Cassazione civile sez. I, 16/02/2026, n. 3462

La Corte di Cassazione affronta il tema dell’obbligo di notificazione al Garante per la protezione dei dati personali previsto dall’art. 37 del d.lgs. 196/2003 (nel testo vigente prima del d.lgs. 101/2018) in caso di utilizzo di sistemi di geolocalizzazione GPS sui veicoli aziendali utilizzati dai dipendenti.

La vicenda nasce dall’opposizione proposta da una società di autotrasporto contro un’ordinanza-ingiunzione del Garante privacy per omessa notificazione del trattamento di dati personali derivanti dal sistema di geolocalizzazione installato sugli automezzi aziendali. Il Tribunale aveva escluso l’obbligo ritenendo che il sistema non consentisse l’identificazione certa dei lavoratori.

La Cassazione, accogliendo il ricorso del Garante, afferma che i dati di localizzazione dei veicoli costituiscono dati personali quando il datore di lavoro è in grado di risalire anche indirettamente al lavoratore che utilizza il mezzo. Non è necessario che l’identificazione avvenga automaticamente tramite codici o sistemi informatici, né che vi sia certezza assoluta dell’identità.

È sufficiente la concreta possibilità per il datore di lavoro di individuare il conducente, ad esempio mediante l’assegnazione del veicolo o attraverso strumenti come il cronotachigrafo.

Pertanto, quando il sistema di geolocalizzazione non è utilizzato esclusivamente per finalità di sicurezza del trasporto, permane l’obbligo di notificazione al Garante previsto dall’art. 37 d.lgs. 196/2003.

La Corte cassa la sentenza impugnata e rigetta l’opposizione della società, confermando la legittimità della sanzione amministrativa.

IL PRINCIPIO ENUNCIATO DALLA CORTE

Privacy – trattamento dei dati personali – geolocalizzazione dei veicoli aziendali – obbligo di notificazione al Garante – identificabilità indiretta del lavoratore – sufficienza – identificazione non necessariamente automatica – sussistenza

In tema di protezione dei dati personali, l’utilizzo di sistemi di geolocalizzazione GPS sui veicoli aziendali utilizzati dai dipendenti comporta l’obbligo di notificazione al Garante ai sensi dell’art. 37, comma 1, lett. a), d.lgs. n. 196/2003, qualora la localizzazione del mezzo consenta al datore di lavoro di risalire anche indirettamente all’identità del lavoratore che lo utilizza.
Tale obbligo sussiste anche quando il sistema informatico non associ automaticamente i dati di localizzazione al nominativo del dipendente, essendo sufficiente che il datore di lavoro possa individuare il conducente attraverso altri elementi organizzativi o documentali (come l’assegnazione del veicolo o i dati del cronotachigrafo).
Ne consegue che non è richiesto che l’identificazione avvenga in modo automatico o mediante codici, né che sia accompagnata da assoluta certezza, essendo sufficiente la concreta possibilità di identificazione indiretta del lavoratore.

L’ORDINANZA

(Omissis)

FATTI DI CAUSA

La MARTRAS Srl propose opposizione avverso l’ordinanza-ingiunzione notificatale dal Garante della privacy nel giugno 2018, per il pagamento della sanzione amministrativa conseguente alla violazione degli artt. 37 e 38 del D.Lgs. n. 196 del 2003(codice privacy) per aver “omesso di provvedere alla notificazione prevista dall’art. 37 c. 1 lett. a)” in relazione all’uso di un sistema di geolocalizzazione installato sui propri mezzi di trasporto di merci su strada.

Nella resistenza del Garante l’adito Tribunale di Sondrio con sentenza n.244/2020 accolse l’opposizione sul rilievo che il sistema di geolocalizzazione era stato fornito dalla Ma. Spedizioni Spa, che ne aveva “autonomamente ideato e sviluppato le funzionalità … per poter fornire i propri servizi ai propri clienti”; mentre la MARTRAS si era limitata a fornire alla Ma. gli automezzi con gli autisti.

La Corte di legittimità con ordinanza n.26987/2023 accolse il ricorso proposto successivamente dal Garante, nella contumacia di MARTRAS, cassando la sentenza con rinvio e statuendo il seguente principio di diritto: “ai fini dell’art. 28 del codice privacy, titolare del trattamento dei dati personali, in caso di persona giuridica, associazione o ente, è l’entità nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza; ne consegue che, in caso di impresa esercente l’attività di trasporto di merci su strada per conto terzi, la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione dei clienti è condizione sufficiente ai fini della attribuzione a tale impresa della qualificazione di soggetto titolare del trattamento dei dati”.

Il Tribunale di Sondrio, in sede di giudizio di rinvio, con la sentenza n. 363/2024, ha nuovamente accolto l’opposizione proposta da MARTRAS Srl ed ha annullato l’opposizione all’ordinanza ingiunzione, compensando le spese di lite.

Segnatamente il Tribunale, fermo il principio di diritto enunciato dalla Suprema Corte, ha ritenuto che il sistema utilizzato da MARTRAS Srl non appariva idoneo a consentire l’identificazione di persone.

Ha affermato che “Il sistema GPS viene impiegato, invero, in modo tale che non è possibile procedere alla detta identificazione in modo automatico, ma può semmai consentire di individuare la collocazione di un veicolo in un dato luogo ed in un dato momento. Al fine di potere essere considerato un sistema di geolocalizzazione soggetto all’obbligo della notifica, è necessario che esso consenta di risalire all’identità degli interessati, anche indirettamente attraverso codici.” e che a tal fine sono necessari due requisiti “Il fatto che attraverso il sistema si risalga con certezza all’identità degli interessati, perché altrimenti non vi sarebbe alcuna esigenza di tutela della privacy, ed il fatto che ciò avvenga attraverso l’utilizzo di un sistema automatico (da qui il riferimento a codici)”. Quindi, ha concluso “Nel caso qui in disamina, si osserva che l’eventuale identificazione dell’utilizzatore del veicolo avverrebbe, in ogni caso, non già per l’operatività di sistemi automatici ma, appunto, attraverso un’ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell’identità del soggetto così identificato.” (fol.4).

Il Garante per la privacy ha proposto ricorso chiedendo la cassazione della sentenza in epigrafe indicata con un mezzo. MARTRAS Srl è rimasta intimata.

RAGIONI DELLA DECISIONE

2.- Con l’unico motivo di ricorso si denuncia la violazione e falsa applicazione dell’art. 37, comma 1, lettera a) del D.Lgs. n. 196/2003 determinata dall’esclusione della sussistenza dell’obbligo di notifica in capo al Garante del trattamento di dati personali in caso di utilizzazione da parte del titolare di un sistema di geolocalizzazione di autoveicoli condotti da propri dipendenti.

3. Il motivo è fondato e va accolto.

4.- L’art. 37 del D.Lgs. 196/2003 (Notificazione del trattamento) vigente ratione temporis (nel testo (oggi abrogato) precedente le modifiche apportate dal D.Lgs. n.101 del 10 agosto 2018) detta al comma 1, lett. a) “1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda: a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica”.

5.- Con delibera n.1 del 31 marzo 2004 il Garante della privacy ha adottato un “Provvedimento relativo ai casi da sottrarre all’obbligo di notificazione” in cui ha stabilito “A) di sottrarre all’obbligo di notificazione al Garante, tra i casi previsti dall’art.37, comma 1, del d.lg. 30 giugno 2003, n.196: 1) con riferimento ai casi di cui al comma 12, lett. a) di tale disposizione: … c) i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto”.

6.- Per quanto di interesse, va evidenziato che i sistemi di localizzazione dei veicoli possono soddisfare nell’ambito del rapporto di lavoro esigenze organizzative, produttive ovvero per la sicurezza sul lavoro e vanno posti in relazione alla disciplina di protezione dei dati personali.

Inoltre, la localizzazione dei veicoli può comportare una forma di controllo a distanza dell’attività dei lavoratori, e ciò impone il rispetto della disciplina dettata dall’art. 4 della legge 20 maggio 1970, n. 300 (Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e nell’attività sindacale nei luoghi di lavoro e norme sul collocamento) peraltro richiamata dagli artt. 11, comma 1, lett. a) e (espressamente) 114 nonché, per i profili sanzionatori, 171 del D.Lgs. n.169/2003.

7.- Con provvedimento n.370 del 4 ottobre 2011, denominato “sistemi di localizzazione dei veicoli nel l’ambito del rapporto di lavoro” il Garante ha preso in considerazione i sistemi di localizzazione dei veicoli nell’ambito del rapporto di lavoro ed ha rimarcato che i dati relativi all’ubicazione dei veicoli, in quanto (direttamente o indirettamente) associati ai lavoratori, costituiscono però anche informazioni personali riferibili a questi ultimi (art. 4, comma 1, lett. b), del Codice della privacy, con la conseguenza che al trattamento di tali informazioni trova applicazione la disciplina contenuta nel Codice, sottolineando che ciò rileva “anche nel caso in cui i dati di localizzazione del veicolo non siano associati immediatamente dal sistema informativo al nominativo dei lavoratori interessati, atteso che il datore di lavoro, titolare del trattamento, è di regola in condizione di risalire in ogni momento al lavoratore di volta in volta assegnatario di ciascun veicolo” (p.1.1.), mentre la disciplina di protezione dei dati personali non trova applicazione ove le informazioni concernenti la gestione del parco automezzi siano trattate senza poter essere in alcun modo ricondotte ai lavoratori.

Su queste premesse il Garante ha individuato, in termini generali, le condizioni di liceità di tali trattamenti effettuati per soddisfare esigenze organizzative e produttive ovvero per la sicurezza sul lavoro nell’ambito del rapporto di lavoro al fine di dare attuazione all’istituto del c.d. bilanciamento di interessi disponendo, ai sensi dell’art. 154, comma 1, lett. c), del D.Lgs. n.169/2003, alcune misure opportune rispetto al trattamento dei dati in questione.

A tal fine il Garante ha stabilito che “Se sono adottate le garanzie previste dall’art. 4, comma 2, L. n. 300/1970, i datori di lavoro privati e gli enti pubblici economici possono effettuare lecitamente il trattamento dei dati personali (diversi da quelli sensibili) relativi all’ubicazione dei propri dipendenti per soddisfare esigenze organizzative e produttive ovvero per la sicurezza sul lavoro (oltre che sulla base di uno degli altri presupposti di cui all’art. 24 del Codice), anche in assenza del consenso degli interessati, per effetto del presente provvedimento che, in applicazione della disciplina sul c.d. bilanciamento di interessi (art. 24, comma 1, lett. g), del Codice), individua un legittimo interesse al trattamento di tale tipologia di dati. Per tale bilanciamento si è tenuto conto delle garanzie che la L. n. 300/1970 prevede per il controllo a distanza presupponendo non il consenso degli interessati, ma un accordo con le rappresentanze sindacali o, in difetto, l’autorizzazione del competente organo periferico del Ministero del lavoro e delle politiche sociali.” (p.2.3.).

Il Garante ha, tuttavia, stabilito che resta fermo che il trattamento dei dati di localizzazione deve formare oggetto di notificazione al garante ex art.37, comma 1, lett. a) del D.Lgs. n.169/2003, obbligo che nel caso in esame non risulta essere stato assolto.

8.- La decisione in esame non ha dato retta applicazione alle disposizioni in esame.

9.- Innanzi tutto, va osservato che, come si evince dalla sentenza, nella fattispecie in esame, il sistema di localizzazione è stato predisposto “al fine di aumentare la sicurezza del patrimonio aziendale rispetto a furti, ottimizzare i costi aziendali riducendo i chilometri a vuoto e permettere la geolocalizzazione delle merci” (fol. 2, sent. imp.), di guisa che non ricorre l’ipotesi di esonero dalla notificazione prevista dalla delibera del Garante della privacy n.1 del 31 marzo 2004.

10.- Al di fuori dell’ipotesi di cui sopra, l’obbligo di notificazione sussiste anche nel caso in cui i dati di localizzazione del veicolo acquisiti mediante una rete di comunicazione elettronica – come il GPS – non siano associati immediatamente dal sistema informativo al nominativo dei lavoratori interessati, atteso che il datore di lavoro, titolare del trattamento, è di regola in condizione di risalire in ogni momento al lavoratore di volta in volta assegnatario di ciascun veicolo e la disciplina di protezione dei dati personali non trova applicazione ove le informazioni concernenti la gestione del parco automezzi siano trattate senza poter essere in alcun modo ricondotte ai lavoratori.

In proposito, va osservato che in sede di cassazione con rinvio questa Corte ha anche precisato che era ininfluente la considerazione che il sistema di geolocalizzazione fosse stato alla stessa fornito dalla Ma. Spedizioni Spa; né si poteva escludere l’illiceità della condotta contestata alla MARTRAS e la qualifica di titolare del trattamento dei dati in capo a MARTRAS sul rilievo che sempre la Ma. aveva autonomamente ideato e sviluppato le funzionalità di quel sistema GPS per la fornitura dei propri servizi.

11.- La decisione impugnata è errata perché ha escluso la violazione dell’obbligo di notificazione al Garante ex art.37, comma 1, lett. a) del D.Lgs. n.169/2003 sul rilievo che, nella fattispecie in esame, “l’eventuale identificazione dell’utilizzatore del veicolo avverrebbe, in ogni caso, non già per l’operatività di sistemi automatici ma, appunto, attraverso un’ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell’identità del soggetto così identificato”.

Tale affermazione non può essere condivisa.

A differenza di quanto erroneamente assume il Tribunale, è la possibilità che la localizzazione dell’automezzo mediante una rete di comunicazione elettronica consenta al datore di lavoro di risalire all’identità del lavoratore anche indirettamente ciò che risulta dirimente e impone l’assolvimento dell’obbligo di notificazione, mentre la circostanza che ciò avvenga perché un terzo ha predisposto il sistema di geolocalizzazione, oppure mediante l’utilizzo di codici in maniera automatizzata ne costituisce modalità esecutiva, che non esclude, né è incompatibile con la sussistenza di altre modalità anche indirette che rendano ugualmente possibile l’identificazione del lavoratore in questione.

Nel caso in esame, come si evince dalla stessa sentenza, la società aveva accesso al sistema di controllo mediante GPS che le era stato riconosciuto dalla società terza per conto della quale avvenivano i trasporti; gli automezzi in questione erano quattro e quattro erano gli autisti e la società poteva risalire al conducente dell’automezzo per il fatto che ogni automezzo era assegnato ad un determinato autista oppure consultando il cronotachigrafo che per legge deve contenere i dati identificativi dell’autista (fol.2, sent. imp.): il Tribunale stesso ha dato conto di tali circostanze idonee a consentire l’identificazione in maniera indiretta del lavoratore, ma non le ha ritenute sufficienti sull’erroneo convincimento che l’identificabilità indiretta del lavoratore dovesse avvenire in maniera esclusivamente “automatica”, mediante codici, introducendo in tal modo un quid pluris normativamente non richiesto e incorrendo nella violazione di legge lamentata con il motivo, che va accolto. Va aggiunto che, la mancanza di certezza dell’identificazione, cui fa riferimento la decisione impugnata non risulta conducente in quanto non è accompagnata dall’illustrazione di alcuna concreta circostanza fattuale riferita alla fattispecie in esame che consenta di attribuire a questa espressione un significato diverso dalla mera riproduzione di un canone generale di valutazione.

12.- Ne consegue che la decisione impugnata va cassata e, non essendo necessarie ulteriori valutazioni, può essere decisa nel merito con il rigetto dell’opposizione originariamente proposta.

Le spese seguono la soccombenza e vanno poste a carico di MARTRAS Srl nella misura liquidata in dispositivo sia per le fasi di merito che per le fasi di legittimità.

Oscuramento dati personali.

P.Q.M.

P.Q.M.

La Corte di cassazione,

– accoglie il ricorso e, decidendo nel merito, rigetta l’originaria opposizione;

– condanna MARTRAS Srl alla refusione delle spese di tutti i gradi di giudizio che liquida nel compenso di Euro.2.000,00 per il primo giudizio di merito, di Euro. 3.000,00 per il primo giudizio di legittimità, di Euro.2.000,00 per il giudizio di merito in riassunzione, di Euro.3.000, 00 per il presente giudizio di legittimità, oltre per ogni fase le corrispondenti spese prenotate a debito;

– dispone che, in caso di diffusione della presente ordinanza, siano omesse le generalità e gli altri dati significativi.

Così deciso in Roma, nella Camera di Consiglio della Prima Sezione Civile, l’8 gennaio 2026.

Depositato in Cancelleria il 16 febbraio 2026.