L’utilizzo di sistemi GPS sui veicoli aziendali può comportare il trattamento di dati relativi alla posizione dei lavoratori e consentire, anche indirettamente, un controllo della loro attività.
Prima di attivare il sistema, il datore di lavoro deve valutarne le finalità, le funzionalità e l’effettiva necessità, verificando l’applicabilità dell’art. 4 dello Statuto dei lavoratori e rispettando i principi di liceità, trasparenza, minimizzazione e limitazione della conservazione previsti dal GDPR.
Il provvedimento del Garante
Il Garante per la privacy ha bloccato il trattamento dei dati effettuato da una società altoatesina che raccoglieva dati sui propri dipendenti tramite l‘installazione di impianti Gps su alcuni veicoli aziendali.
Il provvedimento dell’Autorità è stato adottato in seguito alla segnalazione di alcuni lavoratori che si lamentavano di essere controllati mentre si recavano presso i clienti per attività di assistenza regolarmente programmate.
Il sistema di geolocalizzazione installato dalla società era in grado di rivelare informazioni sui percorsi seguiti, sulle soste effettuate o sulla velocità degli spostamenti del personale.
In particolare, secondo quanto riferito, l’adozione di tale sistema sarebbe avvenuta in assenza di preventiva informativa ai lavoratori e “senza spiegarne le funzioni né lo scopo del suo utilizzo”. Peraltro, soltanto dopo diversi giorni la società avrebbe messo a conoscenza i dipendenti dell’avvenuta installazione dei dispositivi in esame, giustificandone l’utilizzo “solo per scopi produttivi“. L’installazione dei predetti dispositivi sarebbe stata effettuata “senza avvisare l’ispettorato del lavoro e senza avvisare il sindacato”, con conseguente possibile violazione della pertinente disciplina di settore in tema di controlli a distanza dell’attività dei lavoratori (art. 4, legge n. 300/1970).
Il Garante ha ricordato che, in base allo Statuto dei lavoratori, l’installazione di apparecchiature che possano comportare il controllo a distanza dei dipendenti è possibile solo previo accordo dei sindacati o con l’autorizzazione della Direzione provinciale del lavoro.
La sanzione
L’Autorità ha quindi disposto il blocco di ogni ulteriore trattamento dei dati personali riferiti ai lavoratori effettuato tramite tali strumenti di localizzazione. Nel caso in cui l’Ufficio provinciale del lavoro dovesse in futuro autorizzare l’utilizzo di sistemi di controllo via Gps, la società dovrà comunque provvedere a notificare al Garante il trattamento dei dati personali così raccolti e dovrà individuare specifici incaricati del trattamento legittimati ad accedere alle informazioni acquisite.
Prescrive che all’esito della procedura di rilascio dell’eventuale provvedimento autorizzatorio da parte del preposto ufficio territoriale del Lavoro, di notificare il trattamento dei dati personali relativi alla localizzazione degli interessati in base agli artt. 37 e ss. del Codice.
Infine, invita la società a valutare attentamente i tempi di conservazione dei dati acquisiti per il tramite dei dispositivi in esame, commisurandoli, ove necessario, alle effettive necessità di conservazione in rapporto alle specifiche finalità concretamente perseguite (art. 11, comma 1, lett. e), del Codice).
Geolocalizzazione dei dipendenti: cosa prevede oggi la normativa
Il provvedimento del Garante del 7 ottobre 2010 conserva interesse perché evidenzia i rischi derivanti dall’impiego di sistemi GPS senza un’adeguata informazione dei lavoratori e senza il rispetto delle garanzie previste dalla disciplina sui controlli a distanza.
Alcuni adempimenti richiamati nel provvedimento, come la notificazione preventiva al Garante, appartengono tuttavia al quadro normativo precedente al GDPR e non sono più applicabili.
Oggi l’introduzione di un sistema di geolocalizzazione richiede una valutazione preventiva delle sue caratteristiche. In particolare, il datore di lavoro deve:
- definire finalità determinate e legittime;
- verificare l’applicabilità dell’art. 4 dello Statuto dei lavoratori;
- fornire un’informativa completa e trasparente;
- limitare la rilevazione ai tempi e alle condizioni strettamente necessari;
- stabilire tempi di conservazione proporzionati;
- autorizzare espressamente le persone che possono accedere ai dati;
- adottare adeguate misure di sicurezza;
- valutare, in relazione alle caratteristiche del trattamento, la necessità di una DPIA.
Il tema è stato affrontato anche nel provvedimento del Garante del 1° giugno 2023, relativo a un applicativo che monitorava continuativamente la posizione di alcuni lavoratori.
Potrebbe interessarti: