GPS sui mezzi aziendali e privacy dei dipendenti: scatta l’obbligo di notifica al Garante anche senza sistemi automatici
La Cassazione chiarisce che basta la possibilità di risalire indirettamente all’identità del lavoratore per far scattare gli obblighi di legge in materia di protezione dei dati personali La geolocalizzazione dei veicoli aziendali è uno strumento sempre più diffuso nel settore del trasporto merci su strada. Ottimizzare i percorsi, ridurre i costi, proteggere il patrimonio aziendale: le ragioni che spingono le imprese ad adottare sistemi GPS sono molteplici e comprensibili. Ma quando a bordo di quei veicoli siedono i dipendenti, il discorso si complica. Entra in gioco il diritto alla privacy dei lavoratori, e con esso una serie di obblighi normativi che l’imprenditore non può ignorare. Con l’ordinanza n. 3462/2026, la Prima Sezione Civile della Corte di Cassazione ha fissato un principio di grande rilievo pratico: l’obbligo di notificazione al Garante per la protezione dei dati personali sussiste anche quando il sistema GPS non consenta di identificare il lavoratore in modo automatico, purché vi sia la concreta possibilità di risalire alla sua identità anche per via indiretta. Il caso: una società di trasporti e il sistema GPS “fornito da terzi” La vicenda trae origine da un’ordinanza-ingiunzione emessa dal Garante della Privacy nei confronti di una società esercente attività di trasporto merci su strada per conto terzi, sanzionata per non aver provveduto alla notificazione prevista dall’art. 37, comma 1, lett. a), del d.lgs. n. 196/2003 — il cosiddetto Codice della Privacy nel testo vigente prima delle modifiche apportate dal d.lgs. n. 101 del 10 agosto 2018 — in relazione all’utilizzo di un sistema di geolocalizzazione installato sui propri automezzi. La società aveva opposto la sanzione sostenendo, tra l’altro, che il sistema GPS era stato sviluppato e fornito da una società terza, e che essa si era limitata a mettere a disposizione i veicoli con i rispettivi autisti. Il Tribunale di Sondrio, in prima battuta, aveva accolto questa prospettazione. La Cassazione, tuttavia, già con l’ordinanza n. 26987/2023, aveva cassato quella pronuncia stabilendo che la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione è condizione sufficiente per attribuire alla società di trasporti la qualifica di titolare del trattamento, a prescindere da chi abbia materialmente sviluppato il sistema. Nel giudizio di rinvio, il Tribunale di Sondrio aveva nuovamente accolto l’opposizione — stavolta su un diverso presupposto — ritenendo che il sistema in questione non fosse idoneo a consentire l’identificazione delle persone in modo automatico. È su questo punto che la Cassazione è tornata a pronunciarsi con l’ordinanza n. 3462/2026, demolendo definitivamente l’argomentazione del giudice di merito. Il quadro normativo: cosa prevede il vecchio Codice Privacy sull’obbligo di notificazione Prima di esaminare la soluzione della Corte, è utile inquadrare la normativa applicabile. L’art. 37, comma 1, lett. a), del d.lgs. n. 196/2003 (nel testo anteriore alla riforma del 2018) imponeva al titolare del trattamento di notificare al Garante il trattamento di dati personali quando riguardasse, tra l’altro, “dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica”. In sostanza, chiunque intendesse trattare dati di localizzazione tramite reti elettroniche — come appunto il GPS — era tenuto a darne preventiva comunicazione all’Autorità garante. La norma prevedeva alcune eccezioni: con propria delibera n. 1 del 31 marzo 2004, il Garante aveva sottratto all’obbligo di notificazione i trattamenti di dati geografici di mezzi di trasporto effettuati “esclusivamente a fini di sicurezza del trasporto”. Nel caso in esame, però, il sistema GPS era stato installato per scopi del tutto diversi — sicurezza del patrimonio aziendale, riduzione dei costi, localizzazione delle merci — e dunque l’esonero non era invocabile. Sul versante del diritto del lavoro, occorre poi tenere presente che la localizzazione dei veicoli mediante sistemi elettronici costituisce potenzialmente una forma di controllo a distanza dell’attività dei lavoratori, con tutto ciò che ne consegue ai sensi dell’art. 4 della l. n. 300/1970 (Statuto dei Lavoratori). Questo articolo — richiamato anche dagli artt. 11, 114 e 171 del d.lgs. n. 196/2003 — subordina la legittimità di tali controlli alla previa stipula di un accordo con le rappresentanze sindacali aziendali oppure, in mancanza, all’autorizzazione dell’Ispettorato del Lavoro. Il Garante per la Privacy aveva già chiarito tutto ciò con il provvedimento n. 370 del 4 ottobre 2011, dedicato specificamente ai sistemi di localizzazione dei veicoli nell’ambito del rapporto di lavoro, sottolineando che i dati relativi all’ubicazione dei mezzi, in quanto riconducibili — anche solo indirettamente — ai lavoratori assegnatari, costituiscono dati personali e come tali devono essere trattati nel rispetto del Codice della Privacy. La questione centrale: è necessaria l’identificazione “automatica” mediante codici? Il nucleo della controversia, nel secondo giro di giudizio, si era spostato su una questione tecnica: a quali condizioni un sistema GPS è soggetto all’obbligo di notificazione al Garante? Il Tribunale di Sondrio aveva abbracciato una tesi restrittiva, sostenendo che per far scattare l’obbligo occorresse non soltanto che il sistema permettesse in astratto di risalire all’identità del lavoratore, ma che tale identificazione avvenisse in modo automatico attraverso codici, e che fosse caratterizzata dalla certezza assoluta. Poiché nel caso concreto l’eventuale riconoscimento dell’autista avrebbe richiesto un’ulteriore attività deduttiva — incrociare i dati GPS con i registri di assegnazione dei veicoli o con il cronotachigrafo — il Tribunale aveva escluso la rilevanza privacy del trattamento. La Cassazione, con l’ordinanza n. 3462/2026, ha nettamente smentito questa impostazione, definendola frutto di un’aggiunta normativa — un quid pluris — che la legge non richiede. Il ragionamento della Corte è lineare e condivisibile: ciò che determina la soggezione all’obbligo di notificazione non è la modalità con cui l’identificazione del lavoratore può avvenire, ma la mera possibilità che essa avvenga, anche per via indiretta. La circostanza che il sistema identifichi il lavoratore tramite codici automatici oppure attraverso un’attività di incrocio manuale dei dati è irrilevante: in entrambi i casi il dato di localizzazione del veicolo è potenzialmente un dato personale riferibile al dipendente, e come tale deve essere trattato. La soluzione della Corte: conta la possibilità di identificazione indiretta La Prima Sezione Civile ha chiarito che il criterio dirimente è quello già individuato dal Garante nel provvedimento del
Il Tuo Capo Ti Controlla? 4 Verità Shock Che Devi Conoscere Sul Lavoro Oggi
Dalla sorveglianza occulta all’intelligenza artificiale: ecco cosa può (e non può) fare il datore di lavoro per monitorare i dipendenti La digitalizzazione del lavoro e l’esplosione dello smart working hanno reso i confini tra vita lavorativa e privata sempre più labili. La scrivania di casa diventa l’ufficio, il PC personale uno strumento aziendale e la nostra presenza online un’estensione della nostra identità professionale. Questo scenario solleva interrogativi cruciali e spesso scomodi sul potere di controllo del datore di lavoro. Fino a che punto può spingersi per tutelare i propri interessi? E dove inizia la violazione della nostra privacy? Questo articolo svela quattro sorprendenti realtà legali sul controllo dei lavoratori in Italia, basate su normative recenti e sentenze che stanno ridisegnando le regole del gioco. 1. L’inganno del falso profilo: quando il datore può creare un account fake Sembra la trama di un film thriller, eppure è una realtà giuridica consolidata. Il datore di lavoro, in determinate circostanze, può legalmente creare un falso profilo social per verificare la condotta di un dipendente. La chiave di volta sta nel concetto di “controlli difensivi”, ovvero quei controlli non mirati a valutare la prestazione lavorativa in sé (ad esempio, la qualità del lavoro svolto), ma a tutelare il patrimonio aziendale o a prevenire illeciti. Un caso discusso dalla Corte di Cassazione è emblematico. Con la sentenza n. 10955 del 27 maggio 2015, la Sezione Lavoro ha ritenuto legittima una pratica che, a prima vista, appare ingannevole. Un’azienda, per verificare se un dipendente utilizzasse il proprio dispositivo mobile personale durante l’orario di lavoro, ha creato un falso profilo Facebook femminile per interagire con lui e accertarne il comportamento. Il lavoratore, un operaio addetto a presse stampatrici, era già stato sorpreso in precedenza a utilizzare il telefono cellulare lontano dalla propria postazione, impedendo un intervento tempestivo su un macchinario bloccato. La Corte ha ritenuto legittima questa pratica perché il controllo non era sulla “modalità” di esecuzione del lavoro, ma sulla sua “effettiva esecuzione”. L’azienda stava proteggendo un proprio bene, il tempo di lavoro retribuito del dipendente, da un comportamento potenzialmente illecito. Proprio per questa finalità “difensiva”, la Cassazione ha stabilito che tali controlli esulano dalle procedure di garanzia (accordo sindacale o autorizzazione dell’Ispettorato del Lavoro) previste dall’articolo 4 dello Statuto dei Lavoratori, legge n. 300/1970. Quest’ultima norma vieta l’uso di impianti audiovisivi e altre apparecchiature per finalità di controllo a distanza dell’attività dei lavoratori, ma la giurisprudenza ha riconosciuto un’eccezione per i cosiddetti controlli difensivi. Si tratta di un’interpretazione creativa e fondamentale, poiché all’epoca dei fatti la “tutela del patrimonio aziendale” non era ancora tra le finalità esplicitamente previste dalla legge per giustificare i controlli, ma un’elaborazione giurisprudenziale poi introdotta solo nel 2015 con il Jobs Act. Una possibilità contro-intuitiva, che segna un confine sottilissimo tra controllo lecito e invasione della privacy. 2. Il divieto di “spiare all’indietro”: l’azienda non può scandagliare tutta la cronologia passata Se un datore di lavoro nutre il fondato sospetto che un dipendente stia commettendo un illecito, può avviare un controllo. Ma attenzione: non può usare questo sospetto come pretesto per scandagliare a ritroso tutta la sua attività digitale pregressa, accumulata magari per mesi o anni. Questo principio è stato sancito dalla Corte di Cassazione con la sentenza n. 25732 del 22 settembre 2021, introducendo un paletto fondamentale al potere di controllo “ex post”. Nel caso affrontato dalla Suprema Corte, una lavoratrice era stata licenziata dopo che l’amministrazione del sistema informatico aziendale aveva eseguito un accesso al suo computer per verificare l’origine di un virus che aveva infettato la rete aziendale. Durante questo accesso erano stati rilevati numerosi siti scaricati per ragioni private e un ingente numero di accessi internet di natura ludica. La questione centrale era stabilire se il controllo fosse stato effettuato legittimamente. La Cassazione ha chiarito che il controllo difensivo è legittimo solo se la raccolta delle informazioni inizia dopo l’insorgere del sospetto, non prima. Come afferma testualmente la sentenza: “potrà parlarsi di controllo ex post solo ove, a seguito del fondato sospetto del datore circa la commissione di illeciti ad opera del lavoratore, il datore stesso provveda, da quel momento, alla raccolta delle informazioni.” Se l’azienda ha già raccolto e archiviato i dati sulla navigazione internet del dipendente per mesi, non può improvvisamente decidere di analizzarli perché oggi sospetta qualcosa. Questa regola impedisce al datore di lavoro di accumulare dati “nel caso in cui servano” per poi usarli contro il dipendente al momento opportuno. È una garanzia fondamentale che protegge la dignità e la riservatezza del lavoratore da una sorveglianza preventiva e indiscriminata, assicurando che il controllo sia una reazione a un sospetto concreto e non una caccia alle streghe retroattiva. In altre parole, il datore di lavoro non può conservare cronologie e dati per anni e poi decidere di utilizzarli quando emerge un problema: il controllo deve essere mirato, specifico e successivo all’insorgere di elementi di fatto che giustifichino l’indagine. 3. Il profilo “pubblico” ha la sua privacy: accessibile a tutti non significa utilizzabile per tutto L’idea che tutto ciò che è “pubblico” su internet sia liberamente utilizzabile da chiunque, incluso il proprio datore di lavoro, è un equivoco pericoloso. Il Garante per la Protezione dei Dati Personali ha ribadito con forza un principio cardine: la pubblicazione di informazioni su un profilo social pubblico non autorizza il loro trattamento per qualsiasi scopo. Il riferimento normativo è l’articolo 5 del Regolamento Generale sulla Protezione dei Dati (GDPR, Regolamento UE 2016/679), che sancita il “principio di finalità”. In sostanza, i dati personali devono essere raccolti per scopi determinati, espliciti e legittimi, e non possono essere successivamente trattati in modo incompatibile con tali scopi. Quando pubblichi una foto o un commento su Facebook o Instagram, la finalità è comunicativa, espressiva o di intrattenimento, non quella di essere sottoposto a una valutazione disciplinare da parte del datore di lavoro. Per poter utilizzare legalmente quei dati a fini aziendali, ad esempio per un licenziamento, il datore di lavoro deve avere una base giuridica valida ai sensi dell’articolo 6 del GDPR.
IL DATORE RISPONDE PER L’INFORTUNIO DEL LAVORATORE IMPRUDENTE?
Tempo di lettura: 3 minuti Non era ancora scattato l’orario di lavoro, ed un feroce incendio si era sviluppato nell’azienda agricola: le fiamme avevano già avvolto la struttura e si stavano propagando rapidamente all’allevamento in cui erano ricoverati moltissimi pulcini di tacchino. Sul posto erano giunte le forze dell’ordine, che avevano intimato a tutti i presenti di allontanarsi immediatamente dal fabbricato, cosa che aveva prontamente fatto anche il titolare dell’azienda. Uno degli operai, invece, era salito su di un “bobcat”, deciso ad entrare nell’allevamento per provare a recuperare i pulcini, prima che venissero uccisi dalle fiamme. Incurante degli ordini dell’ordine di fermarsi, rivoltogli dal maresciallo dei carabinieri, il dipendente si era perciò lanciato, sul mezzo meccanico, all’interno dell’allevamento, ma poco dopo una violenta fiammata aveva avvolto il bobcat, ferendo a morte il suo conducente. Per l’accaduto, il titolare dell’azienda si era visto contestare la violazione di molteplici norme anticendio, tra le quali la omessa nomina del responsabile del servizio di prevenzione degli incendi, e la mancata formazione dei dipendenti per il caso di propagazione del fuoco sul luogo di lavoro. Inoltre, il Pubblico Ministero aveva contestato al datore di lavoro il reato di omicidio colposo, per non aver predisposto tutte le misure di prevenzione idonee a garantire che il lavoratore fosse adeguatamente informato sulle manovre da evitare e sui comportamenti da tenere in circostanze come quella che si era verificata. Il tribunale aveva poi mandato assolto l’imputato, sul presupposto che le violazioni delle norme antincendio non potevano aver causato o agevolato la morte del lavoratore; di diverso avviso invece la Corte di Appello, che aveva ribaltato la decisione, condannando il titolare dell’azienda sul presupposto che la predisposizione di misure adeguate, alle quali i dipendenti sarebbero stati tenuti ad uniformarsi, avrebbe potuto scongiurare l’evento. La vicenda è giunta così all’esame della Corte di Cassazione, alla quale è toccato il compito di chiarire se, a prescindere dalla predisposizione o meno di adeguate misure di prevenzione degli infortuni, il datore di lavoro risponda penalmente di tutti gli infortuni originati dal comportamento di un lavoratore, anche se impulsivo ed imprevedibile. Nel caso di specie, infatti, pur in assenza della nomina di un responsabile della prevenzione o di una adeguata formazione dei lavoratori, il dipendente aveva disatteso il preciso ordine di allontanarsi dal luogo, rivoltogli anche dal maresciallo dei carabinieri intervenuti, e si era lanciato invano nell’incendio, nel tentativo di porre in salvo i pulcini ricoverati nell’allevamento. La Corte romana, con la sentenza n. 39616 del 20 ottobre 2022, ha annullato la sentenza di condanna del datore di lavoro, rinviando il processo alla Corte di Appello, in diversa composizione, per la celebrazione di un nuovo processo di secondo grado per i fatti di causa. Per i giudici di legittimità, la responsabilità penale del datore di lavoro non sussiste quando il comportamento del dipendente, nello svolgimento delle sue mansioni, sia del tutto eccezionale ed imprevedibile, e cioè si concretizzi in una condotta abnorme e radicalmente lontano da tutte le ipotizzabili scelte possibili del lavoratore nella esecuzione del lavoro. Ricordando anche altre pronunce simili, la Cassazione ha concluso che il comportamento che risulti negligente, imprudente ed imprevedibile, da parte del lavoratore, pur se posto in essere nell’ambito delle mansioni che gli sono state affidate, costituisce la concretizzazione del cosiddetto “rischio eccentrico”, che esclude la responsabilità del datore, quale garante della sicurezza dei propri sottoposti. Solo quando si verifichi questa ipotesi, infatti, è del tutto ragionevole dedurre che nemmeno la puntuale e meticolosa predisposizione di tutti i presidi preventivi, compresa la formazione del personale e la designazione del responsabile della prevenzione, potrebbero scongiurare il verificarsi dell’evento dannoso – nel caso di specie mortale – a carico del lavoratore.