallo specifico aspetto della identificabilità diretta dei conducenti dei veicoli geolocalizzati, l’informativa consegnata ai lavoratori non corrispondesse ai trattamenti e alle relative modalità effettivamente posti in essere, presentando numerose incongruenze e refusi, non riportando, ad esempio, la circostanza che i dati fossero rilevati in maniera continuativa.

Per questo motivo premesso che, nell’ambito del rapporto di lavoro, l’obbligo di informare il dipendente è espressione del dovere di correttezza di cui all’art. 5, par. 1, lett. a) del Regolamento, il Garante ribadisce l’illiceità del trattamento realizzato mediante informativa inidonea, in violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento.

In secondo luogo, il Garante rileva come i trattamenti posti in essere siano risultati contrari anche alle specifiche misure di garanzia indicate dall’Ispettorato del lavoro nel provvedimento di autorizzazione che era stato rilasciato all’azienda per finalità di tutela dei beni aziendali, di sicurezza sul lavoro e per esigenze di natura organizzativa e produttiva.

Infatti, dall’istruttoria, il Garante ha accertato come le concrete modalità di funzionamento del sistema tecnologico utilizzato consentissero alla Società, tramite la piattaforma web messa a disposizione dal fornitore del sistema GPS, di acquisire informazioni relative alla posizione del veicolo, al suo stato (se cioè acceso o spento), alla telemetria e, indirettamente, anche all’attività degli autisti.

Tali informazioni erano acquisite dal sistema in modo continuativo, seppur differite di 3/5 minuti e comprendono anche le pause dell’attività lavorativa; esse, peraltro, venivano conservate per un periodo di 180 giorni.

Il Garante ha ritenuto tali modalità eccedenti e non proporzionate rispetto agli scopi e alle finalità dichiarate, che possono essere legittimamente perseguite mediante il trattamento di informazioni più limitate.

In particolare, l’Autorità osserva come la raccolta delle informazioni particolareggiate (tra cui la rilevazione della posizione anche durante la pausa dell’attività lavorativa) risulti idonea ad effettuare un monitoraggio continuo sull’attività dei dipendenti in violazione del principio di minimizzazione dei dati (art. 5, par. 1., lett. c) del Regolamento) che, invece, richiede che i dati raccolti siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

Peraltro, con l’occasione, il Garante ribadisce il principio in base al quale la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il conseguimento delle finalità legittimamente perseguite.

Allo stesso modo, la conservazione dei dati raccolti per un esteso periodo di tempo (pari a 180 giorni) non è stata ritenuta conforme ai principi di minimizzazione e di limitazione della conservazione (art. 5, par. 1, lett. c) ed e), del Regolamento).

Infine, il Garante osserva come le specifiche funzionalità del sistema di geolocalizzazione sopra descritte non siano risultate conformi alle specifiche garanzie previste dall’autorizzazione rilasciata dall’ITL competente che infatti prevedeva l’anonimizzazione dei dati raccolti e l’adozione di soluzioni tecnologiche in grado di limitare la raccolta di dati personali non necessari o eccedenti rispetto alle finalità di sicurezza e organizzazione aziendale.

Anche il periodo di conservazione dei dati eccedente i 5 mesi è stato ritenuto in violazione con i principi di minimizzazione e limitazione della conservazione dei dati stabiliti dal Regolamento UE.

Alla luce di quanto sopra, il Garante, in considerazione delle numerose e gravi violazioni riscontrate, oltre al pagamento di una sanzione di 50mila euro, ha ordinato all’azienda di fornire un’idonea informativa ai dipendenti e di adeguare i trattamenti effettuati attraverso il sistema Gps alle garanzie prescritte nel provvedimento autorizzatorio rilasciato, a suo tempo, dall’Ispettorato territoriale del lavoro all’azienda.

Allegato: GarantePrivacy-10112287-1.3