Con Provvedimento del 16 gennaio 2025 il Garante ha deciso il ricordo di un lavoratore che, nel 2024, aveva presentato un realamo lamentando la violazione della normativa sulla protezione dei dati personalei da parte del proprio ex datore di lavoro. In particolare, aveva denuncviato l'installazione, da parte dell'azienda, di un sistema di geolocalizzazione sul veicolo aziendale da lui utilizzato, senza che gli fosse stata fornita l'informativa prevista dall'art. 13 del Regolamento UE 2016/679 e senza l'attivazione della procedura di faranzia prevista dall'art. 4 dello Statuto dei lavoratori (Lege n. 300/1970).

Il lavoratore ha inoltre segnalato che il sistema di localizzazione sarebbe stato installato ed utilizzato per monitorare la sua posizione durante lo svolgimento dell’attività lavorativa, in assenza di una trasparente e adeguata comunicazione preventiva da parte dell’azienda. Tali circostanze, secondo il reclamante, avrebbero comportato una violazione del principio di trasparenza, correttezza e minimizzazione dei dati, nonché un controllo a distanza privo di legittimazione legale e sindacale.

DIFESA DEL DATORE DI LAVORO

Invitato dal Garante a fornire chiarimenti ai sensi dell'art. 157 del Codice Privacy, il datore di lavoro ha risposto con nota del 10 febbraio 2022, precisando quanto segue:

• l'Ispettorato Territoriale del Lavoro ha autorizzato l'installazione del sistema di geolocalizzazione per finalità di tutela del patrimonio aziendale, sicurezza sul lavoro ed esigenze organizzative e produttive;
• in seguito all'autorizzazione, tutti i dipendenti sono stati informati ai sensi dell'art. 13 del Regolamento mediante un'informativa affissa nella bacheca aziendale, visibile quotidianamente. Tuttavia, non sono presenti informative semplificate sui veicoli;
• i dati vengono trattati in modo lecito, corretto e trasparente, nel rispetto degli artt. 5 e 6 del Regolamento;
• la geolocalizzazione è attiva anche durante le pause lavorative, giustificata da esigenze di sicurezza e tutela del patrimonio;
• i dati sono riferibili al lavoratore solo durante il tempo di lavoro; al termine del servizio, la scheda personale viene rimossa e nessuna informazione è ulteriormente registrata.

Il datore di lavoro ha sottolineato inoltre che l’informativa resa disponibile ai dipendenti contiene informazioni circa le finalità, le modalità del trattamento, la base giuridica, i diritti degli interessati e i riferimenti per il Responsabile della Protezione dei Dati. L’azienda ha sostenuto che tutti gli autisti hanno accesso quotidiano alla bacheca dove l’informativa è affissa e, pertanto, sono stati correttamente informati.

ULTERIORE RICHIESTA DEL GARANTE

Ritenendo le informazioni iniziali insufficienti, il Garante ha inviato una nuova richiesta, rimasta inevasa. Di conseguenza, ha attivato il Nucleo tutela privacy della Guardia di Finanza per notificare l'avvio del procedimento sanzionatorio (ai sensi dell'art. 166, comma 5, del Codice) e per acquisire ulteriori elementi. Dal verbale redatto è emerso che:

• il sistema è in uso da maggio 2021, con autorizzazione richiesta a marzo dello stesso anno;
• gli autisti sono stati informati attraverso bacheca aziendale;
• la localizzazione è riferibile al dipendente solo durante l'orario lavorativo, mediante tachigrafi digitali;
• il sistema registra la posizione con un ritardo di 3-5 minuti;
• in sede ispettiva è stato verificato che i veicoli sono identificati dalla targa, ma è possibile associarli al conducente tramite i dati registrati nella piattaforma.

Successivamente, il datore di lavoro ha comunicato di aver acquistato le vetrofanie da apporre sui veicoli e ha trasmesso la nomina del responsabile del trattamento. Queste vetrofanie recano l’informativa semplificata visibile anche all’esterno, per rendere più trasparente l’attività di trattamento in corso.

È stata quindi avviata un'istruttoria anche nei confronti del fornitore del servizio di geolocalizzazione, nominato responsabile del trattamento ai sensi dell'art. 28 del Regolamento. Il fornitore, incaricato della gestione tecnica del sistema, ha fornito documentazione tecnica e contrattuale utile a ricostruire le dinamiche e i flussi di trattamento dei dati.

VALUTAZIONE DEL GARANTE

All'esito dell'istruttoria, il Garante ha accertato che il datore di lavoro ha sottoscritto un contratto di noleggio del sistema di geolocalizzazione, che consente l'accesso alla piattaforma web del fornitore. Tuttavia, sono emerse diverse irregolarità:

Violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento. L'informativa fornita ai dipendenti è risultata inidonea e incompleta. Non rappresentava in modo adeguato le modalità del trattamento, come la rilevazione continua dei dati e il funzionamento reale del sistema (che non utilizza badge RFID, bensì dispositivi GPS con SIM Card).

Il Garante ha ribadito che l’informativa, per essere considerata valida, deve essere specifica, chiara, completa e riferita alle effettive modalità del trattamento. Non è sufficiente una generica dichiarazione di trasparenza: devono essere indicati in modo puntuale gli strumenti utilizzati, la frequenza e la durata della raccolta, i soggetti autorizzati all’accesso ai dati, nonché la durata della conservazione degli stessi.

Violazione degli artt. 5, par. 1, lett. a), c) ed e), e 88 del Regolamento. Il sistema consente la registrazione continuativa di dati, inclusi quelli relativi alle pause, per 180 giorni. Ciò viola i principi di minimizzazione e limitazione della conservazione, in quanto eccedente rispetto alle finalità dichiarate. Inoltre, tali modalità non sono conformi alle garanzie prescritte nel provvedimento autorizzativo rilasciato dall'ITL.

Il principio di minimizzazione impone al titolare del trattamento di raccogliere e trattare solo i dati strettamente necessari per la finalità perseguita. Nel caso di specie, la raccolta continua di dati relativi alla posizione dei veicoli, anche durante le pause, può costituire un controllo pervasivo e non proporzionato dell’attività dei dipendenti. Il Garante ha evidenziato che sarebbe stato sufficiente prevedere una rilevazione attivabile solo in caso di specifiche esigenze legate alla sicurezza o alla logistica.

Violazione dell'art. 157 del Codice. Il datore di lavoro non ha risposto alla seconda richiesta del Garante, omettendo volontariamente di fornire le informazioni richieste, rendendo necessario un accertamento ispettivo da parte della Guardia di Finanza. Tale condotta ha rallentato l’istruttoria e rappresenta un inadempimento specifico alle richieste dell’Autorità.

CONCLUSIONI: ILLECITÀ DEL TRATTAMENTO E MISURE CORRETTIVE

Il Garante ha dichiarato illecito il trattamento effettuato, in quanto in violazione degli artt. 5, par. 1, lett. a), c), ed e), 13 e 88 del Regolamento, nonché degli artt. 114 e 157 del Codice. Ha pertanto adottato:

1. Poteri correttivi (art. 58, par. 2, Regolamento):

• obbligo di predisporre un'informativa adeguata;
• adeguamento del trattamento alle garanzie contenute nel provvedimento dell'ITL, in particolare sui principi di minimizzazione e durata della conservazione.

Il Garante ha raccomandato l'adozione di un sistema di gestione dei dati che preveda misure tecniche e organizzative adeguate a garantire il rispetto dei principi fondamentali del trattamento, come previsto anche dall'art. 25 del Regolamento (protezione dei dati fin dalla progettazione e per impostazione predefinita).

1. Ordinanza ingiunzione di sanzione amministrativa pecuniaria (art. 83 del Regolamento, art. 166 Codice):

• tenuto conto della gravità, durata e diffusione della violazione, e della responsabilità del titolare del trattamento, è stata applicata una sanzione di euro 50.000,00;
• è disposta la pubblicazione del provvedimento sul sito del garante per finalità dissuasive, data la particolare lesività della condotta accertata.

Il Garante ha considerato, tra i criteri di commisurazione della sanzione, anche l’assenza di precedenti violazioni, il numero degli interessati coinvolti (circa 50 lavoratori) e il volume d’affari del datore di lavoro desunto dal bilancio 2023. Il mancato riscontro alla seconda richiesta di informazioni ha rappresentato un aggravante significativa.

CONSIDERAZIONI FINALI

Questo caso rappresenta un'importante conferma dell'approccio rigoroso adottato dal Garante per la protezione dei dati personali in ambito lavorativo.

L’uso di sistemi di geolocalizzazione deve essere accompagnato da una valutazione preventiva d’impatto sulla protezione dei dati (DPIA), in conformità all’art. 35 del GDPR, quando tale trattamento può comportare un rischio elevato per i diritti e le libertà degli interessati.

Il datore di lavoro deve garantire la piena conformità al principio di accountability, documentando tutte le misure adottate per proteggere i dati personali.

Il provvedimento del Garante evidenzia infine l’importanza del rispetto delle disposizioni in materia di controllo a distanza dei lavoratori, che richiede, oltre al rispetto del GDPR, l’osservanza delle garanzie previste dallo Statuto dei lavoratori, in particolare l’accordo sindacale o l’autorizzazione dell’ITL.

In conclusione, questo caso fornisce un chiaro esempio di come un trattamento non correttamente strutturato e gestito possa comportare conseguenze rilevanti per l’organizzazione, non solo sotto il profilo sanzionatorio, ma anche in termini di reputazione e di fiducia da parte dei lavoratori.