Con il provvedimento n. 755 del 18 dicembre 2025 (premere qui per leggere), il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa di 120.000 euro nei confronti di una società italiana appartenente a un grande gruppo multinazionale del settore agro-industriale, per l’uso illecito di sistemi di telematica satellitare installati sui veicoli aziendali assegnati ai dipendenti.
Il provvedimento si colloca tra i più rilevanti in materia di controllo tecnologico dei lavoratori, poiché affronta in modo organico il rapporto tra telematica, valutazione delle performance, privacy e Statuto dei lavoratori, chiarendo quando un sistema apparentemente “neutro” diventa, in concreto, uno strumento di monitoraggio dell’attività lavorativa.
1. Il contesto: veicoli aziendali e monitoraggio dello stile di guida
La società aveva installato sui veicoli aziendali — utilizzati sia per fini professionali sia privati — dispositivi di telematica satellitare in grado di rilevare:
- data e ora di partenza e arrivo dei viaggi;
- chilometri percorsi;
- consumo di carburante;
- parametri di guida (accelerazioni, frenate, velocità, sterzate);
- punteggi (“score”) di rischio associati allo stile di guida, calcolati su base mensile.
Tali punteggi venivano utilizzati per classificare i conducenti in fasce di rischio (basso, medio, elevato) e per attivare colloqui correttivi con supervisori interni.
2. Il nodo centrale: dati “di guida” o controllo dell’attività lavorativa?
La difesa della società si fondava sull’assunto che non venissero trattati dati di geolocalizzazione, il sistema fosse finalizzato esclusivamente alla sicurezza stradale e che i supervisori non potessero adottare sanzioni disciplinari.
Il Garante ha però adottato una lettura sostanziale e non formale del trattamento, chiarendo che:
non rileva l’assenza del GPS, ma l’insieme delle informazioni raccolte, la loro durata di conservazione e il loro utilizzo valutativo.
La raccolta sistematica di dati anche relativi ai viaggi privati, il loro utilizzo per attribuire punteggi individuali e la condivisione con soggetti terzi del gruppo integrano, nel loro complesso, una forma di controllo dell’attività del lavoratore.
3. Le violazioni in materia di trasparenza e informativa
Il Garante ha accertato gravi carenze informative, rilevando che:
- l’informativa era predisposta a livello di gruppo e non chiariva chi fosse il titolare del trattamento;
- non risultavano chiaramente identificati i destinatari dei dati, né il loro ruolo;
- le finalità del trattamento erano descritte in modo generico e indeterminato;
- la stratificazione tra informativa, FAQ e formazione interna non garantiva accessibilità e comprensibilità unitaria.
Ne è derivata la violazione degli artt. 5, par. 1, lett. a), b) e c), e 13 GDPR, in relazione ai principi di trasparenza, correttezza, limitazione delle finalità e minimizzazione.
4. Il legittimo interesse e il bilanciamento mancato
La società aveva individuato nel legittimo interesse la base giuridica del trattamento.
Il Garante ha però rilevato che:
- la valutazione di bilanciamento (LIA) era incompleta e inadeguata;
- non venivano considerate le ragionevoli aspettative dei lavoratori;
- non era valutato l’impatto del trattamento sui diritti e sulle libertà fondamentali, specie per i viaggi privati;
- la DPIA prodotta risultava generica e non specificamente riferita al contesto nazionale.
È stata quindi accertata la violazione dell’art. 6, par. 1, lett. f) GDPR.
5. Flussi infragruppo e responsabilità non disciplinate
Ulteriore profilo critico ha riguardato la comunicazione dei dati a soggetti appartenenti ad altre società del gruppo, quali supervisori e amministratori di sistema, anche con sede all’estero.
Il Garante ha rilevato, tra l’altro, l’assenza iniziale di designazioni formali ex art. 28 GDPR, la mancanza di istruzioni documentate e l’indeterminatezza dei ruoli tra titolari e responsabili.
Tali carenze hanno determinato la violazione degli artt. 6 e 28 GDPR e dell’art. 2-quaterdecies del Codice Privacy.
6. Statuto dei lavoratori e dati non pertinenti
Il passaggio più significativo riguarda l’applicazione combinata di GDPR e diritto del lavoro.
Secondo il Garante:
- il sistema realizzava un controllo tecnologico in assenza delle garanzie procedurali dell’art. 4 dello Statuto dei lavoratori;
- il trattamento coinvolgeva dati relativi ai viaggi privati, dunque non pertinenti all’attitudine professionale;
- ciò integra una violazione degli artt. 5, par. 1, lett. a), e 88 GDPR, in relazione agli artt. 113 e 114 del Codice Privacy.
Il fatto che i dati non fossero utilizzati a fini disciplinari diretti è stato ritenuto irrilevante, poiché il solo trattamento e la conservazione di tali informazioni costituiscono già una forma di indagine vietata.
7. La decisione
Alla luce delle plurime violazioni, il Garante ha:
- dichiarato illecito il trattamento;
- ordinato la cancellazione dei dati relativi ai viaggi privati utilizzati per il calcolo degli score;
- irrogato una sanzione di 120.000 euro, ritenuta proporzionata tenuto conto della durata del trattamento, del numero limitato di interessati e della cooperazione successiva;
- disposto la pubblicazione del provvedimento come misura accessoria.
Considerazioni conclusive
Il provvedimento afferma un principio destinato a incidere profondamente sulle politiche di fleet management e safety aziendale: la tecnologia che misura comportamenti individuali, se inserita in un contesto lavorativo, non è mai neutra.
Anche in assenza di geolocalizzazione la valutazione algoritmica, la conservazione prolungata, la condivisione dei dati e l’incidenza indiretta sull’organizzazione del lavoro possono trasformare un sistema di sicurezza in un meccanismo di controllo, che richiede basi giuridiche solide, garanzie lavoristiche e una progettazione realmente rispettosa dei diritti fondamentali.
Sull'autore
