La Suprema Corte di Cassazione, con la sentenza n. 9374/2026 del 14 aprile 2026, si è pronunciata in materia di geolocalizzazione dei veicoli aziendali sotto il profilo della qualificazione del titolare del trattamento e degli obblighi connessi al trattamento dei dati personali dei lavoratori.
La vicenda trae origine da una sanzione irrogata dal Garante della Privacy nei confronti di una società per non aver notificato allo stesso il trattamento dei dati personali derivante dall’utilizzo del sistema di geolocalizzazione GPS installato su propri mezzi di trasporto, come era richiesto all’art. 37 del Codice della Privacy.
In un primo momento, il Tribunale di Sondrio aveva annullato il provvedimento, ritenendo che il sistema di geolocalizzazione fosse gestito da un’altra società e che il GPS non consentisse l’identificazione diretta dei lavoratori.
La Corte di Cassazione, con ordinanza n. 26969/2023, ha accolto il ricorso proposto dal Garante, enunciando il principio di diritto secondo cui il titolare del trattamento è anche l’impresa che dispone delle credenziali di accesso ai dati di geolocalizzazione, poiché ciò è sufficiente a configurare un trattamento dei dati personali.
Successivamente, il Tribunale di Sondrio ha nuovamente accolto la posizione della società, sostenendo che il sistema GPS permettesse soltanto di localizzare il veicolo e non di identificare automaticamente il conducente.
Riassunta la causa da parte della società, il Tribunale di Sondrio ha ritenuto infondata nel merito la contestazione.
Il Garante ha quindi presentato un nuovo ricorso in Cassazione, sostenendo che l’obbligo di notifica dovesse ritenersi comunque sussistente, in quanto il sistema di geolocalizzazione permetteva, anche indirettamente, di identificare il conducente del veicolo.
La Suprema Corte di Cassazione ha quindi accolto il ricorso del Garante, affermando che la circostanza secondo cui il sistema di geolocalizzazione non consenta di risalire direttamente all’identità dei soggetti interessati è assolutamente irrilevante, posto che esso è comunque potenzialmente idoneo a consentire la geolocalizzazione di veicoli ed indirettamente del conducente.
Difatti, la stessa Corte ha affermato che la circostanza che un terzo abbia predisposto un sistema di geolocalizzazione “[…] non esclude, né è incompatibile con la sussistenza di altre modalità anche indirette che rendano ugualmente possibile l’identificazione del lavoratore in questione”.
Ebbene, la Suprema Corte ha quindi concluso che titolare del trattamento dei dati personali è l’entità che esercita un potere decisionale autonomo sulle finalità e modalità del trattamento, quand’anche il sistema tecnologico sia gestito da soggetti terzi.
Per tali motivi, la sentenza del Tribunale di Sondrio è stata cassata e l’opposizione della società definitivamente rigettata, con condanna alle spese di tutti i gradi di giudizio.