Il contributo si sofferma sul problema della geolocalizzazione dei veicoli aziendali e sulla necessaria dimostrazione in capo all’azienda che il sistema di geolocalizzazione dei lavoratori sia stato progettato nel rispetto dell’equilibrio tra esigenze organizzative, tutela del patrimonio aziendale, dignità del lavoratore e protezione dei dati personali.
Molte aziende credono che il problema della geolocalizzazione dei veicoli aziendali si risolva installando un GPS e predisponendo un’informativa privacy. È proprio questa convinzione che negli ultimi anni ha portato ispezioni, sanzioni e contenziosi.
Lo dimostra anche il recente provvedimento del Garante del 28 maggio 2026, che è tornato ad occuparsi di geolocalizzazione dei lavoratori evidenziando come la conformità di questi sistemi non dipenda esclusivamente dalla tecnologia adottata, ma dalla capacità dell’azienda di dimostrare la legittimità dell’intero impianto organizzativo e documentale.
Perché il punto non è il dispositivo installato sul veicolo: il vero tema è la capacità di dimostrare che il sistema è stato progettato nel rispetto di un equilibrio sempre più delicato tra esigenze organizzative, tutela del patrimonio aziendale, dignità del lavoratore e protezione dei dati personali.
1. Il consenso del lavoratore non è la soluzione
Uno dei luoghi comuni più diffusi è che per installare un sistema di geolocalizzazione sia necessario ottenere il consenso del dipendente.
In realtà, nel rapporto di lavoro il consenso rappresenta raramente la base giuridica appropriata. Il motivo è semplice: il rapporto tra datore e lavoratore è caratterizzato da un evidente squilibrio di potere che può compromettere la reale libertà della scelta. La liceità del trattamento deve essere ricercata altrove, nella concreta necessità dello strumento e nelle finalità perseguite dal datore di lavoro.
La domanda che le imprese dovrebbero porsi, quindi, non è se il lavoratore abbia firmato un modulo di consenso, ma se la geolocalizzazione sia realmente necessaria per perseguire una finalità legittima e se l’intero sistema sia stato progettato nel rispetto delle regole poste dal diritto del lavoro e dalla normativa privacy.
2. Il vero nodo: l’articolo 4 dello Statuto dei Lavoratori
La geolocalizzazione dei veicoli aziendali viene spesso percepita come una questione esclusivamente privacy. In realtà, il profilo più delicato è spesso quello lavoristico.
Un sistema GPS installato su un mezzo aziendale consente infatti, almeno potenzialmente, di ricostruire gli spostamenti del conducente. Per questa ragione entra frequentemente nel perimetro applicativo dell’articolo 4 dello Statuto dei Lavoratori, che disciplina gli strumenti dai quali possa derivare un controllo a distanza dell’attività lavorativa.
Ciò non significa che la geolocalizzazione sia vietata. Significa però che non può essere installata con la finalità di sorvegliare il dipendente.
Le finalità ammesse dalla normativa sono tassative e riguardano principalmente esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale.
La distinzione non è meramente teorica. Un conto è utilizzare il GPS per monitorare un veicolo che trasporta beni di valore, ottimizzare la gestione di una flotta o coordinare interventi sul territorio. Altro è utilizzarlo per verificare costantemente tempi, percorsi e comportamenti del lavoratore.
Anche il provvedimento del 28 maggio 2026 richiama con forza questo principio, ribadendo che il controllo può essere soltanto un effetto indiretto del perseguimento di finalità legittime e non il vero scopo del sistema.
3. Accordo sindacale e autorizzazioni: attenzione alle semplificazioni
Molte organizzazioni considerano la scelta di installare un sistema GPS una decisione essenzialmente tecnica. In realtà, prima ancora della tecnologia è necessario comprendere quale sia il corretto inquadramento giuridico dello strumento.
Salvo casi particolari, la geolocalizzazione dei veicoli aziendali viene normalmente considerata uno strumento dal quale deriva la possibilità di controllo a distanza e richiede pertanto il rispetto delle garanzie previste dall’articolo 4 dello Statuto dei Lavoratori.
Le eccezioni esistono, ma sono limitate e richiedono una valutazione approfondita del caso concreto. Pensare di poter qualificare automaticamente qualsiasi sistema GPS come “strumento di lavoro” rappresenta uno degli errori più frequenti che emergono nelle verifiche ispettive e nei contenziosi.
Ma c’è un altro aspetto che il provvedimento del 28 maggio 2026 mette in luce con particolare chiarezza: la sottoscrizione di un accordo sindacale ai sensi dell’articolo 4 dello Statuto dei Lavoratori costituisce una condizione necessaria, ma non sempre sufficiente, per assicurare la complessiva liceità del trattamento. Il datore di lavoro non deve limitarsi a rispettare la normativa lavoristica di settore, ma deve anche conformarsi alla disciplina di protezione dei dati personali, che tutela beni giuridici distinti e complementari e dispone di un proprio e autonomo apparato sanzionatorio.
4. L’informativa non è un adempimento formale
Un altro errore ricorrente consiste nel considerare l’informativa privacy come un documento standard da allegare alla documentazione aziendale.
Le autorità di controllo hanno invece chiarito che la trasparenza costituisce un elemento essenziale della liceità del trattamento.
Il lavoratore deve essere informato in modo chiaro e comprensibile dell’esistenza del sistema di geolocalizzazione, delle finalità perseguite, delle modalità di funzionamento, dei soggetti che possono accedere ai dati, dei tempi di conservazione e delle eventuali conseguenze derivanti dall’utilizzo delle informazioni raccolte.
Anche sotto questo profilo, il provvedimento del Garante del 28 maggio 2026 conferma che il rispetto dell’obbligo informativo non può essere considerato un aspetto secondario. Una informativa incompleta o generica può compromettere la legittimità dell’intero trattamento e incidere anche sulla possibilità di utilizzare i dati raccolti nell’ambito del rapporto di lavoro.
5. L’utilizzo dei dati GPS a fini disciplinari: un terreno scivoloso
Un aspetto spesso sottovalutato, ma centrale nel provvedimento del 28 maggio 2026, riguarda la possibilità di utilizzare i dati raccolti tramite il sistema di geolocalizzazione nell’ambito di procedimenti disciplinari.
Il quadro normativo vigente consente al datore di lavoro di utilizzare i dati raccolti ai sensi dell’articolo 4 dello Statuto dei Lavoratori “a tutti i fini connessi al rapporto di lavoro”, compresi quelli disciplinari, ma solo al ricorrere di tre condizioni cumulative: che la raccolta sia avvenuta previa corretta valutazione della natura dello strumento e nel rispetto delle relative garanzie procedurali; che il lavoratore abbia ricevuto adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli; che il trattamento sia stato effettuato nel rispetto della disciplina di protezione dei dati personali.
Il provvedimento del Garante chiarisce con nettezza che, se la raccolta originaria dei dati è avvenuta in modo non conforme alla normativa privacy, l’utilizzo successivo di tali dati a fini disciplinari è illecito. Nel caso esaminato, poiché il sistema era configurato in modo sproporzionato, i dati raccolti non potevano essere legittimamente impiegati nell’ambito del procedimento disciplinare avviato nei confronti del dipendente.
Si tratta di un principio di grande rilevanza pratica: la conformità del sistema non è solo una questione di prevenzione delle sanzioni privacy, ma incide direttamente sulla possibilità di utilizzare le informazioni raccolte per la gestione del rapporto di lavoro.
6. La DPIA come strumento strategico
Uno degli aspetti più interessanti affrontati dal Garante nel provvedimento del 28 maggio 2026 riguarda la particolare vulnerabilità dei lavoratori rispetto a sistemi in grado di monitorarne gli spostamenti.
Per questa ragione l’Autorità ribadisce come la geolocalizzazione nel contesto lavorativo presenti frequentemente caratteristiche tali da richiedere una valutazione d’impatto sulla protezione dei dati (DPIA).
Troppo spesso la DPIA viene percepita come l’ennesimo documento da produrre per finalità difensive. In realtà rappresenta uno degli strumenti più efficaci per identificare preventivamente i rischi del trattamento, individuare misure di mitigazione adeguate e documentare le scelte effettuate dall’organizzazione.
Una DPIA ben costruita consente inoltre di dimostrare che il sistema è stato progettato secondo i principi di accountability richiesti dal GDPR, riducendo il rischio di contestazioni future da parte delle autorità o dei lavoratori.
7. La compliance si gioca nella configurazione del sistema
Anche un progetto nato per finalità legittime può diventare problematico se il sistema viene configurato in modo eccessivamente invasivo.
Il provvedimento del 28 maggio 2026 offre esempi concreti di configurazioni censurate: nel caso esaminato, il sistema prevedeva una rilevazione della posizione ogni 60 secondi, consentiva l’accesso alla posizione geografica del veicolo in tempo reale e non permetteva al conducente di disattivare il dispositivo durante le pause o in situazioni emergenziali. Il Garante ha qualificato questa combinazione come un monitoraggio sostanzialmente continuativo, particolarmente lesivo dei diritti e delle libertà dei dipendenti. Frequenze di rilevazione troppo elevate, conservazioni eccessivamente lunghe, accessi non adeguatamente regolamentati o raccolte di dati eccedenti rispetto alle finalità perseguite costituiscono i profili più frequentemente censurati dalle autorità di controllo.
Il provvedimento richiama espressamente la necessità di verificare la proporzionalità delle modalità di trattamento adottate. In altri termini, non basta che la finalità sia lecita: anche la configurazione concreta del sistema deve rispettare i principi di necessità, minimizzazione e proporzionalità. Tra le misure raccomandate dal Garante figura anche la pseudonimizzazione dei dati, utilizzando informazioni non direttamente identificative per i dipendenti. Nel caso esaminato, benché il GPS tracciasse i veicoli e non direttamente i conducenti, l’Azienda poteva in qualsiasi momento risalire all’identità dell’autista consultando un semplice registro cartaceo: circostanza che il Garante non ha ritenuto sufficiente ad escludere la responsabilità del titolare.
La vera sfida consiste nel trovare un equilibrio tra le esigenze operative dell’impresa e la tutela dei diritti dei lavoratori, evitando sia soluzioni eccessivamente invasive sia limitazioni che rendano il sistema inefficace.
8. Conclusione: si tratta di una questione di governance, non di tecnologia
Il recente provvedimento conferma una tendenza ormai chiara: la geolocalizzazione dei veicoli aziendali non può più essere considerata un semplice progetto tecnologico o logistico.
Base giuridica, articolo 4 dello Statuto dei Lavoratori, informativa, DPIA, regole di accesso ai dati, tempi di conservazione e configurazione del sistema costituiscono elementi di un unico percorso di compliance che deve essere progettato in modo coerente sin dalle fasi iniziali.
Le aziende che affrontano il tema limitandosi all’implementazione della soluzione tecnica rischiano di scoprire troppo tardi che il vero problema non era il GPS, ma l’assenza di un impianto giuridico adeguato. Nel caso esaminato dal provvedimento del 28 maggio 2026, il Garante ha dichiarato l’illiceità del trattamento e irrogato una sanzione di 6.000 euro, pur dando atto che l’Azienda aveva cooperato con l’Autorità e adottato misure correttive significative, portando l’intervallo di rilevazione da 60 secondi a 15 minuti e disattivando in modo permanente e irreversibile la funzionalità di monitoraggio in tempo reale. Un importo contenuto, dunque, ma che non deve trarre in inganno: ciò che rileva è la dichiarazione di illiceità del trattamento e le sue possibili implicazioni, anche sul piano della utilizzabilità dei dati raccolti.
In un contesto nel quale l’attenzione delle autorità verso i sistemi di monitoraggio dei lavoratori è sempre più elevata, la geolocalizzazione richiede oggi competenze che vanno ben oltre la protezione dei dati personali. Diritto del lavoro, privacy, organizzazione aziendale e gestione del rischio devono dialogare tra loro già nella fase di progettazione.
Ed è proprio qui che si concentra il valore di un’assistenza specialistica: non limitarsi a verificare la conformità formale di un sistema, ma aiutare l’impresa a costruire un modello sostenibile, efficace e difendibile nel tempo, capace di coniugare esigenze operative e rispetto dei diritti fondamentali delle persone.
