Geolocalizzazione dei dipendenti, il Garante Privacy fissa i limiti del controllo aziendale

Il Garante per la protezione dei dati personali - con il provvedimento n. 382/2026 - interviene con una decisione destinata a segnare un ulteriore punto di equilibrio nel delicato rapporto tra poteri datoriali e tutela della riservatezza del lavoratore, chiarendo che i sistemi di geolocalizzazione dei veicoli aziendali non possono trasformarsi, neppure indirettamente, in strumenti di controllo continuativo dell’attività lavorativa.

La legittimità del trattamento non si misura sulla sola utilità organizzativa del Gps, ma sulla sua concreta configurazione tecnica e sull’effettiva capacità di rispettare i principi di minimizzazione, proporzionalità e limitazione della finalità.

Ne discende che la frequenza di rilevazione della posizione, l’eventuale accesso in tempo reale ai dati e la possibilità di ricostruire i percorsi dei dipendenti costituiscono elementi decisivi ai fini della liceità del trattamento, soprattutto in un contesto, come quello lavorativo, in cui la posizione di vulnerabilità dell’interessato impone garanzie rafforzate.

Centrale, inoltre, è l’obbligo di valutazione d’impatto preventiva, quale strumento di responsabilizzazione del titolare, funzionale a prevenire trattamenti eccedenti o sproporzionati rispetto alle finalità perseguite.

Il caso concreto - La vicenda prende avvio dall’utilizzo, da parte di un’azienda sanitaria, di un sistema Gps installato sui mezzi di servizio assegnati al personale addetto alla guida. Attraverso tale sistema era possibile rilevare in modo frequente la posizione dei veicoli e, di riflesso, degli operatori, con accesso anche in tempo reale ai relativi spostamenti. Le informazioni così raccolte venivano successivamente utilizzate nell’ambito di un procedimento disciplinare a carico di un lavoratore, in relazione a contestazioni riguardanti soste e percorrenze ritenute non coerenti con l’attività svolta. Il dipendente contestava la legittimità del sistema, evidenziando l’eccessiva invasività del controllo e l’assenza di adeguate garanzie.
Nel corso dell’istruttoria emergeva che il sistema operava con intervalli molto ravvicinati e senza reali possibilità di disattivazione, oltre a non essere stato inizialmente accompagnato da una preventiva analisi dei rischi. L’azienda aveva comunque predisposto informative e accordi con le rappresentanze sindacali, ma tali strumenti non risultavano sufficienti a compensare la pervasività del tracciamento.

Nel merito, il provvedimento sviluppa un impianto interpretativo particolarmente rigoroso in materia di controlli tecnologici sul lavoro. Il punto di equilibrio viene individuato nella concreta valutazione della necessità del trattamento rispetto alle finalità dichiarate, con particolare attenzione all’impatto che la configurazione tecnica del sistema determina sulla libertà e sulla riservatezza del lavoratore.
Una frequenza di rilevazione troppo elevata, unita alla possibilità di accesso immediato ai dati di posizione, determina un effetto di monitoraggio costante che altera la fisiologia del rapporto di lavoro, trasformando lo strumento organizzativo in un dispositivo di controllo continuativo.

Il Garante evidenzia che il datore di lavoro deve adottare un approccio progettuale improntato alla minimizzazione del dato, evitando qualsiasi raccolta eccedente rispetto allo scopo perseguito. Non è sufficiente la mera legittimazione formale del sistema attraverso accordi o informative, poiché la conformità deve essere sostanziale e verificabile nella concreta operatività dello strumento.

In tale prospettiva, la valutazione d’impatto assume un ruolo decisivo, poiché consente di anticipare i rischi derivanti dal trattamento e di orientare le scelte tecnologiche verso soluzioni meno invasive.

Particolare rilievo assume anche il tema dell’utilizzo disciplinare dei dati raccolti. Il provvedimento chiarisce che tali informazioni possono essere impiegate solo se il trattamento originario è stato effettuato nel rispetto dei principi di liceità e proporzionalità. In caso contrario, i dati risultano inutilizzabili, poiché l’illegittimità della raccolta si riflette sulla loro spendibilità successiva nel rapporto di lavoro.

Ne deriva un principio di coerenza tra fase di acquisizione e fase di utilizzo, che impedisce di valorizzare dati ottenuti attraverso sistemi non conformi. Viene chiarito che i sistemi di geolocalizzazione non possono essere concepiti come strumenti di sorveglianza del lavoratore, ma devono mantenere una funzione accessoria rispetto alle esigenze organizzative e di sicurezza.
Ogni configurazione che consenta un controllo sistematico degli spostamenti si pone in contrasto con i principi fondamentali della disciplina, imponendo una rimodulazione tecnica e organizzativa del sistema affinché sia garantito un effettivo bilanciamento tra esigenze dell’impresa e diritti fondamentali della persona.
In questa prospettiva, il provvedimento valorizza anche il profilo dinamico della conformità, evidenziando come l’adeguamento successivo del sistema da parte del titolare, pur non eliminando le violazioni pregresse, rilevi ai fini della graduazione delle conseguenze sanzionatorie e della valutazione complessiva della condotta.
L’attenuazione delle capacità di tracciamento e la rimodulazione degli intervalli di rilevazione rappresentano, infatti, segnali di un progressivo allineamento ai principi europei di protezione dei dati, ma confermano al contempo che la legittimità del trattamento non può essere ricostruita ex post, dovendo invece essere assicurata sin dalla fase di progettazione dello strumento.

Il provvedimento dell’Autorità Garante della Riservatezza fissa il principio secondo cui la tecnologia, nel contesto lavorativo, non è mai neutra rispetto ai diritti fondamentali della persona. Anche quando impiegati per finalità organizzative lecite, i sistemi di geolocalizzazione devono essere progettati in modo da evitare qualsiasi forma di controllo “continuativo di fatto”, che possa incidere sulla libertà di autodeterminazione e sulla dignità del lavoratore.