Articolo a cura di: Redazione - Studio Legale Calvello

Installare un GPS sui veicoli aziendali permette di conoscere la posizione dei mezzi, organizzare gli interventi, proteggere la flotta e verificare i percorsi effettuati. Quando il sistema consente di individuare gli spostamenti dei lavoratori, però, l’impresa deve rispettare precise condizioni previste dallo Statuto dei Lavoratori e dal GDPR. La semplice proprietà del veicolo non autorizza il datore di lavoro a controllare liberamente la posizione del dipendente. In molti casi occorre un accordo sindacale o un’autorizzazione dell’Ispettorato del Lavoro, oltre a una corretta gestione dei dati personali.

Il problema riguarda soprattutto aziende di trasporto, logistica, manutenzione, assistenza tecnica e imprese che utilizzano furgoni, autovetture o altri mezzi affidati ai dipendenti. Le irregolarità possono emergere anche quando i localizzatori sono già installati, il fornitore gestisce autonomamente la piattaforma oppure i dati GPS vengono utilizzati per contestare ritardi, soste o comportamenti dei lavoratori. Prima di attivare un sistema di geolocalizzazione, o quando quello esistente presenta dubbi di conformità, è opportuno verificare le finalità del controllo, le autorizzazioni necessarie e le modalità concrete di trattamento dei dati.

Quando è possibile installare GPS sui veicoli aziendali e controllare gli spostamenti dei dipendenti

Il datore di lavoro può avere esigenze legittime di conoscere la posizione dei veicoli utilizzati nell’attività d’impresa. Una società di manutenzione, ad esempio, può voler individuare il tecnico disponibile più vicino a un cliente; un’impresa di trasporti può avere necessità di coordinare le consegne; un’azienda con numerosi automezzi può utilizzare sistemi satellitari per contrastare i furti e organizzare la gestione della flotta. Queste esigenze, però, non rendono automaticamente lecito qualsiasi sistema di tracciamento.

La questione giuridica nasce quando il GPS installato sul veicolo aziendale permette di controllare, direttamente o indirettamente, l’attività del lavoratore. Conoscere la posizione di un furgone può infatti significare conoscere anche dove si trova il dipendente, quanto tempo rimane presso un cliente, quali soste effettua e se rispetta il percorso assegnato. Se la piattaforma conserva uno storico dettagliato degli spostamenti, il datore di lavoro potrebbe ricostruire retrospettivamente buona parte della giornata lavorativa.

L’articolo 4 della Legge n. 300/1970 disciplina gli impianti audiovisivi e gli altri strumenti dai quali possa derivare un controllo a distanza dei lavoratori. Il primo comma consente l’impiego di tali strumenti esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, subordinandone l’installazione alle garanzie procedurali previste dalla disposizione. La norma distingue queste apparecchiature dagli strumenti utilizzati dal lavoratore per rendere la prestazione e da quelli di registrazione degli accessi e delle presenze, ai quali si applica il secondo comma.

Per i sistemi GPS sui veicoli aziendali, non è sufficiente affermare che il localizzatore costituisce uno strumento di lavoro. Occorre verificarne la funzione effettiva. Un dispositivo destinato prevalentemente a localizzare il mezzo e a registrarne gli spostamenti, anche quando utile all’organizzazione aziendale, può rientrare nella disciplina del primo comma dell’articolo 4. La qualificazione dipende dalle caratteristiche del sistema e dal rapporto tra localizzazione e prestazione lavorativa, non dalla denominazione commerciale attribuita dal fornitore.

Una particolare attenzione è necessaria per gli antifurti satellitari. La finalità di proteggere il patrimonio aziendale è espressamente contemplata dalla legge, ma non determina un’esenzione generalizzata dalle garanzie previste per i controlli a distanza. Occorre distinguere, ad esempio, un dispositivo che comunica la posizione soltanto in occasione di un evento di furto da un sistema che consente al responsabile aziendale di consultare continuamente percorsi, soste e orari dei conducenti.

Il problema diventa ancora più delicato quando il veicolo è assegnato al dipendente anche per uso personale. In presenza di auto aziendali a uso promiscuo, il tracciamento potrebbe riguardare spostamenti effettuati durante le pause, nei fine settimana o al di fuori dell’orario lavorativo. L’impresa deve quindi valutare soluzioni che impediscano un monitoraggio ingiustificato della vita privata, come modalità di disattivazione o limitazione della localizzazione, compatibilmente con le effettive esigenze di sicurezza del mezzo.

La legittimità dell’installazione non può essere valutata separatamente dal funzionamento della piattaforma. Un GPS che trasmette la posizione soltanto quando serve a organizzare un intervento presenta caratteristiche diverse da un sistema che produce report individuali sulle soste, confronta le prestazioni degli autisti o permette di verificare costantemente il comportamento del personale. Per questo motivo, prima di acquistare o attivare un software di gestione flotte, è necessario esaminare quali informazioni vengono raccolte, chi può consultarle e per quali decisioni aziendali saranno utilizzate.

Accordo sindacale, autorizzazione dell’Ispettorato del Lavoro e obblighi GDPR

Quando il sistema di geolocalizzazione rientra nel primo comma dell’articolo 4 dello Statuto dei Lavoratori, l’installazione richiede preventivamente un accordo collettivo con le rappresentanze sindacali competenti oppure, in mancanza di accordo, l’autorizzazione dell’Ispettorato del Lavoro secondo la procedura prevista dalla legge. Per le imprese prive di rappresentanze sindacali aziendali, la strada ordinaria è la richiesta di autorizzazione amministrativa. Le aziende con unità produttive distribuite in territori diversi devono considerare anche le specifiche modalità previste per gli accordi e le autorizzazioni di ambito più ampio.

Non basta informare i dipendenti o raccogliere una dichiarazione con cui accettano l’installazione del localizzatore. Il consenso individuale del lavoratore non sostituisce l’accordo sindacale o l’autorizzazione amministrativa quando questi sono richiesti. Si tratta di garanzie previste dalla disciplina lavoristica, distinte dagli adempimenti relativi alla protezione dei dati personali. Anche l’eventuale consenso privacy deve essere valutato considerando lo squilibrio normalmente esistente tra datore di lavoro e dipendente, che può comprometterne la libertà.

La richiesta di autorizzazione deve descrivere le effettive caratteristiche del sistema e le ragioni che ne giustificano l’impiego. Assume particolare rilievo la documentazione tecnica: modalità di rilevazione della posizione, frequenza degli aggiornamenti, possibilità di consultazione in tempo reale, conservazione della cronologia, soggetti autorizzati all’accesso e funzionalità di controllo disponibili. Una descrizione generica del servizio GPS può risultare insufficiente per comprendere l’effettiva portata del monitoraggio.

L’accordo o l’autorizzazione non esauriscono gli obblighi dell’impresa. Il Regolamento (UE) 2016/679 richiede che il trattamento dei dati di geolocalizzazione rispetti i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione e limitazione della conservazione. Il datore di lavoro deve individuare una base giuridica appropriata, verificare la necessità delle informazioni raccolte e impedire che il sistema venga utilizzato per finalità incompatibili con quelle legittimamente perseguite.

Prima dell’attivazione occorre predisporre un’informativa specifica, conforme agli articoli 12 e 13 GDPR, che permetta ai lavoratori di comprendere quali dati vengono rilevati, per quali scopi, con quali modalità e per quanto tempo. L’informativa deve chiarire anche chi può accedere alle informazioni e quali diritti possono essere esercitati. Non è sufficiente un richiamo generico alla privacy contenuto nel regolamento aziendale o nella documentazione consegnata all’assunzione.

Un altro profilo riguarda il rapporto con il fornitore della piattaforma satellitare. Se la società esterna tratta i dati di localizzazione per conto dell’impresa, deve essere disciplinato il rapporto mediante un accordo conforme all’articolo 28 GDPR, con istruzioni documentate, misure di sicurezza e regole sull’eventuale ricorso a subresponsabili. Occorre verificare anche dove vengono conservati i dati e se siano previsti trasferimenti verso Paesi esterni allo Spazio economico europeo.

La geolocalizzazione deve essere valutata anche nell’ambito della documentazione privacy aziendale. Il trattamento va inserito nel registro delle attività quando ne ricorrono i presupposti e deve essere esaminata la necessità di una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR. Il monitoraggio sistematico dei lavoratori, soprattutto quando continuo, dettagliato o effettuato su larga scala, può presentare un rischio elevato per i diritti e le libertà delle persone e rendere obbligatoria tale valutazione.

Il responsabile aziendale può approfondire questi adempimenti nelle nostre analisi sulla valutazione d’impatto privacy e i casi in cui è obbligatoria e sui rapporti con i fornitori che trattano dati personali per conto dell’azienda. Nel caso dei GPS, questi documenti devono essere costruiti sulle caratteristiche effettive del sistema, evitando informative, nomine e valutazioni standardizzate che non descrivano il trattamento realmente effettuato.

Conservazione dei dati GPS, controlli sui lavoratori e responsabilità dell’azienda

Una volta installato il sistema di geolocalizzazione, l’impresa deve verificare come vengono utilizzate le informazioni raccolte e per quanto tempo rimangono disponibili. La possibilità tecnica di conservare tutti gli spostamenti dei veicoli non significa che tale conservazione sia giuridicamente consentita. Il GDPR impone di stabilire tempi di conservazione proporzionati alle finalità del trattamento, evitando la raccolta sistematica di informazioni che non siano effettivamente necessarie. Un conto è conoscere la posizione di un mezzo per assegnare un intervento urgente; altro è conservare per mesi la cronologia completa dei percorsi, delle soste e degli orari di ciascun lavoratore.

Non esiste un termine di conservazione universalmente applicabile a tutti i sistemi GPS aziendali. La durata deve essere individuata considerando le finalità concretamente perseguite, le caratteristiche del servizio, gli eventuali obblighi normativi e le indicazioni dell’autorità di controllo. Quando le esigenze organizzative possono essere soddisfatte mediante la localizzazione in tempo reale, la conservazione prolungata dello storico richiede una giustificazione autonoma. L’azienda deve quindi configurare il software affinché i dati vengano cancellati o resi anonimi quando non sono più necessari, evitando che le impostazioni predefinite del fornitore determinino trattamenti eccessivi.

Particolare attenzione richiede l’accesso alle informazioni. Non tutti i dirigenti, responsabili HR o coordinatori operativi devono necessariamente poter consultare la posizione dei dipendenti. Le autorizzazioni devono essere attribuite secondo le mansioni e le effettive necessità aziendali. Può essere giustificato consentire al responsabile della logistica di individuare il veicolo disponibile per una consegna, senza permettergli di ricostruire indiscriminatamente gli spostamenti privati del conducente. È opportuno prevedere credenziali individuali, limitazioni delle funzionalità e registrazione degli accessi, in misura adeguata ai rischi del trattamento.

Una delle questioni più delicate riguarda l’utilizzo dei dati GPS per contestazioni disciplinari, licenziamenti o verifiche sul comportamento dei dipendenti. L’articolo 4, comma 3, dello Statuto dei Lavoratori stabilisce che le informazioni raccolte attraverso gli strumenti disciplinati dai commi precedenti sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia stata fornita al lavoratore un’adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli e che sia rispettata la normativa sulla protezione dei dati personali. Restano naturalmente necessarie le ulteriori condizioni di legittimità applicabili all’installazione e all’impiego del sistema.

Se un’impresa intende utilizzare la cronologia GPS per dimostrare che un autista ha effettuato soste ingiustificate, che un tecnico non ha raggiunto il cliente oppure che un dipendente ha utilizzato il veicolo per finalità non autorizzate, deve prima verificare la liceità della raccolta e dell’utilizzo delle informazioni. La disponibilità materiale dei dati non ne determina automaticamente l’utilizzabilità disciplinare. Anche i controlli diretti ad accertare comportamenti illeciti devono essere valutati rispetto alle garanzie previste dalla disciplina lavoristica, alla proporzionalità dell’intervento e alla tutela dei diritti del lavoratore.

Il problema assume particolare rilievo quando l’impresa scopre un possibile illecito attraverso un sistema installato senza le necessarie autorizzazioni. In una situazione del genere, procedere immediatamente alla contestazione disciplinare utilizzando i dati satellitari può esporre l’azienda a ulteriori controversie. Occorre distinguere la legittimità del sistema di controllo dalla rilevanza del comportamento contestato e valutare se esistano elementi probatori acquisiti lecitamente. La disciplina dei controlli difensivi non costituisce un’autorizzazione generale a monitorare preventivamente e indiscriminatamente tutti i lavoratori.

Le irregolarità possono comportare conseguenze su diversi piani. La violazione delle condizioni previste dall’articolo 4 dello Statuto dei Lavoratori può assumere rilevanza anche ai sensi dell’articolo 38 della medesima legge, secondo il sistema sanzionatorio applicabile. Sul versante della protezione dei dati personali, il Garante può esercitare i poteri correttivi previsti dall’articolo 58 GDPR e, quando ne ricorrono i presupposti, applicare le sanzioni amministrative dell’articolo 83. Possono inoltre sorgere controversie lavoristiche e richieste risarcitorie, la cui fondatezza deve essere accertata in relazione alla specifica violazione e al danno allegato.

Quando un dipendente presenta un reclamo oppure l’impresa riceve una richiesta di chiarimenti dalle autorità, è necessario ricostruire il funzionamento effettivo del sistema, verificare la documentazione disponibile e individuare eventuali trattamenti non conformi. La questione può richiedere anche un intervento coordinato tra direzione aziendale, responsabili HR, ufficio IT e DPO, ove designato. Per le imprese che devono affrontare una contestazione, abbiamo approfondito le modalità di gestione del reclamo privacy presentato da un dipendente e le attività da considerare in caso di ispezione del Garante Privacy in azienda.

Quando i localizzatori sono già operativi ma mancano l’accordo sindacale, l’autorizzazione amministrativa o una documentazione privacy adeguata, la priorità è verificare se il trattamento possa proseguire legittimamente. L’impresa deve valutare l’eventuale sospensione delle funzionalità di monitoraggio non conformi, la revisione delle impostazioni tecniche, la regolarizzazione delle procedure e la corretta gestione dei dati precedentemente raccolti. Un’autorizzazione ottenuta successivamente non rende automaticamente leciti i controlli effettuati in precedenza. Per questo motivo, un intervento di adeguamento deve considerare sia l’utilizzo futuro del sistema sia le possibili conseguenze delle attività già svolte.

Un esempio pratico: azienda con furgoni geolocalizzati e documentazione privacy incompleta

Consideriamo il caso ipotetico di un’impresa di manutenzione con una flotta di furgoni assegnati ai tecnici che operano presso i clienti. Per organizzare gli interventi, la società utilizza una piattaforma GPS fornita da un operatore esterno. Il sistema permette alla direzione di conoscere la posizione dei mezzi in tempo reale e di consultare lo storico dei percorsi. Durante una verifica interna emerge che i localizzatori sono stati attivati senza un’adeguata valutazione degli obblighi previsti dall’articolo 4 dello Statuto dei Lavoratori e che l’informativa consegnata ai dipendenti non descrive le effettive modalità del monitoraggio.

In una situazione del genere, il primo intervento consiste nell’esaminare il contratto con il fornitore, le funzionalità del software e le finalità per le quali vengono consultati i dati. Occorre poi verificare la necessità dell’accordo sindacale o dell’autorizzazione dell’Ispettorato del Lavoro, individuare una base giuridica appropriata e valutare gli adempimenti GDPR, compresa l’eventuale DPIA. L’aspetto più delicato riguarda la distinzione tra localizzazione necessaria per assegnare gli interventi e monitoraggio continuativo delle attività individuali dei tecnici.

La riorganizzazione può richiedere la limitazione delle funzionalità di tracciamento, la definizione di tempi di conservazione più contenuti, l’aggiornamento dell’informativa e la regolamentazione degli accessi. Deve essere esaminata anche la posizione dei dati già raccolti. L’obiettivo dell’intervento professionale è individuare una configurazione del sistema compatibile con le effettive necessità dell’impresa e con le garanzie riconosciute ai lavoratori, senza presumere che ogni funzione offerta dalla piattaforma sia automaticamente utilizzabile.

Domande frequenti sui GPS installati nei veicoli aziendali

Un’azienda può installare un GPS sui furgoni senza chiedere il consenso dei dipendenti?

Il consenso dei dipendenti non costituisce, di regola, la base giuridica appropriata per la geolocalizzazione nell’ambito del rapporto di lavoro. Quando il sistema rientra nell’articolo 4, comma 1, dello Statuto dei Lavoratori, occorre rispettare la procedura dell’accordo sindacale o dell’autorizzazione amministrativa. Devono inoltre essere individuate una base giuridica valida ai sensi del GDPR e modalità di trattamento proporzionate alle finalità perseguite. La firma di un modulo da parte del lavoratore non sostituisce le garanzie previste dalla legge.

Se il GPS è installato esclusivamente per prevenire i furti, serve l’autorizzazione dell’Ispettorato del Lavoro?

La tutela del patrimonio aziendale è una delle finalità ammesse dall’articolo 4 dello Statuto dei Lavoratori, ma non comporta automaticamente l’esenzione dalla procedura prevista dal primo comma. Occorre verificare le caratteristiche del dispositivo, le condizioni di attivazione e la possibilità di controllare gli spostamenti dei dipendenti. Un antifurto che comunica la posizione soltanto in occasione di eventi specifici presenta caratteristiche differenti rispetto a un localizzatore che consente il monitoraggio continuativo del veicolo. La necessità dell’accordo sindacale o dell’autorizzazione deve essere valutata sulla configurazione effettiva del sistema.

Il datore di lavoro può utilizzare i dati GPS per contestare ritardi, soste ingiustificate o comportamenti illeciti?

L’utilizzo disciplinare delle informazioni raccolte attraverso strumenti aziendali è subordinato alle condizioni previste dall’articolo 4, comma 3, dello Statuto dei Lavoratori, oltre che alla legittimità dell’installazione e al rispetto della normativa sulla protezione dei dati personali. Il dipendente deve aver ricevuto un’adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli. Prima di utilizzare la cronologia GPS per una contestazione, l’impresa deve verificare la liceità della raccolta, la finalità del trattamento e l’utilizzabilità delle informazioni nel caso concreto.

Per quanto tempo un’azienda può conservare i percorsi registrati dai GPS?

Il GDPR non stabilisce un termine unico di conservazione applicabile a tutti i sistemi di geolocalizzazione aziendale. La durata deve essere proporzionata alle finalità perseguite e giustificata dalle effettive necessità dell’impresa, tenendo conto anche di eventuali prescrizioni applicabili al trattamento. La conservazione indiscriminata dello storico dei percorsi non può essere giustificata dalla sola disponibilità tecnica della piattaforma. Occorre definire termini documentati e configurare, quando necessario, procedure automatiche di cancellazione o anonimizzazione.

L’azienda ha già installato GPS senza accordo sindacale o autorizzazione: cosa deve fare?

La prima attività consiste nel verificare se il sistema rientri effettivamente tra gli strumenti soggetti alle garanzie dell’articolo 4, comma 1, dello Statuto dei Lavoratori. Se l’accordo o l’autorizzazione erano necessari e non sono stati acquisiti, occorre valutare la sospensione delle funzionalità di controllo non conformi e avviare le procedure richieste. Devono essere esaminati anche l’informativa, la base giuridica, i tempi di conservazione e i dati già raccolti. La successiva regolarizzazione non sana automaticamente eventuali violazioni pregresse, che richiedono una valutazione giuridica specifica.

GPS sui veicoli aziendali: richiedi una valutazione legale sulla conformità del sistema

Se la vostra azienda intende installare localizzatori satellitari sui veicoli, utilizza già una piattaforma GPS oppure deve affrontare contestazioni relative al controllo dei dipendenti, possiamo esaminare le caratteristiche del sistema e gli adempimenti applicabili. La valutazione riguarda, secondo le necessità del caso, accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, informativa privacy, DPIA, rapporti con il fornitore, conservazione dei dati e legittimità dei controlli effettuati.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nelle questioni giuridiche relative alla privacy aziendale, alla protezione dei dati personali e alla conformità dei sistemi di controllo dei lavoratori. Per sottoporre la situazione della vostra impresa alla nostra attenzione, richiedete una valutazione legale attraverso il modulo dedicato alla privacy e al GDPR aziendale. Esamineremo la richiesta per individuare gli aspetti che necessitano di approfondimento e le possibili modalità di intervento.