Il Garante privacy, con Provvedimento n. 585 del 06 agosto 2026, si è pronunciato sul diritto di accesso e sugli obblighi di trasparenza nel trattamento dei dati personali dei lavoratori, con particolare riferimento ai dati di geolocalizzazione raccolti tramite dispositivi GPS installati sui veicoli aziendali.
In particolare, la decisione analizza la portata delle garanzie poste a tutela dei lavoratori dipendenti, definendo le condizioni per il corretto esercizio del diritto di accesso e la somministrazione delle informative privacy relative al tracciamento geografico dei mezzi ed al trattamento di categorie particolari di dati personali.
Nell’ambito delle valutazioni sull’esercizio dei diritti, l’Autorità ha accertato, dapprima, la violazione degli artt. 12 e 15 del GDPR, censurando il mancato idoneo riscontro opposto dal datore di lavoro alle istanze di accesso alla documentazione disciplinare ed ai dati di geolocalizzazione.
Richiamando le Linee guida 1/2022 del Comitato europeo per la protezione dei dati (European Data Protection Board – EDPB), l’organo di vigilanza ha chiarito che:
- il GDPR non impone requisiti di forma per la presentazione delle richieste di accesso
- la violazione del diritto di accesso sussiste anche se il reclamante non dimostra di aver subito un danno a causa della mancata consegna dei documenti richiesti
- l’eventuale diniego deve essere motivato con contestuale indicazione dei rimedi tutelari ex art. 12 par. 4 del GDPR, ossia il diritto di presentare ricorso all’autorità giudiziaria o reclamo al Garante per la protezione dei dati personali.
Con riferimento all’obbligo, in capo al titolare, di fornire un’idonea informativa, ex art. 13 GDPR, il Garante Privacy ha riscontrato alcune condotte datoriali illegittime.
In particolare, la società non aveva provveduto a somministrare una specifica informativa privacy per i dati di geolocalizzazione rilevati tramite dispositivi GPS installati sui veicoli aziendali, la cui raccolta tratta indirettamente dati riferiti ai dipendenti.
In aggiunta, il Garante ha rilevato come il titolare del trattamento avesse inserito nelle informative fornite agli interessati l’indicazione del trattamento di informazioni relative a “convinzioni filosofiche o di altro genere” e “vita sessuale” dei dipendenti, nonostante tale trattamento non sia stato effettuato. Le informative fornite, quindi, non erano conformi con riguardo alle categorie di dati c.d. speciali ex art. 9 del GDPR. Le informazioni trasmesse devono, infatti, corrispondere alle operazioni di trattamento effettivamente svolte.
In tale occasione, il Grante ricorda che con riguardo alle categorie particolari di dati viga un generale divieto di trattamento dei dati particolari che può essere superato solo nei casi previsti dall’art. 9 par. 2 lett. b) del GDPR.
Con riguardo alla mancata corrispondenza delle informative ai trattamenti effettivamente realizzati, il Garante ha rilevato la violazione da parte della società degli artt. 12 e 13 GDPR.
