Localizzazione GPS e privacy dei dipendenti: che cosa devono sapere i datori di lavoro

La localizzazione dei veicoli aiuta ad assegnare il lavoro, a recuperare i veicoli rubati, a pianificare la manutenzione e a rispondere ai clienti. Ma costruisce anche un registro dettagliato dei luoghi in cui sono stati i suoi dipendenti. Ai sensi del regolamento generale sulla protezione dei dati (GDPR), quel registro è costituito da dati personali, e le regole per raccoglierli sono più severe di quanto molte aziende si aspettino. Questa guida esamina le domande a cui un datore di lavoro dovrebbe rispondere prima e dopo l'installazione di localizzatori GPS sui veicoli guidati dai dipendenti.

Perché la posizione di un veicolo è un dato personale

Il GDPR si applica a qualsiasi informazione riguardante una persona identificabile e indica i dati relativi all'ubicazione tra gli elementi attraverso cui una persona può essere identificata (articolo 4, punto 1). Da sola, una posizione può descrivere soltanto un veicolo. Non appena si sa chi era alla guida, tramite l'assegnazione del conducente, la carta del tachigrafo o il piano dei turni, descrive quel conducente.

Il Gruppo di lavoro Articolo 29, l'organismo delle autorità europee per la protezione dei dati poi sostituito dal Comitato europeo per la protezione dei dati (EDPB), ha affermato la stessa cosa nel suo parere sul trattamento dei dati sul posto di lavoro: un datore di lavoro che utilizza la telematica dei veicoli raccoglie dati sia sul veicolo sia sul dipendente che lo utilizza. A seconda del dispositivo, questi dati possono comprendere lo stile di guida oltre alla posizione.

Partire da una finalità chiara e da una base giuridica

Metta per iscritto perché localizza i veicoli prima di installare qualsiasi cosa. Le finalità più comuni sono l'assegnazione e la pianificazione del lavoro, la protezione di veicoli e merci dai furti, la sicurezza dei conducenti, l'adempimento di obblighi di legge e la registrazione dei chilometri percorsi per lavoro. La limitazione della finalità (articolo 5, paragrafo 1, lettera b) significa che non può riutilizzare in seguito i dati per uno scopo diverso, come valutare il rendimento individuale, senza verificare che la nuova finalità sia compatibile con quella originaria.

Scelga poi, per ciascuna finalità, la base giuridica dell'articolo 6 più adatta:

• Il legittimo interesse (articolo 6, paragrafo 1, lettera f) è la base abituale per la localizzazione della flotta nelle aziende private. Richiede un bilanciamento: i diritti del dipendente non devono prevalere sull'interesse del datore di lavoro, e la localizzazione deve essere necessaria per la finalità.
• L'obbligo legale (articolo 6, paragrafo 1, lettera c) copre le registrazioni imposte dalla legge, come le registrazioni del tachigrafo dei conducenti professionali. Non copre ogni altro uso dello stesso localizzatore.
• Il compito di interesse pubblico (articolo 6, paragrafo 1, lettera e) è la base per le autorità pubbliche, che non possono invocare il legittimo interesse quando svolgono i propri compiti.
• Il consenso (articolo 6, paragrafo 1, lettera a) raramente funziona sul lavoro. L'EDPB ritiene improbabile che i dipendenti possano opporre liberamente un rifiuto al proprio datore di lavoro, quindi in genere il consenso non è la base giusta per localizzarli.

Informare i conducenti prima che la localizzazione inizi

In base all'articolo 13, i dipendenti devono essere informati, in modo chiaro e prima che la localizzazione inizi, su chi li localizza, perché, su quale base giuridica, chi vedrà i dati, per quanto tempo saranno conservati e quali diritti hanno. Il Gruppo di lavoro raccomanda inoltre un avviso visibile in ogni veicolo localizzato, alla vista del conducente, e l'Information Commissioner's Office (ICO) del Regno Unito si aspetta che i datori di lavoro informino del monitoraggio dei veicoli sia i lavoratori sia i passeggeri.

• Una policy scritta sulla localizzazione dei veicoli, consegnata a ogni conducente
• Un breve avviso in ogni veicolo localizzato
• Un aggiornamento della policy ogni volta che aggiunge una finalità o un nuovo tipo di lettura, come il livello del carburante o le frenate brusche
• Il coinvolgimento dei rappresentanti del personale o di un organo di rappresentanza dei lavoratori prima che il sistema entri in funzione, dove la legge nazionale lo richiede

Raccogliere solo ciò che serve

La minimizzazione dei dati (articolo 5, paragrafo 1, lettera c) si applica a ogni lettura inviata da un localizzatore. I localizzatori moderni possono trasmettere velocità, frenate brusche, livello del carburante, dati del motore e molto altro. Decida quali di questi dati servono alle finalità che ha messo per iscritto e lasci inutilizzati gli altri. Il Gruppo di lavoro ha espresso il principio con chiarezza:

«I dispositivi di localizzazione dei veicoli non sono dispositivi di localizzazione del personale. La loro funzione è localizzare o monitorare la posizione dei veicoli su cui sono installati. I datori di lavoro non dovrebbero considerarli dispositivi per localizzare o monitorare il comportamento o gli spostamenti dei conducenti o di altro personale, ad esempio inviando avvisi relativi alla velocità del veicolo.»
Gruppo di lavoro Articolo 29, parere 2/2017 sul trattamento dei dati sul posto di lavoro, che cita il proprio parere 13/2011

Monitorare il modo in cui una persona guida è più difficile da giustificare che sapere dove si trova un veicolo. L'ICO afferma che i datori di lavoro devono effettuare una valutazione d'impatto sulla protezione dei dati prima di monitorare il comportamento o lo stile di guida dei conducenti, e l'autorità francese per la protezione dei dati, la CNIL, afferma che la geolocalizzazione non deve essere usata per controllare che i conducenti rispettino i limiti di velocità. Se desidera avvisi sulla velocità o sulla guida aggressiva, li valuti separatamente e li spieghi ai conducenti.

Auto aziendali usate anche per scopi privati

L'uso privato è il punto in cui la localizzazione dei veicoli crea più spesso problemi. Se i dipendenti possono guidare un'auto aziendale dopo il lavoro, nei fine settimana o in vacanza, localizzarli in quei momenti è molto difficile da giustificare. Il Gruppo di lavoro ha ritenuto improbabile che esista una base giuridica per monitorare la posizione dei veicoli al di fuori dell'orario di lavoro concordato. Dove l'uso privato è consentito, ha affermato, il dipendente dovrebbe in linea di principio poter disattivare temporaneamente la localizzazione quando le circostanze lo giustificano, ad esempio per una visita medica.

Le autorità nazionali vanno nella stessa direzione:

• In Francia, la CNIL afferma che i dipendenti devono poter disattivare la raccolta o la trasmissione della propria posizione al di fuori dell'orario di lavoro, che comprende le pause e il tragitto tra casa e lavoro.
• Nel Regno Unito, l'ICO afferma che raramente i datori di lavoro potranno giustificare il monitoraggio durante l'uso privato e cita l'esempio di un sistema di localizzazione che il conducente può disattivare al di fuori dell'orario di lavoro.

Se ha bisogno di una certa protezione al di fuori dell'orario di lavoro, ad esempio contro i furti, il Gruppo di lavoro suggerisce una configurazione proporzionata: fuori dall'orario di lavoro la posizione non viene registrata, a meno che il veicolo non esca da un'area ampia e predefinita, e solo allora viene mostrata. La CNIL è più severa: in Francia la posizione non deve essere raccolta al di fuori dell'orario di lavoro, nemmeno per prevenire i furti.

Qualunque soluzione scelga, tenga separati i chilometri di lavoro da quelli privati, e concordi per iscritto come si dichiara l'uso privato.

Limitare chi vede che cosa

Il GDPR richiede sicurezza e riservatezza adeguate (articolo 5, paragrafo 1, lettera f, e articolo 32), quindi i dati di posizione dovrebbero essere visibili solo alle persone che ne hanno bisogno. A un coordinatore servono le posizioni di oggi; a un contabile di solito nessuna. Dia a ogni ruolo l'accesso più ristretto che consenta di lavorare, tenga un elenco di chi ha accesso e lo riveda quando le persone cambiano mansione.

Abbia la stessa cura con i link alla posizione in tempo reale per i clienti. Condivida la posizione di un veicolo solo per il tempo necessario alla consegna o alla visita e poi disattivi il link. La CNIL aggiunge che il nome del conducente non dovrebbe essere comunicato ai clienti, a meno che non sia indispensabile.

Conservare lo storico delle posizioni solo per il tempo necessario

La limitazione della conservazione (articolo 5, paragrafo 1, lettera e) richiede un periodo di conservazione definito per ciascuna finalità. Il GDPR non fissa un numero preciso, ma le indicazioni nazionali danno un'idea dell'ordine di grandezza. La CNIL, ad esempio, afferma che i dati di geolocalizzazione dovrebbero in linea di principio essere conservati per non più di due mesi, fino a un anno quando servono a ottimizzare i giri o a dimostrare il lavoro svolto in mancanza di altre prove, e fino a cinque anni quando servono a registrare l'orario di lavoro.

Indichi i periodi di conservazione nella policy di localizzazione e nel registro delle attività di trattamento (articolo 30), e cancelli o anonimizzi lo storico che non le serve più.

Verificare se serve una DPIA

Una valutazione d'impatto sulla protezione dei dati (DPIA) è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti delle persone (articolo 35). Le linee guida del Gruppo di lavoro sulla DPIA elencano criteri che indicano un rischio elevato, tra cui il monitoraggio sistematico e i dati relativi a interessati vulnerabili, una categoria che include esplicitamente i dipendenti. Considerano inoltre i dati di localizzazione come dati di natura altamente personale. Nella maggior parte dei casi un trattamento che soddisfa due criteri richiede una DPIA, e la localizzazione sistematica dei veicoli dei dipendenti ne soddisfa di solito almeno due.

Una DPIA descrive la finalità, perché la localizzazione è necessaria e proporzionata, i rischi per i conducenti e le misure che li riducono, come una modalità privacy, i limiti di accesso e una conservazione breve. Se ha un responsabile della protezione dei dati, ne chieda il parere fin dall'inizio.

Rispondere alle richieste dei conducenti

I conducenti conservano i diritti previsti dal GDPR sui dati di localizzazione. Possono chiedere una copia dei dati che li riguardano (articolo 15), ottenere la rettifica dei dati errati (articolo 16) e, quando il trattamento si basa sul legittimo interesse, opporsi al trattamento (articolo 21). Stabilisca in anticipo chi risponde a queste richieste e come esporterà i viaggi e le posizioni di un singolo conducente per un determinato periodo.

Norme nazionali oltre al GDPR

L'articolo 88 consente a ogni paese di stabilire norme più specifiche per il trattamento dei dati nell'ambito dei rapporti di lavoro, e il diritto del lavoro aggiunge spesso requisiti propri. Alcuni esempi:

• Germania: ai sensi del § 87, comma 1, n. 6, della legge sull'ordinamento aziendale (BetrVG), la rappresentanza dei lavoratori (Betriebsrat) ha un diritto di codeterminazione sui sistemi tecnici destinati a controllare il comportamento o le prestazioni dei dipendenti, che di norma comprendono la localizzazione dei veicoli.
• Francia: i rappresentanti del personale devono essere informati o consultati prima dell'installazione di un sistema di geolocalizzazione, e si applicano le indicazioni della CNIL descritte sopra.
• Italia: l'articolo 4 dello Statuto dei lavoratori (legge 300/1970) consente di impiegare strumenti dai quali derivi anche la possibilità di controllo a distanza dei lavoratori solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale. Di norma serve un accordo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali, oppure un'autorizzazione dell'Ispettorato nazionale del lavoro, e i lavoratori devono essere informati delle modalità d'uso degli strumenti e di effettuazione dei controlli.
• Regno Unito: si applica il GDPR del Regno Unito (UK GDPR), e le indicazioni dell'ICO sul monitoraggio dei lavoratori trattano nel dettaglio la localizzazione dei veicoli.
• Macedonia del Nord: la legge sulla protezione dei dati personali (Gazzetta ufficiale n. 42/2020, modificata dai n. 294/2021 e n. 101/2025) è allineata al GDPR, e la sua applicazione è vigilata dall'Agenzia per la protezione dei dati personali.

Se i suoi conducenti sono assunti in più paesi, verifichi le norme di ciascuno.

Una checklist prima di attivare la localizzazione

1. Metta per iscritto ogni finalità e la relativa base giuridica.
2. Decida quali letture userà e tralasci le altre.
3. Stabilisca le regole per l'uso privato e per la sospensione della localizzazione.
4. Scelga chi può vedere posizioni, storico e dati dei conducenti.
5. Fissi un periodo di conservazione per ciascuna finalità.
6. Effettui una DPIA o registri perché non è necessaria.
7. Coinvolga i rappresentanti del personale dove la legge lo richiede.
8. Informi ogni conducente e collochi un avviso in ogni veicolo.
9. Aggiunga la localizzazione al registro delle attività di trattamento.
10. Chieda al fornitore dove sono conservati i dati e sottoscriva con lui un accordo sul trattamento dei dati.
11. Riveda la configurazione una volta all'anno e ogni volta che aggiunge una finalità.

Come Office Hero supporta questi passaggi

Fleet Hero, l'app di gestione flotte di Office Hero, non può da sola rendere lecita la localizzazione dei suoi veicoli, ma le offre i controlli descritti dalle indicazioni:

• Pausa privacy: mentre una pausa è attiva, le posizioni del veicolo vengono scartate all'arrivo e mai memorizzate. La distanza privata viene comunque conteggiata, dal contachilometri oppure da velocità e tempo, e la mappa in tempo reale e i link di condivisione mostrano il veicolo come in pausa.
• Periodi privati programmati: prenoti un periodo privato in anticipo, della durata massima di 31 giorni e con un anticipo massimo di un anno, e la registrazione si interrompe e riprende da sola.
• Pause nel registro di audit: ogni pausa viene registrata, e chi non ha l'autorizzazione per la pausa non vede affatto la funzione.
• Ruoli e regole di accesso ai record: limiti ogni persona ai veicoli, ai conducenti e alle geozone di cui ha bisogno. Per impostazione predefinita i conducenti vedono solo i propri veicoli.
• Avvisi solo dove li vuole: Fleet Hero genera avvisi solo dalle regole create da qualcuno della sua azienda, o quando qualcuno ne genera uno manualmente.
• Link di condivisione a scadenza: un link alla posizione in tempo reale dura 15 minuti, 1 ora, 24 ore o 7 giorni, può essere disattivato in qualsiasi momento e mostra il veicolo, non il nome del conducente.

Per avviare una pausa serve un'autorizzazione da concedere al personale, e Office Hero Connect, dove accedono i conducenti, non ha un pulsante di pausa. Stabilisca nella sua policy chi sospende la localizzazione per i conducenti e come i conducenti possono chiederlo.

Un percorso stradale stimato attraverso un periodo privato concluso può essere tracciato su richiesta da chi dispone di un'autorizzazione separata. Ne dispongono gli amministratori dell'azienda e anche le persone con il ruolo predefinito Fleet Manager, perché è compresa nel loro accesso completo a Fleet Hero. La stima è sempre indicata come tale ed esclusa da viaggi, report ed esportazioni. Poiché mostra il percorso probabile di un viaggio privato, indichi nella sua policy quando può essere usata e assegni ai responsabili della flotta che non devono averla un ruolo personalizzato che non la includa.

Fleet Hero non ha ancora un'impostazione che cancelli automaticamente lo storico delle posizioni dopo un periodo a sua scelta. Discuta con noi il suo periodo di conservazione prima che la localizzazione inizi.