Privacy e Geolocalizzazione dei veicoli aziendali

Il GPS è uno strumento che permette di rilevare la posizione geografica del veicolo sul quale è installato e, grazie all’utilizzo di software dedicati, gestire la flotta aziendale in modo estremamente dettagliato.

Il rilevamento della posizione in cui si trova un veicolo aziendale, condotto da un dipendente durante l’orario di lavoro attraverso il sistema GPS, è da considerarsi a tutti gli effetti come un trattamento di dati personali.  Da ciò ne deriva che anche il sistema di rilevazione GPS dovrà rispettare la normativa privacy sul trattamento dei dati personali.

Principali riferimenti normativi

I principali riferimenti normativi che regolano il trattamenti dei dati forniti dai sistemi GPS su mezzi aziendali sono:

  • Regolamento Europeo 679/2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GDPR)
  • Lgs. 196/2003 denominato “Codice in materia di protezione dei dati personali” così come modificato dal D. Lgs. 101/2018 “nuovo codice privacy”
  • Legge 300/1970 “Statuto dei Lavoratori”
  • Provvedimenti emanati dal Generale Privacy

La normativa privacy e lo Statuto dei Lavoratori consentono alle aziende di installare un sistema di geolocalizzazione satellitare (GPS) adottando però alcuni accorgimenti fondamentali.

GPS e Statuto dei lavoratori

Innanzitutto è necessario valutare quali sono le finalità che hanno portato l’azienda alla decisione di installare il sistema di geolocalizzazione satellitare; lo Statuto dei Lavoratori infatti prevede la possibilità di adottare sistemi di rilevamento GPS solamente per:

  • Esigenze organizzative produttive, a titolo esemplificativo:
    • organizzazione della flotta aziendale
    • computazione dei costi
  • Sicurezza sul lavoro, a titolo esemplificativo:
    • necessità di garantire rapido intervento delle squadre di soccorso in caso di sinistro
    • svolgimento di attività particolarmente pericolose o impiego di materiali nocivi
    • lavoratori che operano in luoghi isolati
  • Tutela del patrimonio, a titolo esemplificativo:
    • intromissioni o furti
    • presenza di componenti o beni immateriali di elevato valore intrinseco

La presenza di almeno uno dei fattori appena elencati, risulta essere il presupposto essenziale per poter procedere con l’istanza di autorizzazione all’installazione dei sistemi GPS.

È utile chiarire sin d’ora che tale istanza (o l’accordo sindacale) andrà presentata prima dell’installazione dei dispositivi, in quanto essa rappresenta un atto prodromico e non meramente consequenziale; inoltre non è ammissibile il consenso dei dipendenti all’installazione dei GPS in alternativa alla procedura dinanzi l’Ispettorato del lavoro.

A seguito di tale valutazione, effettuare un bilanciamento d’interessi tra gli interessi dell’azienda e quelli dei dipendenti che, potenzialmente, possono essere oggetto di controllo a distanza.

Modalità di autorizzazione dell’apparato GPS

Considerato che lo Statuto dei Lavoratori (L. 300/1970) pone il divieto di controllo a distanza dell’attività lavorativa, per poter installare un sistema di geolocalizzazione satellitare (GPS) si dovrà seguire una delle seguenti modalità:

  • se sono presenti rappresentanze sindacali (unitaria RSU o aziendale RSA), l’azienda e le rappresentanze sindacali dovranno sottoscrivere un accordo sull’utilizzo ed il funzionamento dell’impianto;
  • se non sono presenti rappresentanze sindacali o l’accordo non è raggiunto, l’azienda presenterà istanza di autorizzazione all’installazione dei GPS all’Ispettorato del Lavoro territoriale.

Informativa

Un punto fondamentale riguarda l’informativa: i lavoratori devono sempre essere informati che il veicolo è soggetto a localizzazione. Le informative da rendere sono di due tipi:

  • Informativa sintetica:

Essa è costituita da una vetrofania all’interno del veicolo, recante la dicitura: “Veicolo sottoposto a localizzazione” o “veicolo geolocalizzato”, contenente le informazioni fondamentali

 
  • Informativa completa (art. 13 GDPR)
    • Deve contenere le indicazioni del: Titolare, DPO (se nominato), Finalità, Base giuridica, Destinatari, eventuale trasferimento all’estero, Periodo di conservazione, Diritti dell’interessato

“Privacy by design” e “Privacy by default” (art. 25 GDPR)

l GDPR introduce una serie di principi generali in merito al trattamento di dati personali.

Come già anticipato la rilevazione della posizione del dipendente in orario di lavoro mediante l’utilizzo di dispositivi GPS realizzata dal Titolare del Trattamento (ossia il datore di lavoro), può integrare gli estremi del controllo a distanza che ad oggi richiedono il rispetto di due concetti base: “privacy by design” e “privacy by default” previsti e disciplinati all’art. 25 GDPR.

Questi due principi fanno si che la tutela dei dati personali debba essere prevista fin dall’inizio del trattamento, ossi fin dalla fase di progettazione del sistema, per poi intervenire attraverso strumenti ed interfacce che consentano, per impostazione predefinita, il massimo livello di tutela dei dati personali.

Cambia quindi in modo radicale l’impostazione della protezione dei dati in quanto non ci si basa più sull’adempimento delle misure minime di sicurezza di cui all’Allegato B del Codice della Privacy; d’ora in poi la protezione dei dati deve iniziare nel momento in cui il Titolare del trattamento “determina i mezzi del trattamento”.

Con “privacy by design” s’intende che i rischi devono essere prevenuti e non (solo) corretti, cioè i problemi vanno valutati nella fase di progettazione, e l’applicativo deve prevenire il verificarsi dei rischi; il rispetto della privacy quindi deve essere già previsto sin dalla fase embrionale del progetto.

Con “privacy by default” s’intende la protezione dei dati per impostazione predefinita, ossia un sistema che sia già pre-impostato per trattare solo i dati personali necessari e sufficienti per le finalità previste e per il periodo strettamente necessario a tali fini. Occorre, quindi, progettare il sistema di trattamento di dati garantendo la non eccessività dei dati raccolti.

L’adozione di questi due principi implica quindi l’interazione tra misure tecniche (dispositivi e strumenti utilizzati) e misure organizzative (privacy policy, minimizzazione del trattamento, rilascio dell’informativa, analisi dei rischi e valutazione di impatto), che insieme mirano a progettare, gestire e monitorare un assetto organizzativo e un sistema di trattamento dati rivolto alla tutela dell’interessato.

Valutazione d’impatto

Il titolare del trattamento quindi dovrà procedere innanzitutto con una valutazione d’impatto, ossia un’autonoma valutazione che il titolare (del trattamento) pone in essere in riferimento ad un determinato trattamento per analizzare la necessità, la proporzionalità ed i rischi per i diritti e le libertà dell’interessato (persona fisica). Sarà quindi necessario contemperare gli interessi legittimi del Titolare con le esigenze di tutela della privacy del lavoratore, evitando modalità di controllo invasive, prolungate e indiscriminate dell’attività del dipendente sulla scorta della linea operativa sancita dal Garante e concretizzata nel principio secondo il quale “la posizione del veicolo sottoposto a localizzazione non dovrebbe di regola essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il perseguimento delle finalità legittimamente perseguite” (cfr. Provv.to di carattere generale in materia di localizzazione dei veicoli nell’ambito del rapporto di lavoro, 4 ottobre 2011, n. 370, doc. web n. 1850581). Questo vale ancora di più nel caso in cui i mezzi possano essere utilizzati in modo promiscuo dal lavoratore e quindi anche al di fuori dell’orario di lavoro.

Progettazione del sistema

La struttura del sistema dovrà consentire un trattamento dati conforme ai principi di proporzionalità, necessità e sicurezza del trattamento, emergente sin dalla fase di ideazione del dispositivo. Al riguarda si veda il Provvedimento 232 del 18 aprile 2018 con cui il Garante ha introdotto i seguenti requisiti per il sistema GPS:

  • la configurazione del sistema deve permettere il posizionamento sul dispositivo di un’icona che indichi che la funzionalità di localizzazione è attiva;
  • la configurazione del sistema deve consentire la disattivazione della funzionalità di localizzazione durante le pause consentite dell’attività lavorativa;
  • la configurazione del sistema deve permettere di oscurare la visibilità della posizione geografica decorso un periodo determinato di inattività dell’operatore sul monitor presente nella centrale operativa relativamente a tale funzionalità.

Alle suddette misure tecniche il Garante ha affiancato anche le seguenti misure organizzative:

  • l’individuazione di profili differenziati di autorizzazione relativi alle diverse tipologie di dati e di operazioni eseguibili;
  • l’individuazione di tempi di conservazione dei dati in concreto trattati tenendo conto delle finalità perseguite;
  • la predisposizione di rapporti per i clienti privi di qualunque riferimento che consenta l’identificazione di dipendenti;
  • la designazione quale responsabile esterno del trattamento del fornitore del software di localizzazione;
  • la predisposizione di periodiche verifiche di test sulla funzionalità e l’affidabilità dei parametri adottati, in vista della valutazione di eventuali falsi positivi o negativi effettuati dal sistema e la conseguente predisposizione di correttivi a tutela della qualità dei dati trattati.

Soggetti che hanno accesso ai dati GPS

Con riferimento ai soggetti che hanno accesso alle informazioni ricavate dal sistema di geolocalizzazione; sarà necessario distinguere due categorie:

  • Soggetti interni (alla figura del titolare) incaricati/designati al trattamento:

in questa categoria rientrano i dipendenti dell’azienda cha hanno accesso ai dati del sistema GPS; ossia chi all’interno dell’impresa utilizza e valuta quelle informazioni (esempio il personale incaricato della gestione della logistica e/o del magazzino, della gestione delle risorse umane, della manutenzione del parco veicoli). Il titolare del trattamento dovrà prevedere una nomina scritta, nei confronti di queste persone, con la quale gli conferisce l’accesso ai dati e le indicazioni circa il loro utilizzo.

  • Soggetti esterni (alla figura del titolare) Responsabili del trattamento nominati ex art. 28 GDPR:

allo stesso modo deve essere nominata “Responsabile del trattamento” la società o le società che forniscono il servizio di localizzazione e che gestiscono l’assistenza tecnica in caso di malfunzionamenti del sistema attraverso un nomina ex art. 28 GDPR.

Sanzioni

Le sanzioni sono previste dall’art. 38 dello Statuto dei Lavoratori per la violazione delle disposizioni in merito agli impianti audiovisivi e altri strumenti di controllo, prevede un’ammenda da € 154,00 a € 1.549,00 o l’arresto da 15 giorni ad un anno, salvo che il fatto non costituisca più grave reato.

A ciò potrebbero aggiungersi le sanzioni amministrative previste dal GDPR in merito al trattamento dei dati, nonché le sanzioni penali introdotte dal “nuovo” Codice Privacy (D. Lgs. 101/2018).

Il GDPR prevede:

  • sanzioni fino a 10.000.000 di euro o fino al 2% del fatturato mondiale annuo (dell’esercizio precedente) per le violazioni degli obblighi di cui agli artt. 8, 11, da 25 a 39, 42 e 43; e 41, paragrafo 4 GDPR.
  • sanzioni fino a 20.000.000 di euro – o fino al 4% del fatturato mondiale annuo per le violazioni dei principi di base del trattamento (art. 5, 6, 7 e 9 GDPR); violazione dei diritti degli interessati (art. 12-22 GDPR; per trasferimenti di dati (art. da 44 a 49 GDPR); per la violazione norma del capo IX GDPR; nonché per l’inosservanza di un ordine dell’autorità di controllo ad esempio, Garante privacy (art. 58 GDPR).