Il provvedimento del Garante del 16 gennaio 2025 lo dice con chiarezza: geolocalizzare mezzi e dipendenti senza regole rigorose significa esporsi a violazioni, prescrizioni correttive e sanzioni. Ma il messaggio non riguarda solo le aziende utilizzatrici. Riguarda anche i fornitori di queste tecnologie, che non possono limitarsi a vendere piattaforme e dispositivi senza accompagnare i clienti verso configurazioni realmente conformi.

C’è un punto che, nel 2026, dovrebbe essere ormai pacifico per ogni impresa e per ogni operatore del mercato della fleet management: la geolocalizzazione dei veicoli aziendali non è mai solo un tema di efficienza operativa. È, prima di tutto, un trattamento di dati personali che può incidere in modo diretto sulla libertà e sulla dignità dei lavoratori.

Il provvedimento del Garante per la protezione dei dati personali del 16 gennaio 2025, doc. web n. 10112287, lo dimostra in modo esemplare. Al centro della decisione c’è una società di autotrasporto sanzionata con 50.000 euro per avere gestito in modo illecito un sistema di geolocalizzazione installato sui mezzi aziendali. Ma fermarsi qui sarebbe riduttivo. Perché il provvedimento parla anche al mercato che quelle tecnologie le progetta, le configura, le distribuisce e le propone commercialmente ogni giorno.

In altre parole, non è più accettabile che da un lato ci siano aziende che trattano i dati di localizzazione con leggerezza e dall’altro fornitori che pensano solo a vendere il sistema, lasciando il cliente solo davanti a profili di rischio noti da anni.

Il caso: quando il GPS diventa controllo continuo

La vicenda nasce dal reclamo di un lavoratore, che contestava l’installazione di un sistema di geolocalizzazione sul veicolo utilizzato per l’attività lavorativa senza una preventiva informativa adeguata e senza il corretto presidio delle garanzie previste in ambito lavoristico.

Nel corso dell’istruttoria, il Garante ha accertato che il sistema consentiva di raccogliere informazioni sulla posizione del veicolo, sul suo stato e su ulteriori dati di telemetria. La rilevazione, pur con un ritardo di 3 o 5 minuti, avveniva in modo continuativo e comprendeva anche le pause dell’attività lavorativa. I dati, inoltre, venivano conservati per 180 giorni.

È proprio qui che il provvedimento assume una portata molto chiara: anche quando il monitoraggio non è formalmente “in diretta”, resta comunque un trattamento potenzialmente idoneo a realizzare un controllo sistematico dell’attività del lavoratore. E quando il tracciamento è continuo, dettagliato e prolungato nel tempo, il rischio di eccedenza rispetto alle finalità dichiarate diventa concreto.

L’errore più diffuso: pensare che basti “avere un’autorizzazione”

Uno dei passaggi più interessanti del provvedimento riguarda un equivoco ancora molto diffuso nelle aziende: ritenere che l’autorizzazione dell’Ispettorato territoriale del lavoro risolva automaticamente ogni criticità privacy.

In realtà, il Garante ricorda un principio essenziale: l’adempimento delle regole lavoristiche non esaurisce gli obblighi in materia di protezione dei dati personali. Anche in presenza di un titolo legittimante sotto il profilo dello Statuto dei lavoratori, il trattamento deve comunque rispettare i principi del GDPR, a partire da liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione.

Nel caso esaminato, proprio questo è mancato. Le modalità concrete di utilizzo del sistema sono risultate non conformi alle garanzie prescritte nel provvedimento autorizzativo dell’INL. In altre parole, non bastava aver ottenuto il via libera all’installazione: bisognava anche usare quello strumento in modo coerente con le finalità dichiarate e con i limiti imposti.

Informativa inadeguata, dati eccessivi, conservazione troppo lunga

Il provvedimento individua tre criticità che meritano la massima attenzione da parte di qualsiasi impresa.

La prima riguarda l’informativa. Quella resa ai dipendenti è stata giudicata inidonea, incoerente e non aderente ai trattamenti effettivamente svolti. Non si trattava solo di una descrizione incompleta, ma di un testo pieno di incongruenze e refusi, incapace di spiegare in modo trasparente cosa venisse realmente raccolto, con quali modalità e per quanto tempo.

La seconda riguarda la minimizzazione. Il sistema acquisiva informazioni troppo dettagliate rispetto agli scopi dichiarati, arrivando a tracciare i veicoli in modo continuativo anche durante le pause. Per il Garante, una raccolta così estesa non era proporzionata alle finalità di tutela del patrimonio aziendale, sicurezza sul lavoro ed esigenze organizzative.

La terza riguarda la conservazione dei dati. Tenere informazioni di geolocalizzazione per 180 giorni è stato ritenuto eccessivo rispetto alle esigenze prospettate. Ed è un richiamo che molte organizzazioni dovrebbero prendere molto sul serio: il dato di localizzazione è tra i più delicati in assoluto, perché consente di ricostruire spostamenti, abitudini, tempi e condotte individuali.

Non solo aziende: anche i fornitori di queste soluzioni tecnologiche hanno una responsabilità

Qui sta il punto che troppo spesso viene ignorato. La responsabilità principale del trattamento resta in capo al titolare, cioè all’azienda che decide finalità e modalità del monitoraggio. Ma questo non assolve i fornitori di tecnologie dal loro ruolo sostanziale nella filiera della compliance.

Chi vende sistemi GPS per il monitoraggio dei veicoli aziendali conosce perfettamente, o dovrebbe conoscere perfettamente, i rischi privacy connessi a quelle soluzioni. Sa che la localizzazione continua può diventare controllo a distanza. Sa che tempi di conservazione troppo lunghi espongono il cliente a criticità evidenti. Sa che funzioni aggiuntive, interfacciamenti, campi liberi e raccolte ulteriori possono ampliare in modo improprio il perimetro del trattamento. Sa, soprattutto, che una piattaforma può essere configurata in modo più o meno invasivo.

Per questo il mercato non può più tollerare fornitori che si fermano alla demo commerciale, al listino o alla promessa di efficienza operativa. Vendere una tecnologia di geolocalizzazione senza informare correttamente il cliente sui vincoli normativi, sulle cautele da adottare e sulle configurazioni meno invasive significa contribuire a un uso scorretto dello strumento.

Non si tratta di trasformare il vendor in consulente legale del cliente. Si tratta di pretendere un comportamento professionale serio, trasparente e responsabile da parte di chi immette sul mercato strumenti che, per loro natura, incidono sui diritti delle persone.

Un punto decisivo: i dati di localizzazione identificano il lavoratore

Nel provvedimento c’è poi un chiarimento molto importante sul piano concettuale. La società ha tentato di sostenere che il sistema non identificasse direttamente il conducente del mezzo. Ma il Garante ribadisce che il dato personale non coincide solo con l’identificazione immediata e nominativa.

Se un veicolo è associato a una targa e quella targa può essere collegata, anche indirettamente, ai turni, ai tachigrafi o ad altre informazioni organizzative, il lavoratore è identificabile. E questo basta per far rientrare il trattamento nel perimetro pieno della disciplina privacy.

È un passaggio interessante, perché smonta una delle difese più frequenti nelle pratiche aziendali: “non vedo il nome del dipendente sulla piattaforma, quindi non tratto dati personali”. Non funziona così. La possibilità di risalire alla persona, anche tramite ulteriori dati disponibili al titolare, è più che sufficiente.

La geolocalizzazione va progettata, non improvvisata né venduta con leggerezza

Il vero insegnamento del provvedimento è che la geolocalizzazione non può essere gestita come un accessorio tecnologico. Richiede una progettazione giuridica, organizzativa e tecnica seria.

Serve un’informativa reale, non un modello riciclato. Serve una configurazione tecnica coerente con le finalità dichiarate. Serve limitare raccolta, accessi e tempi di conservazione. Serve verificare se il monitoraggio continuo sia davvero necessario o se esistano modalità meno invasive. E serve, soprattutto, evitare che uno strumento pensato per esigenze organizzative si trasformi, nei fatti, in un apparato di controllo pervasivo.

Ma serve anche un salto di qualità da parte dei fornitori. Chi propone queste soluzioni non può continuare a ragionare come se privacy e diritto del lavoro fossero un problema del cliente da affrontare dopo la firma del contratto. Non nel 2026. Non su tecnologie che, per definizione, raccolgono dati di localizzazione, telemetria e informazioni idonee a incidere sul rapporto di lavoro.

Nel 2026 non ci sono più alibi

A distanza di anni dall’entrata in vigore del GDPR e con un quadro ormai consolidato di provvedimenti del Garante su lavoro e geolocalizzazione, non è più credibile sostenere che questi errori dipendano da incertezza normativa. Le regole ci sono. I principi pure. E i precedenti anche.

Continuare a trattare dati di localizzazione in maniera “allegra” significa esporsi non solo a sanzioni economiche, ma anche a un danno reputazionale rilevante e a un indebolimento del rapporto di fiducia con i lavoratori.

E il richiamo, oggi, deve essere duplice. Alle aziende, perché non improvvisino trattamenti invasivi senza presidi adeguati. Ai fornitori, perché smettano di vendere queste tecnologie come se fossero strumenti neutri, privi di implicazioni giuridiche e organizzative.

Il provvedimento del 16 gennaio 2025 ci ricorda esattamente questo: quando un’azienda tratta dati di geolocalizzazione, non sta solo gestendo mezzi, percorsi o tempi di consegna. Sta trattando informazioni che parlano delle persone. E quando si parla di persone, la compliance non può mai essere approssimativa. Né per chi usa la tecnologia, né per chi la vende.