Un recente provvedimento del Garante privacy richiama un principio importante anche per gli enti locali: la geolocalizzazione dei mezzi aziendali o comunali è possibile, ma solo entro limiti rigorosi.
Il caso riguardava veicoli di servizio dotati di GPS. Il sistema rilevava la posizione ogni 60 secondi e consentiva anche il monitoraggio in tempo reale. I dati erano stati poi utilizzati nell’ambito di un procedimento disciplinare nei confronti di un dipendente.
Il Garante ha chiarito che non basta dire che il GPS serve per esigenze organizzative, sicurezza del personale o tutela del patrimonio. Occorre dimostrare che il trattamento sia davvero necessario, proporzionato e configurato in modo da raccogliere solo i dati indispensabili.
Il punto centrale è questo: anche quando il lavoratore usa un mezzo dell’ente, non perde ogni aspettativa di riservatezza. Il luogo di lavoro non è uno spazio privo di diritti.
Per questo il Garante ha ritenuto non conforme un sistema capace di ricostruire in modo sostanzialmente continuo gli spostamenti del dipendente. La rilevazione ogni 60 secondi e l’accesso alla posizione in tempo reale sono stati considerati strumenti troppo invasivi rispetto alle finalità dichiarate.
Altro passaggio importante: l’accordo sindacale previsto dall’art. 4 dello Statuto dei lavoratori è necessario, ma non sempre sufficiente. L’ente deve comunque rispettare il GDPR, i principi di minimizzazione, privacy by design, limitazione della finalità e proporzionalità.
Inoltre, quando un sistema può comportare il controllo a distanza dei lavoratori, la valutazione d’impatto privacy non è un adempimento formale, ma uno strumento necessario per valutare rischi, misure e limiti del trattamento.
La lezione per Comuni, Province, Unioni di Comuni e aziende pubbliche è chiara:
GPS sì, ma non come strumento di sorveglianza permanente.
Prima di attivare sistemi di geolocalizzazione occorre verificare:
– base giuridica e finalità;
– accordo sindacale o autorizzazione ove necessari;
– informativa chiara ai lavoratori;
– tempi di conservazione proporzionati;
– frequenza di rilevazione non eccessiva;
– esclusione, di regola, del monitoraggio continuo e in tempo reale;
– DPIA preventiva;
– regole chiare sull’eventuale uso disciplinare dei dati.
Nel caso esaminato, il Garante ha dichiarato illecito il trattamento e ha applicato una sanzione di 6.000 euro, valorizzando però le misure correttive adottate dall’Azienda: aumento dell’intervallo di rilevazione da 60 secondi a 15 minuti e disattivazione permanente del monitoraggio in tempo reale.
Il messaggio è semplice: la tecnologia può aiutare l’organizzazione del lavoro, ma non può trasformarsi in controllo generalizzato della persona che lavora.
Lascia un commento