I sistemi GPS non possono violare la privacy degli utenti

I servizi offerti attraverso il sistema di localizzazione satellitare devono operare con modalità proporzionate rispetto al diritto alla riservatezza degli interessati.

In tema di localizzazione dei veicoli aziendali a mezzo sistemi GPS è intervenuto il Garante per la protezione dei dati personali, il quale, con provvedimento n. 396 del 28 giugno 2018, ha fatto estrema chiarezza sui limiti e le relative modalità di utilizzo degli stessi.

Nel caso in esame, una ditta titolare di diversi furgoni aziendali, temendo il furto degli stessi, procedeva all’installazione su ogni veicolo di un sistema GPS che consentiva alla sede centrale la localizzazione in tempo reale dei veicoli e dei guidatori.

Un dipendente, tuttavia, lamentava le modalità di avvio della procedura di controllo a distanza, avvenuta in assenza di una previa informativa o, comunque, della comunicazione di una policy aziendale relativa all’esistenza ed alle caratteristiche essenziali del sistema di geolocalizzazione. Tale sistema tecnologico avrebbe consentito al datore di lavoro la raccolta ed il successivo trattamento di dati relativi alla posizione geografica del dipendente anche al di fuori dell’orario di servizio, considerato che i veicoli aziendali sarebbero stati affidati con “autorizzazione all’utilizzo promiscuo”, senza obbligo di riconsegna del veicolo al termine della prestazione lavorativa.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, emergeva che il titolare dei dati, effettuava operazioni di trattamento di dati personali dei dipendenti mediante dispositivi di localizzazione geografica dei veicoli aziendali  non conformi alla disciplina in materia di protezione dei dati personali, nei termini di seguito descritti.

Il Garante ha rilevato che in relazione alle finalità per cui venivano installati i dispositivi GPS è emerso che le concrete modalità di funzionamento del sistema tecnologico adottato consentivano alla società, mediante il collegamento con la piattaforma web messa a disposizione dal fornitore del servizio, di visualizzare, attraverso la sezione “Mappa”, in tempo reale la posizione dei veicoli acquisita dal sistema ogni 120 secondi, il loro stato (fermo/in movimento), la velocità nonché dati ulteriori relativi all’utilizzo del veicolo nella giornata in corso (le ore di impegno e di guida, le ore di pausa, la velocità media, indicate sia in totale che distintamente per ciascuna tratta effettuata, anche di pochi minuti).

Sotto il profilo della proporzionalità del trattamento effettuato, inoltre, è stato osservato che la società non ha – quantomeno – adottato il pur disponibile dispositivo di disattivazione della rilevazione geografica durante le pause consentite dell’attività lavorativa operando  il monitoraggio continuo dell’attività del dipendente, in violazione dei principi di necessità, pertinenza e non eccedenza (in relazione agli artt. 3 e 11, comma 1, lett. d) e e) del Codice e 5, par. 1, lett. c) e e) del Regolamento (UE) 2016/679.

Il controllo dell’attività dei dipendenti così operato è risultato in contrasto con la disciplina di settore in materia di controlli a distanza (cfr. artt. 11, comma 1, lett. a) e 5, par. 1, lett. a) del Regolamento (UE) 2016/679 in relazione agli artt. 114 del Codice e 4, legge 20.5.1970, n. 300). Tale disciplina infatti, pure a seguito delle modifiche disposte con l’art. 23 del decreto legislativo 14 settembre 2015, n. 151, non consente l’effettuazione di attività idonee a realizzare il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.

Per i suesposti motivi, il Garante ha concluso sancendo il divieto di ulteriore trattamento dei dati sì raccolti, ordinando che in base al principio di minimizzazione dei dati e di quello di privacy by design e by default espressamente richiamati, rispettivamente, dall’art. 5, par. 1, lett. c) e  dall’art. 25 del Regolamento (UE) 2016/679 – la versione standard dei servizi offerti attraverso il sistema di geolocalizzazione fosse modificato e riconfigurato con modalità proporzionate e volte al rispeto del diritto alla riservatezza degli interessati.