Il Garante Privacy torna a richiamare le aziende sull’utilizzo dei sistemi di geolocalizzazione e sulla gestione delle richieste di accesso ai dati personali dei lavoratori. Il mancato rispetto delle disposizioni del GDPR e della normativa lavoristica può comportare sanzioni economiche particolarmente rilevanti.
Il caso esaminato dal Garante
Con il Provvedimento n. 585 del 6 agosto 2026, il Garante per la protezione dei dati personali ha sanzionato un’impresa con una multa di 39.000 euro, affrontando due profili di particolare interesse per i datori di lavoro: il diritto di accesso ai dati personali del lavoratore e l’utilizzo di sistemi GPS installati sui veicoli aziendali.
La vicenda trae origine dalla richiesta di un dipendente che, nell’ambito di un procedimento disciplinare, aveva chiesto di visionare e ottenere copia della documentazione posta alla base della contestazione, compresi i dati raccolti tramite il sistema GPS installato sull’automezzo aziendale utilizzato. L’azienda non aveva fornito alcun riscontro, ritenendo di non essere tenuta a far conoscere al lavoratore gli elementi raccolti nella fase istruttoria del procedimento disciplinare.
Il diritto di accesso prevale anche in ambito disciplinare
Secondo il Garante, la richiesta del dipendente doveva essere valutata come esercizio del diritto di accesso ai dati personali previsto dagli articoli 12 e 15 del GDPR, anche se non formulata utilizzando espressamente la terminologia prevista dalla normativa privacy.
L’Autorità ha ribadito che:
- il lavoratore ha diritto di conoscere i dati personali che lo riguardano trattati dal datore di lavoro;
- il datore deve sempre fornire un riscontro alla richiesta;
- l’eventuale diniego deve essere motivato e accompagnato dall’indicazione dei rimedi esperibili davanti al Garante o all’autorità giudiziaria.
La pronuncia evidenzia come le richieste dei dipendenti non possano essere valutate esclusivamente alla luce della disciplina lavoristica, ma debbano essere esaminate anche sotto il profilo della normativa sulla protezione dei dati personali.
Geolocalizzazione dei veicoli: accordo sindacale non sufficiente
Il secondo profilo riguarda l’installazione di dispositivi GPS sui veicoli aziendali. Nel caso esaminato, l’impresa aveva correttamente sottoscritto un accordo sindacale ai sensi dell’art. 4 della Legge n. 300/1970, giustificando l’utilizzo del sistema con esigenze di tutela del patrimonio aziendale.
Tuttavia, il Garante ha rilevato una violazione dell’art. 13 del GDPR, poiché ai lavoratori non era stata fornita una specifica informativa privacy sul trattamento dei dati derivanti dalla geolocalizzazione.
L’Autorità ha inoltre precisato che il trattamento di dati personali sussiste anche quando il sistema GPS non associa direttamente il tracciato al nominativo del dipendente, se è comunque possibile ricondurre il veicolo al lavoratore che lo utilizza.
Cosa devono fare le aziende
Alla luce del provvedimento, le imprese che utilizzano strumenti di geolocalizzazione dovrebbero verificare attentamente:
la sussistenza dei presupposti previsti dall’art. 4 dello Statuto dei Lavoratori;
la presenza dell’accordo sindacale o dell’autorizzazione dell’Ispettorato del Lavoro quando necessari;
la corretta predisposizione e consegna dell’informativa privacy ai lavoratori;
le procedure interne per la gestione delle richieste di accesso ai dati personali;
i tempi e le modalità di riscontro alle istanze provenienti dai dipendenti.
Le conseguenze del mancato rispetto delle regole
Il provvedimento conferma che gli obblighi derivanti dalla normativa lavoristica e quelli previsti dal GDPR costituiscono percorsi autonomi ma strettamente intrecciati. Una gestione non corretta delle richieste di accesso o dei sistemi di controllo a distanza può esporre l’azienda a sanzioni significative che, nei casi più gravi previsti dal GDPR, possono arrivare fino al 4% del fatturato annuo mondiale dell’impresa.
Messaggio per le aziende
Non è più sufficiente verificare la sola conformità alle disposizioni dello Statuto dei Lavoratori. Ogni sistema di geolocalizzazione deve essere accompagnato da adeguati adempimenti privacy e ogni richiesta del lavoratore relativa ai suoi dati personali deve essere gestita secondo le regole del GDPR, con risposte tempestive e adeguatamente motivate
Per ulteriori informazioni contattare i funzionari di riferimento:
Per Firenze : e.masi@confindsutriatoscanacentroecosta.it ; s.rinaldo@confindustriatoscanacentroecosta.it
Per Livorno: e.bartolo@confindustriatoscanacentroecosta.it
Per Massa Carrara: a.biso@confindustriatoscanacentroecosta.it