Il Garante per la protezione dei dati personali, con provvedimento n. 7 del 16 gennaio 2025, ha sanzionato una società di autotrasporti per l’illecito trattamento dei dati personali dei dipendenti realizzato mediante sistema di geolocalizzazione installato sugli autoveicoli aziendali.
Nel caso in esame, il Garante riceveva il reclamo di un ex dipendente della società, il quale lamentava la violazione della disciplina dettata in materia di privacy da parte del proprio ex datore di lavoro, il quale aveva installato un sistema di geolocalizzazione sui veicoli aziendali (trattori con rimorchio) utilizzati dai dipendenti nello svolgimento della regolare attività lavorativa.
All’esito dell’istruttoria, il Garante verificava che l’installazione del sistema di geolocalizzazione era stato autorizzato dall’ITL competente, per finalità di tutela dei beni aziendali, per garantire la sicurezza sul lavoro e per esigenze organizzative e produttive. Il sistema prevedeva il trattamento, tramite registrazione, di una serie di dati, tra cui la localizzazione del veicolo, dati di telemetria, dati di stato del veicolo e dati del cronotachigrafo, oltre i dati che poteva associarvi il cliente, tra cui il nome del conducente del singolo veicolo ed il relativo numero di patente. La registrazione dei dati avveniva in maniera continuativa durante l’intero arco della giornata, persino durante le pause dell’attività, e le informazioni venivano conservate per 180 giorni.
La società, nonostante quanto rilevato, evidenziava, anzitutto, che, sebbene questa avesse associato ad ogni veicolo uno specifico conducente, tale informazione raramente corrispondeva alla realtà: Difatti i veicoli venivano affidati ai dipendenti su base quotidiana, senza prendere in considerazione la predetta assegnazione, che era stata inserita solamente per necessità di sistema. In funzione di quanto evidenziato, dunque, secondo la società, il conducente non sarebbe stato “direttamente” identificabile sulla base dei soli dati registrati, ma sarebbe stato necessario incrociarli con un ulteriore registro per poter identificare l’autista e, dunque, il soggetto cui si essi riferivano. Tale identificazione sarebbe stata effettuata dalla società solo laddove si fossero verificati eventi specifici.
In secondo luogo, la società, contrariamente a quanto lamentato dall’ex dipendente, eccepiva di aver fornito l’informativa ex art. 13 del GDPR ai lavoratori, e che anzi questa ancora si trovava affissa nella bacheca aziendale, a cui tutti i lavoratori dovevano accedere per acquisire la documentazione necessaria allo svolgimento del lavoro quotidiano.
Il Garante, sulla base di quanto acquisito all’esito dell’istruttoria, nonostante le eccezioni formulate dalla società, ha ritenuto che il trattamento dei dati presentasse profili di non conformità alla disciplina dettata in materia di privacy.
In primo luogo, è stata rilevata l’inidoneità dell’informativa predisposta dalla società a rappresentare compiutamente agli interessati i trattamenti realizzati tramite il sistema di geolocalizzazione.
Anzitutto, il Garante ha evidenziato che gli interessati non erano stati informati delle possibilità di identificazione diretta del conducente mediante il sistema di geolocalizzazione. Infatti, contrariamente a quanto osservato dalla società, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”. Pertanto, “l’associazione del dispositivo al numero di targa del veicolo, anche nel caso in cui la guida dello stesso sia in concreto affidata ad autisti diversi che si avvicendano, consente di identificare il guidatore del mezzo attraverso l’associazione con altre informazioni”.
L’informativa, inoltre, presentava una serie di incongruenze e refusi, i quali, secondo il Garante, costituiscono chiari indici del fatto che l’informativa predisposta non corrispondesse effettivamente ai trattamenti posti in essere.
Considerato, peraltro, che nell’ambito del rapporto lavorativo l’obbligo di informare il dipendente è espressione del dovere di correttezza, il trattamento deve considerarsi illecito in quanto realizzato mediante informativa inidonea.
Il Garante ha, poi, contestato la non conformità del trattamento realizzato rispetto alle finalità dichiarate e a quanto previsto dal provvedimento autorizzativo.
Considerate, infatti, le finalità per cui il trattamento era stato autorizzato, le modalità con cui questo veniva realizzate risultano, secondo il Garante, eccedenti e non proporzionate rispetto agli scopi e alle finalità dichiarate, che potrebbero essere legittimamente perseguite mediante il trattamento di informazioni più limitate.
Anzitutto, la raccolta di informazioni particolareggiate in maniera continua risulta violare il principio di minimizzazione dei dati. Peraltro, lo stesso Garante, già in passato, aveva spesso ribadito che la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il conseguimento delle finalità legittimamente perseguite.
Secondariamente, la conservazione dei dati per un esteso periodo di tempo non pare giustificata in riferimento alle finalità perseguite e, dunque, risulta non conforme ai principi di minimizzazione e limitazione della conservazione.
Infine, le specifiche funzionalità del sistema risultano non conformi alle garanzie previste dall’autorizzazione rilasciata dall’ITL, la quale espressamente richiedeva la non continuità della rilevazione, l’anonimizzazione dei dati raccolti e, addirittura, l’adozione di soluzioni tecnologiche che impedissero l’eventuale trattamento di dati ultronei, non pertinenti o eccedenti le finalità perseguite dal titolare.
Il trattamento, pertanto, dal momento che è stato realizzato in difformità a quanto previsto dal provvedimento autorizzatorio, risulta contrario al principio di liceità del trattamento.
Alla luce di tutto quanto rilevato, viste le numerose violazioni registrate, il Garante ha ingiunto alla società il pagamento di una sanzione amministrativa pecuniaria di 50 mila euro ed ordinato l’implementazione di misure correttive.