Localizzazione di veicoli aziendali.
Garante Protezione Dati Personali, provvedimento 393 del 2018.
Un dipendente di una società inoltrava al Garante una segnalazione con cui lamentava che la datrice di lavoro avrebbe effettuato il trattamento di dati personali a sé riferiti mediante l’installazione di un dispositivo GPS a bordo dell’autovettura aziendale, in assenza di una previa informativa o, comunque, della comunicazione di una policy aziendale relativa all’esistenza ed alle caratteristiche essenziali del sistema di geolocalizzazione. Tale sistema tecnologico avrebbe consentito al datore di lavoro la raccolta ed il successivo trattamento di dati relativi alla posizione geografica del dipendente anche al di fuori dell’orario di servizio, considerato che i veicoli aziendali sarebbero stati affidati con autorizzazione all’utilizzo promiscuo, senza obbligo di riconsegna del veicolo al termine della prestazione lavorativa.
All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, è emerso che la società datrice di lavoro effettua operazioni di trattamento di dati personali dei dipendenti mediante dispositivi di localizzazione geografica dei veicoli aziendali forniti da una società esterna, designata responsabile del trattamento.
Gli autisti alla guida dei veicoli aziendali sottoposti a localizzazione sono in concreto identificabili.
Le concrete modalità di funzionamento del sistema tecnologico adottato consentono alla società di visualizzare la posizione dei veicoli, la velocità nonché dati ulteriori relativi all’utilizzo del veicolo nella giornata in corso.
Tali modalità del trattamento e, segnatamente, la raccolta di informazioni particolareggiate sull’attività dei singoli veicoli monitorati dal sistema e, indirettamente, sull’attività degli autisti cui i veicoli sono affidati, quali la ricostruzione su mappa dei percorsi effettuati sia in tempo reale che giornalmente, con ulteriore distinta ricostruzione anche per ciascuna tratta dei percorsi effettuati e delle relative modalità, comprese le pause, non sono proporzionate con gli scopi invocati dalla società (monitorare i consumi di carburante, effettuare un intervento di riparazione con il veicolo più vicino in zona, assicurare una efficiente gestione del parco veicoli, garantire la sicurezza e l’incolumità dei lavoratori, prevenire e contrastare eventi criminosi ai danni dei beni aziendali ed ottenere elevati sconti in sede assicurativa).
Né risulta conforme al principio di proporzionalità la integrale conservazione dei dati raccolti per un esteso periodo di tempo (365 giorni).
Il sistema utilizzato è in concreto idoneo a realizzare il monitoraggio continuo dell’attività del dipendente, in violazione dei principi di necessità, pertinenza e non eccedenza.
In relazione all’obbligo, posto in capo al titolare, di fornire prima dell’inizio dei trattamenti un’informativa ai dipendenti circa le caratteristiche essenziali degli stessi, non sono stati forniti al Garante elementi idonei a documentare l’avvenuto adempimento dell’obbligo di fornire la dovuta informativa a far data dalla sottoscrizione del contratto con il fornitore del servizio di localizzazione.
La raccolta sistematica dei dati relativi alla posizione dei veicoli e la consultazione delle informazioni messe a disposizione attraverso l’accesso alla piattaforma web, sia in tempo reale sia attraverso elaborazioni e report conservati per un esteso periodo di tempo (365 giorni), consente alla società di effettuare il controllo dell’attività dei dipendenti.
Ciò risulta in contrasto con la disciplina in materia di controlli a distanza, che non consente l’effettuazione di attività idonee a realizzare il controllo massivo, prolungato e indiscriminato dell’attività del lavoratore.
La società contempla l’utilizzo di veicoli sottoposti al descritto sistema anche per esigenze di carattere personale. In tal modo l’operatività della funzionalità di geolocalizzazione è idoneo a consentire il trattamento di dati non rilevanti ai fini della valutazione dell’attitudine professionale.
Il Garante ha, dunque, disposto il divieto di ulteriore trattamento dei dati raccolti con il complesso sistema di localizzazione ed ha prescritto che qualora la società decida di utilizzare in futuro un sistema di localizzazione dei veicoli aziendali potrà farlo applicando i principi e le disposizioni del Codice e del Regolamento (UE) 2016/679.
31 agosto 2018
