Controllo illecito a distanza dei dipendenti: la posizione dell’Autorità Garante per la protezione dei dati personali.
Con il provvedimento n. 7 del 16 gennaio 2025, l’Autorità Garante per la protezione dei dati personali si è pronunciata sul reclamo presentato da un lavoratore in quanto la datrice di lavoro aveva installato un sistema di geolocalizzazione sul veicolo utilizzato, nello svolgimento dell’attività lavorativa, senza avergli preventivamente fornito l’informativa di cui all’art. 13 del Reg. UE n. 2016/679 (GDPR) e senza aver attivato la procedura di garanzia di cui all’art. 4 della legge n. 300/1970.
La società riferiva che il competente Ispettorato del lavoro aveva autorizzato l’installazione e l’impiego dell’impianto satellitare a bordo dei veicoli aziendali per le finalità di tutela dei beni aziendali, per garantire la sicurezza sul lavoro e per esigenze organizzative e produttive.
L’istruttoria del Garante evidenziava che l’informativa predisposta dalla Società fosse del tutto inidonea a rappresentare compiutamente i trattamenti realizzati mediante il sistema di geolocalizzazione. Ancora, le concrete modalità di funzionamento del sistema tecnologico utilizzato consentivano alla società di acquisire continuativamente informazioni – seppur differite di 3/5 minuti – relative alla posizione del veicolo, al suo stato (se acceso o spento), alla telemetria e, indirettamente, anche all’attività degli autisti, comprese eventuali pause; dette informazioni erano conservate per un periodo di 180 giorni.
Le modalità di trattamento adottate risultano eccedenti e non proporzionate rispetto agli scopi e alle finalità dichiarate, che possono essere legittimamente perseguite mediante il trattamento di informazioni più limitate.
In particolare, la raccolta delle informazioni particolareggiate (tra cui la rilevazione della posizione anche durante la pausa dell’attività lavorativa) risulta idonea ad effettuare un monitoraggio continuo sull’attività dei dipendenti in violazione del principio di minimizzazione dei dati che, invece, richiede che i dati raccolti siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.
L’Autorità Garante ha già in precedenza ribadito che la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il conseguimento delle finalità legittimamente perseguite.
Allo stesso modo, la conservazione dei dati raccolti per un esteso periodo di tempo (pari a 180 giorni) non è conforme ai principi di minimizzazione e di limitazione della conservazione dei dati.
Infine, deve rilevarsi che le specifiche funzionalità del sistema di geolocalizzazione sopra descritte non sono conformi alle specifiche garanzie previste dall’autorizzazione rilasciata dal competente Ispettorato del lavoro in particolare per ciò che concerne alla rilevazione non continuativa del veicolo geolocalizzato, all’anonimizzazione dei dati raccolti, all’adozione di soluzioni tecnologiche che impediscano “l’eventuale trattamento di dati ultronei, non pertinenti o eccedenti le finalità perseguite dal titolare”.
Il trattamento è stato quindi realizzato in difformità a quanto previsto dal provvedimento autorizzatorio e, pertanto, risulta contrario al principio di liceità del trattamento.
Di conseguenza, alla società viene ingiunto il pagamento di una sanzione di 50mila euro e ordinato di fornire un’idonea informativa ai dipendenti oltre che adeguare i trattamenti effettuati attraverso il sistema Gps alle garanzie prescritte nel provvedimento autorizzatorio rilasciato dall’Ispettorato territoriale del lavoro competente.
Avv. Alberto Tarlao
CIU Unionquadri