Semaforo rosso ai controlli sui viaggi di lavoro e no, concernenti (tempi, km, consumi e stile di guida) dei conducenti/lavoratori. A dirlo è il Garante privacy con un recente provvedimento del 18 dicembre 2025 reso pubblico con la nota del 29 gennaio 2026.
A una lettura attenta, plurime sono state le violazioni in materia di protezione dati che ora analizziamo.
Indice degli argomenti
Garante privacy: stop ai controlli sui veicoli aziendali
Il Garante privacy, dunque, dice basta ai controlli, illeciti e indiscriminati, sui veicoli aziendali e nel dirlo sanziona pesantemente, con una multa di 120mila euro, una società del settore della selezione e produzione di sementi agricole la quale, attraverso l’installazione di dispositivi sui veicoli stessi, trattava in modo illecito i dati personali dei cinque dipendenti automuniti.
Si trattava di un “dispositivo telematico satellitare capace di rilevare i comportamenti di guida dei conducenti, e di utilizzare i dati così raccolti assegnando un punteggio di valutazione”, si legge tra le premesse del provvedimento.
Tale sistema veniva tecnicamente associato al nominativo di ciascun conducente e raccoglieva, si legge testualmente nel provvedimento in parola, “i dati sui viaggi di lavoro e privati (tempi, km, consumi e stile di guida) dei lavoratori, per l’assegnazione di un punteggio mensile”.
Tali dati così raccolti e conservati per un periodo di 13 mesi, venivano quindi utilizzati “ai fini delle valutazioni del comportamento alla guida dei dipendenti, nonché per l’adozione di eventuali interventi correttivi”.
Detto altrimenti, profilazione ed eventuali provvedimenti financo disciplinari, viene da pensare.
L’iniziativa pilota
Il progetto era stato avviato in via sperimentale, ma destinato a essere da lì a poco esteso a tutte le società europee del Gruppo.
Seppur apprezzabile il progetto in via sperimentale, è sempre bene fare attenzione alla sua progettazione.
In questo caso, infatti, per quanto non emerga esplicitamente dalle circostanze anche fattuali del provvedimento, è chiaro ed evidente che sia mancata una corretta privacy by design.
L’intento reale
L’intento reale è emerso dall’istruttoria cioè a dire “raccogliere informazioni molto dettagliate sui viaggi effettuati, tali da consentire un controllo sull’attività dei lavoratori” senza garanzie alcune come previsto dallo Statuto dei lavoratori (L. 300/1970).
Così si spiega quella “media dei punteggi, su base mensile” raccolta in relazione alla quale veniva associato, allo stile di guida del conducente/dipendente, un livello di rischio (basso, medio ed elevato); e di qui le “modalità di intervento differenti per migliorare le azioni di guida” così si legge testualmente nel provvedimento.
L’assenza di un accordo sindacale
La carenza di un accordo sindacale convinti che il “Programma di Telematica” non configurasse un’attività di monitoraggio dei dipendenti, in contrasto con l’art. 4 dello Statuto.
Tuttavia, in assenza di ciò l’attività posta in essere dal datore di lavoro/titolare del trattamento si pone in aperto contrasto con la disposizione di cui all’art. 8 della legge n. 300/1970, richiamato peraltro dall’art. 113 del Codice privacy quale condizione di liceità del trattamento, che vieta al datore di lavoro di “effettuare indagini, anche tramite terzi, sulle opinioni politiche, religiose o sindacali del lavoratore o “su fatti non rilevanti per l’attitudine professionale”, sia al momento dell’assunzione che durante il rapporto di lavoro. Lapalissiano.
Il dispositivo
Nel determinare l’importo della sanzione (120k), l’Autorità ha tenuto conto sia del numero limitato di dipendenti coinvolti che della sospensione immediata del trattamento dei dati ritenuto illecito, disposta dalla società subito dopo la contestazione.
Il Garante privacy ha ordinato poi “la cancellazione dei dati relativi ai viaggi dei lavoratori, raccolti e utilizzati per l’attribuzione dei punteggi di comportamento alla guida”.
Tutte le carenze lato privacy
Molteplici sono state le mancanze di conformità privacy; snoccioliamole di seguito.
La presenza di una informativa non chiara né trasparente
In primis, l’informativa privacy resa ai lavoratori e rivolta a tutte le società affiliate del gruppo, incluse quelle con sede extra-Ue, che non indicava affatto in modo chiaro e trasparente “le finalità, le basi giuridiche né i soggetti qualificabili come titolari, responsabili e destinatari del trattamento dei dati”.
Né l’approccio “stratificato” invocato dalla società può reggere dal momento che in ogni caso le informazioni devono sempre rispondere a un criterio di “facile accessibilità” e risultare agilmente consultabili nella loro interezza.
Nel caso di specie, per chiarirci, mancava addirittura una chiara individuazione e quindi distinzione dei ruoli privacy tra tutti gli attori coinvolti (dalla società titolare al fornitore responsabile).
Ancora, il linguaggio adoperato per descrivere il trattamento e renderlo noto ai lavoratori/interessati risultava – come emerso dall’esito dell’istruttoria – “vago e generico” che di fatto non consentiva di “di conoscere con esattezza i soggetti autorizzati ad accedere ai dati e le modalità con cui le informazioni sui conducenti sono rese disponibili e, soprattutto, quali siano le “necessità” (ovvero i presupposti di legittimità) che rendono legittima la conoscenza dei dati”.
Non corretta individuazione della base giuridica
Nemmeno l’individuazione della base giuridica all’Autorità è parsa corretta.
È stata nel caso che ci occupa, individuata nel legittimo interesse, con una LIA benché redatta sul modello ICO, comunque debole, senza considerare elementi utili al bilanciamento “quali (oltre alle libertà, agli interessi e ai diritti dell’interessato), l’impatto del trattamento sugli interessati tenuto conto della tipologia dei dati trattati, del contesto e delle conseguenze sugli interessati, le ragionevoli aspettative di riservatezza degli interessati”.
Oltre al fatto che notoriamente il “legittimo interesse” deve essere inteso e quindi adoperato in via del tutto residuale.
Autorizzazioni non idonee
Ma non è tutto, difettava altresì un solido e robusto impianto autorizzatorio (ex artt. 28 e 2 quaterdecies Cod. Privacy) dal momento che l’accesso alle informazioni raccolte tramite i dispositivi satellitari installati sulle auto aziendali era consentito anche al personale di altre società del gruppo, in assenza di un’idonea autorizzazione.
Gli accertamenti condotti dal Garante hanno inoltre evidenziato che l’accesso alle informazioni raccolte tramite i dispositivi installati sulle auto aziendali era consentito anche al personale di altre società del gruppo, in assenza di un’idonea autorizzazione.
Cosa suggerire alle aziende
A fronte di un provvedimento del genere, a seguito del presentato reclamo, ineccepibile nelle argomentazioni che hanno condotto alla sanzione non lieve, vi è da suggerire alle Aziende che abbiano veicoli aziendali, che concedano a taluni lavoratori tale benefit e che ricorrano a strumenti di monitoraggio/geolocalizzazione, di fare molta attenzione e opportune valutazioni in punto privacy, al fine di poter dimostrare, in piena accountability, di avere fatto tutto quanto occorrente (privacy by design, informativa, nomine, aggiornamenti dei registri ecc.) per non trovarsi a dover giustificare poi, in sede ispettiva, un impianto debole, franoso, se non anche carente che può poi costare caro.
