Articolo a cura di: Redazione - Studio Legale Calvello

Per un’azienda di trasporto o logistica la necessità di nominare un DPO non dipende dal settore in quanto tale, né semplicemente dal numero di dipendenti o di veicoli. La valutazione deve partire dai trattamenti concretamente svolti e, in particolare, dalla loro natura, estensione e continuità. Nelle imprese del comparto possono assumere particolare rilievo la geolocalizzazione della flotta e degli autisti, i sistemi di fleet management, la telematica di bordo, il controllo degli accessi, la videosorveglianza dei magazzini, le piattaforme per il tracking delle spedizioni e la gestione su larga scala dei dati di clienti, destinatari, conducenti e personale.

Il punto diventa particolarmente delicato quando questi strumenti consentono un monitoraggio regolare e sistematico delle persone su larga scala. In tali situazioni occorre verificare se ricorrono i presupposti dell’art. 37 del GDPR per la nomina obbligatoria del Responsabile della protezione dei dati (DPO o RPD). Anche quando l’obbligo non sussiste, l’organizzazione dei trattamenti può rendere opportuno un presidio privacy strutturato, soprattutto nelle imprese con flotte numerose, più sedi, magazzini, molti dipendenti o una rete articolata di vettori, sub-vettori e fornitori tecnologici.

Quando il DPO è obbligatorio per un’azienda di trasporto o logistica

L’art. 37 del Regolamento (UE) 2016/679 prevede, tra le altre ipotesi, la designazione del DPO quando le attività principali del titolare o del responsabile consistono in trattamenti che, per natura, ambito di applicazione o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala. È questo il criterio che può assumere maggiore rilievo nel settore dei trasporti e della logistica, perché l’operatività quotidiana può comprendere sistemi capaci di raccogliere continuativamente informazioni sulla posizione e sull’attività dei conducenti.

Non è quindi corretto affermare che ogni impresa di autotrasporto debba necessariamente avere un DPO. Occorre verificare se il trattamento costituisca una delle attività principali dell’organizzazione e se il monitoraggio presenti dimensioni tali da poter essere qualificato come svolto su larga scala. Entrano nella valutazione il numero degli interessati, il volume dei dati, la durata del trattamento e la sua estensione geografica. Una società con pochi mezzi che utilizza limitatamente alcuni dati di localizzazione presenta una situazione diversa da quella di un operatore logistico nazionale che monitora continuativamente centinaia di veicoli e conducenti attraverso piattaforme integrate.

La geolocalizzazione merita un esame specifico. I dati relativi alla posizione di un mezzo possono costituire dati personali quando consentono di individuare, direttamente o indirettamente, il lavoratore al quale il veicolo è assegnato. Il problema non viene meno soltanto perché il software identifica inizialmente il camion, il furgone o un altro veicolo anziché mostrare il nome dell’autista: se l’azienda può ricondurre il mezzo a una determinata persona, il trattamento può riguardare anche quest’ultima.

Per questo motivo, quando un’impresa utilizza GPS, applicazioni mobili, sistemi telematici o piattaforme di fleet management per conoscere sistematicamente posizione, percorsi, soste o altri dati collegabili ai conducenti, noi riteniamo necessario esaminare con attenzione il complesso dei trattamenti prima di concludere che il DPO per l’azienda di trasporto o logistica sia obbligatorio oppure soltanto una scelta organizzativa. La stessa valutazione può coinvolgere sistemi di videosorveglianza estesi, tecnologie di controllo degli accessi e altre forme di monitoraggio continuativo.

Quando la nomina risulta necessaria, il DPO può essere interno oppure esterno. Il GDPR consente infatti che le funzioni siano svolte sulla base di un contratto di servizi. La scelta di un DPO esterno per un’azienda di trasporto e logistica può risultare coerente con organizzazioni che non dispongono internamente di una figura dotata della necessaria competenza specialistica o nelle quali gli incarichi ricoperti dalle possibili figure interne determinerebbero un conflitto di interessi. Il DPO deve poter svolgere le proprie funzioni con indipendenza, essere coinvolto tempestivamente nelle questioni relative alla protezione dei dati e disporre delle informazioni e delle risorse necessarie.

GPS, autisti, fleet management e logistica: quali trattamenti deve valutare il DPO

Nel trasporto e nella logistica la protezione dei dati non può essere gestita limitandosi alle informative consegnate ai dipendenti. Prima ancora di esaminare i singoli documenti occorre ricostruire il flusso effettivo delle informazioni: quali dati vengono raccolti, attraverso quali dispositivi, per quali finalità, chi può consultarli, per quanto tempo rimangono disponibili e a quali soggetti esterni vengono trasmessi. Questa ricognizione deve trovare corrispondenza nel registro delle attività di trattamento e nella restante documentazione privacy dell’impresa.

Un sistema GPS installato sui mezzi, ad esempio, può essere utilizzato per organizzare le consegne, individuare il veicolo più vicino a una destinazione, documentare determinate attività operative, tutelare mezzi e merci o soddisfare esigenze di sicurezza. Il fatto che esista una finalità aziendale concreta non rende però automaticamente lecito qualsiasi livello di monitoraggio. Devono essere valutati la base giuridica, la necessità e proporzionalità del trattamento, le informazioni fornite ai lavoratori, i soggetti autorizzati all’accesso, i tempi di conservazione e le misure adottate per impedire utilizzi incompatibili con le finalità dichiarate.

Quando il sistema consente anche il controllo dell’attività dei lavoratori, alla disciplina sulla protezione dei dati si affianca quella lavoristica applicabile agli strumenti dai quali possa derivare un controllo a distanza. Per un’impresa di autotrasporto questo coordinamento è essenziale: configurazione tecnica del GPS, modalità di utilizzo dei dati e organizzazione aziendale devono essere esaminate insieme, evitando di considerare la questione come un semplice adempimento documentale.

Lo stesso metodo riguarda i sistemi di gestione del magazzino e della flotta. Un TMS, un WMS o una piattaforma telematica possono trattare dati degli autisti, nominativi e recapiti dei destinatari, informazioni sulle spedizioni, firme o altre prove di consegna, credenziali degli operatori e registrazioni degli accessi. L’impresa deve comprendere anche il ruolo dei diversi fornitori. A seconda del servizio e delle decisioni effettivamente assunte sul trattamento, può essere necessario disciplinare il rapporto ai sensi dell’art. 28 GDPR e verificare le istruzioni, le misure di sicurezza, l’eventuale ricorso a sub-responsabili e la destinazione dei dati.

La distinzione dei ruoli assume particolare rilievo nella filiera logistica, dove committente, vettore, sub-vettore, spedizioniere, gestore del magazzino e fornitore della piattaforma possono intervenire sul medesimo flusso informativo senza avere necessariamente la stessa qualificazione privacy. Per questo la corretta individuazione di titolare, responsabile e soggetti autorizzati al trattamento deve derivare dalle attività realmente svolte e dal potere decisionale esercitato sui dati, non dalla denominazione utilizzata nel contratto commerciale.

Il DPO deve inoltre essere coinvolto quando un nuovo trattamento può presentare un rischio elevato per i diritti e le libertà delle persone e occorre valutare la necessità di una DPIA. Sistemi di monitoraggio particolarmente estesi, nuove tecnologie di tracciamento, videosorveglianza articolata o integrazioni capaci di combinare più fonti di dati richiedono una verifica preventiva, anziché una regolarizzazione documentale effettuata quando il sistema è già pienamente operativo.

Per le aziende che dispongono già di un’organizzazione privacy, l’attività non si esaurisce con la prima impostazione. Cambiano software, fornitori, flotte, sedi, modalità di consegna e sistemi di controllo; possono essere introdotte nuove applicazioni per gli autisti o nuove piattaforme cloud. Registro, informative, nomine, contratti e procedure devono quindi essere mantenuti coerenti con ciò che accade realmente nell’impresa. Quando la struttura esistente non è più allineata all’operatività, può essere necessario un aggiornamento della documentazione privacy aziendale, inserito in una verifica più ampia dei trattamenti effettivamente svolti.

Obblighi, rischi e controlli privacy nelle imprese di trasporto e logistica

La presenza del DPO non trasferisce su quest’ultimo la responsabilità della conformità aziendale. Il titolare del trattamento resta responsabile delle decisioni relative a finalità, strumenti e organizzazione dei trattamenti, mentre il DPO svolge le funzioni di informazione, consulenza, sorveglianza e cooperazione previste dal GDPR. In un’impresa di trasporto o logistica questo significa che direzione, HR, IT e responsabili operativi devono coinvolgere il DPO quando vengono introdotti o modificati sistemi che incidono sul trattamento dei dati personali, evitando di sottoporgli il progetto soltanto quando il software è già installato o il servizio è stato contrattualizzato.

Un primo ambito di verifica riguarda la geolocalizzazione dei veicoli e degli autisti. Occorre controllare quali informazioni siano effettivamente raccolte dal sistema GPS, con quale frequenza, se sia possibile visualizzare la posizione in tempo reale, quali dati storici siano conservati e chi possa consultarli. La configurazione tecnica deve essere coerente con le finalità dichiarate e con il principio di minimizzazione. Anche i tempi di conservazione devono essere determinati sulla base delle esigenze effettive dell’impresa: accumulare indefinitamente lo storico degli spostamenti perché il software lo consente non costituisce, da solo, una ragione sufficiente per conservarlo.

Particolare attenzione richiede il rapporto con i lavoratori. Se GPS, applicazioni installate sugli smartphone, sistemi telematici, dispositivi di bordo o altre tecnologie consentono di ricostruire l’attività dell’autista, la valutazione deve coordinare GDPR, Codice Privacy e disciplina lavoristica sul controllo a distanza. Devono essere esaminate le finalità perseguite, le modalità tecniche del sistema, l’informativa resa al dipendente e, quando ne ricorrono i presupposti, gli adempimenti previsti dall’art. 4 dello Statuto dei lavoratori. Una generica informativa privacy non può sostituire gli eventuali adempimenti richiesti dalla normativa lavoristica.

Un secondo fronte riguarda magazzini, depositi e hub logistici. Videosorveglianza, lettura delle targhe, badge, registrazione degli accessi e sistemi utilizzati per controllare aree nelle quali operano dipendenti, autisti esterni, fornitori e visitatori possono generare trattamenti differenti, che devono essere censiti e disciplinati in modo coerente. Quando l’impresa utilizza sistemi di videosorveglianza e controllo degli accessi particolarmente articolati, la valutazione deve riguardare anche l’eventuale necessità di una DPIA, i tempi di conservazione delle immagini, le autorizzazioni all’accesso e le misure di sicurezza.

La filiera logistica amplia poi il numero dei soggetti che possono entrare in contatto con i dati. Software house, provider cloud, società che gestiscono GPS e telematica, operatori di magazzino, fornitori di applicazioni, vettori e sub-vettori devono essere esaminati in relazione al ruolo effettivamente svolto. Quando un fornitore tratta dati personali per conto dell’impresa, occorre verificare la corretta disciplina del rapporto ai sensi dell’art. 28 GDPR; quando invece determina autonomamente finalità e mezzi di propri trattamenti, la qualificazione può essere diversa. Una verifica dell’adeguamento GDPR aziendale deve quindi andare oltre la presenza formale dei contratti e accertare se ruoli e flussi di dati corrispondano all’organizzazione reale.

La stessa attenzione è necessaria per la sicurezza. Un attacco ransomware al sistema gestionale, il furto dello smartphone utilizzato da un autista, la compromissione delle credenziali di una piattaforma logistica, l’accesso abusivo ai dati delle spedizioni o l’invio di informazioni al destinatario errato possono costituire una violazione di dati personali. L’impresa deve disporre di una procedura che permetta di rilevare l’incidente, circoscriverlo, documentarlo e valutarne tempestivamente le conseguenze. La notifica al Garante non è automatica per qualsiasi incidente: l’art. 33 GDPR la richiede quando la violazione può presentare un rischio per i diritti e le libertà delle persone fisiche, salvo che sia improbabile che tale rischio si verifichi. Nei casi previsti dall’art. 34 deve essere valutata anche la comunicazione agli interessati.

Il DPO, se nominato, deve essere coinvolto tempestivamente nella valutazione del data breach, senza che ciò modifichi la responsabilità decisionale del titolare. La rapidità è particolarmente importante perché, quando la notifica è dovuta, il GDPR prevede che venga effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Analogamente, in caso di richiesta di informazioni, reclamo o attività del Garante Privacy, l’azienda deve essere in grado di ricostruire i trattamenti e produrre documentazione coerente con le prassi effettivamente adottate.

Per questo un audit privacy in un’azienda di trasporto o logistica non dovrebbe limitarsi a verificare l’esistenza di informative e nomine. Deve confrontare documentazione e operatività: GPS realmente utilizzati, impostazioni dei software, autorizzazioni agli accessi, conservazione dei dati, rapporti con i fornitori, sistemi di videosorveglianza, procedure di sicurezza e istruzioni impartite al personale. È da questo confronto che possono emergere trattamenti non censiti, documenti divenuti obsoleti o procedure che richiedono un aggiornamento.

Un caso pratico: flotta geolocalizzata e organizzazione privacy non più aggiornata

Consideriamo il caso realistico e anonimizzato di un’impresa di logistica che, nel corso degli anni, abbia ampliato la propria flotta e introdotto progressivamente GPS sui mezzi, una piattaforma di fleet management, smartphone aziendali per gli autisti e un sistema centralizzato per la gestione delle consegne. La documentazione privacy, predisposta quando l’organizzazione era più semplice, continua formalmente a esistere, ma non descrive più in modo completo i trattamenti effettivamente svolti.

La verifica parte dalla ricostruzione dei flussi di dati e mostra che le informazioni di geolocalizzazione sono accessibili a più funzioni aziendali, lo storico dei percorsi viene conservato secondo impostazioni definite dal software e alcuni fornitori tecnologici trattano dati dei conducenti e dei destinatari. Diventa quindi necessario esaminare le finalità dei singoli trattamenti, la base giuridica, le informative ai lavoratori, i tempi di conservazione, le autorizzazioni interne, i rapporti con i fornitori e l’eventuale necessità di una DPIA. Parallelamente viene verificato se caratteristiche e dimensioni del monitoraggio rendano obbligatoria la nomina del DPO ai sensi dell’art. 37 GDPR.

L’aspetto che richiede maggiore attenzione non è la produzione di nuovi documenti in sé, ma l’allineamento tra configurazione tecnologica, disciplina privacy e organizzazione del lavoro. La gestione del problema passa quindi dalla revisione delle impostazioni e delle procedure effettivamente utilizzate, dall’aggiornamento del registro dei trattamenti e della documentazione pertinente e dalla definizione dei ruoli dei soggetti che possono accedere ai dati. È un esempio di come, nel settore logistico, la necessità di un DPO e la conformità dei trattamenti debbano essere valutate partendo dal funzionamento concreto dell’impresa, non dalla sola presenza di documenti privacy.

Domande frequenti sul DPO nelle aziende di trasporto e logistica

Un’azienda di trasporto è sempre obbligata a nominare un DPO?

No. L’appartenenza al settore dei trasporti o della logistica non determina automaticamente l’obbligo di nomina. Occorre verificare concretamente i trattamenti effettuati e, in particolare, se le attività principali dell’impresa comportino un monitoraggio regolare e sistematico degli interessati su larga scala, secondo quanto previsto dall’art. 37 GDPR. Dimensioni della flotta, numero delle persone monitorate, continuità della geolocalizzazione, quantità dei dati e organizzazione dei sistemi utilizzati sono elementi che devono essere valutati nel caso concreto.

L’utilizzo del GPS sui camion rende obbligatorio il DPO?

Non necessariamente. Il GPS assume però rilievo quando i dati del veicolo sono riconducibili all’autista e il sistema permette di seguirne posizione e attività. Anche se il dispositivo identifica formalmente il mezzo, può esservi trattamento di dati personali quando l’azienda è in grado di associare il veicolo al conducente. Se la geolocalizzazione assume caratteristiche di monitoraggio regolare e sistematico su larga scala nell’ambito delle attività principali dell’impresa, deve essere verificata la sussistenza dell’obbligo di designare il DPO.

Il DPO può occuparsi anche dei rapporti con il fornitore del sistema di fleet management?

Il DPO può assistere l’impresa nella verifica privacy del servizio, nella qualificazione dei soggetti coinvolti e nell’esame della disciplina contrattuale applicabile. Quando il fornitore tratta dati personali per conto dell’azienda, deve essere verificata anche la corretta regolamentazione del rapporto ai sensi dell’art. 28 GDPR. Il DPO mantiene però una funzione di consulenza e sorveglianza: le decisioni relative ai trattamenti e alla scelta dei fornitori restano di competenza del titolare.

È possibile nominare un DPO esterno per un’impresa di logistica?

Sì. L’art. 37 GDPR consente espressamente al DPO di svolgere i propri compiti sulla base di un contratto di servizi. Un DPO esterno per un’azienda di trasporto o logistica deve possedere conoscenze specialistiche della normativa e delle prassi in materia di protezione dei dati e deve poter operare senza conflitti di interessi. La nomina deve inoltre essere accompagnata da un effettivo coinvolgimento nelle questioni che riguardano il trattamento dei dati personali.

Cosa dovrebbe verificare un’azienda di trasporti prima di nominare o sostituire il DPO?

È opportuno partire dalla situazione effettiva dell’impresa: sistemi GPS e telematici utilizzati, numero di conducenti e interessati coinvolti, modalità di monitoraggio, software di gestione della flotta e delle spedizioni, videosorveglianza, rapporti con fornitori tecnologici, eventuali DPIA e organizzazione interna della privacy. Questa ricognizione permette di verificare se la nomina sia obbligatoria e, quando si sceglie un professionista esterno, di definire un incarico coerente con i trattamenti realmente svolti.

Richiedi una valutazione sulla nomina del DPO per la tua azienda di trasporto o logistica

La presenza di GPS sui mezzi, piattaforme di fleet management, sistemi di tracking, videosorveglianza, applicazioni utilizzate dagli autisti e una rete articolata di fornitori può rendere la gestione dei dati personali particolarmente complessa. L’obbligo di nominare il DPO non può essere stabilito sulla sola base del settore o delle dimensioni dell’impresa: occorre valutare natura, estensione e modalità dei trattamenti concretamente effettuati.

Assistiamo le aziende nella verifica dei presupposti per la nomina, nell’organizzazione del ruolo e nella gestione continuativa delle problematiche privacy connesse all’attività di trasporto e logistica. Quando necessario, l’incarico può essere affidato a un professionista esterno, mantenendo distinta la funzione di sorveglianza del DPO dalle responsabilità decisionali che restano in capo all’azienda.

Per sottoporre la situazione della tua impresa allo Studio puoi richiedere una valutazione per avere un DPO esterno per la tua azienda. Esamineremo le caratteristiche dell’organizzazione e dei trattamenti effettuati per individuare gli aspetti che richiedono una specifica verifica.