GDPR e Privacy: Geolocalizzazione, Tracciamento e Normativa

Introduzione

Una flotta aziendale con 50 veicoli commerciali. Smartphone aziendali per venditori esterni. Tablet per tecnici che intervengono su cantieri remoti. Ogni giorno migliaia di aziende gestiscono lavoratori che operano fuori sede, in mobilità, con strumenti che potrebbero raccogliere dati di posizione. E la domanda ricorrente è sempre la stessa: posso tracciare?

La risposta non è semplice come sembra. Due recenti provvedimenti del Garante Privacy - uno del gennaio 2025 su un’azienda di autotrasporti, l’altro del marzo 2025 su un ente pubblico in smart working - hanno chiarito con precisione chirurgica dove passa il confine tra controllo lecito e violazione. 50.000€ di sanzione per ciascuna società. Prescrizioni correttive immediate. Pubblicazione dei provvedimenti sul sito del Garante.

La geolocalizzazione non è vietata. Ma richiede un percorso di conformità strutturato: base giuridica documentata, valutazione d’impatto privacy (DPIA), informativa trasparente ai lavoratori, configurazioni tecniche proporzionate, accordo con le rappresentanze sindacali o autorizzazione dell’Ispettorato del Lavoro. Chi installa un GPS sulla flotta aziendale pensando che sia sufficiente una clausola nel contratto di lavoro sta costruendo una violazione. E quando arriva l’ispezione o il reclamo di un dipendente, il costo della non conformità è molto più alto della compliance.

In questo articolo troverai il quadro normativo completo (GDPR, Statuto dei Lavoratori, legge sul lavoro agile), l’analisi dettagliata dei due casi 2025 sanzionati dal Garante, i requisiti tecnici e organizzativi da rispettare, e la checklist operativa per verificare se il tuo sistema è conforme.

Tempo di lettura: 12 minuti

Sommario

1. Geolocalizzazione dei lavoratori: cosa dice la legge
2. GDPR e dati di localizzazione: quando sono “personali”
3. Marzo 2025: il caso dello smart working sanzionato con 50.000€
4. Gennaio 2025: il caso delle flotte aziendali (autotrasporti)
5. Quando la geolocalizzazione è lecita: i tre presupposti
6. I requisiti tecnici e organizzativi per la conformità
7. Alternative meno invasive al tracciamento continuo
8. Sanzioni e responsabilità: cosa rischia chi sbaglia
9. FAQ - Geolocalizzazione e Privacy
10. Il prossimo passo

1. Geolocalizzazione dei lavoratori: cosa dice la legge

La geolocalizzazione è l’identificazione della posizione geografica di una persona, un veicolo o un oggetto attraverso tecnologie GPS, celle telefoniche, Wi-Fi o altri sistemi di tracciamento. Nel contesto lavorativo, significa sapere dove si trova un dipendente durante l’orario di lavoro. Una capacità tecnica che può servire per gestire la logistica, tutelare la sicurezza del personale, proteggere il patrimonio aziendale. Ma anche per monitorare costantemente ogni spostamento di chi lavora.

Il quadro normativo che regola questi trattamenti è stratificato. Tre fonti principali si intrecciano:

GDPR (Regolamento UE 2016/679): i dati di geolocalizzazione sono dati personali, perché permettono - direttamente o indirettamente - di identificare una persona fisica. L’art. 5 stabilisce che ogni trattamento deve essere lecito, corretto, trasparente, limitato alle finalità dichiarate, minimizzato (solo i dati strettamente necessari), conservato per il tempo adeguato, protetto con misure di sicurezza appropriate. L’art. 6 richiede una base giuridica valida: nel rapporto di lavoro, il consenso del dipendente non è considerato libero, quindi non è una base utilizzabile. Serve invece il legittimo interesse del titolare (lett. f), ma solo se bilanciato rispetto ai diritti del lavoratore. L’art. 35 prevede l’obbligo di DPIA (valutazione d’impatto) per trattamenti che comportano rischi elevati per i diritti e le libertà delle persone - e la geolocalizzazione rientra espressamente nella lista pubblicata dal Garante Privacy nell’ottobre 2018.

Statuto dei Lavoratori (L. 300/1970, art. 4): il testo attuale, modificato dal Jobs Act, vieta l’uso di impianti audiovisivi e altri strumenti di controllo a distanza dell’attività dei lavoratori. Gli strumenti dai quali deriva anche indirettamente la possibilità di controllo possono essere installati solo se ricorrono esigenze organizzative e produttive, sicurezza del lavoro, o tutela del patrimonio aziendale. E solo previo accordo collettivo con le rappresentanze sindacali o, in mancanza, autorizzazione dell’Ispettorato Territoriale del Lavoro. Accordo o autorizzazione devono specificare le modalità d’uso degli strumenti e le garanzie per i lavoratori.

Legge sul lavoro agile (L. 81/2017, art. 18 e 21): il lavoro agile è una modalità di esecuzione del rapporto di lavoro subordinato priva di vincoli di orario o luogo, caratterizzata da flessibilità organizzativa e valutazione per obiettivi. L’art. 21 prevede che il datore di lavoro garantisca la salute e la sicurezza del lavoratore anche in modalità agile, ma nel rispetto delle disposizioni vigenti in materia di privacy, libertà e dignità del lavoratore. Tradotto: la sicurezza non giustifica automaticamente la geolocalizzazione.

La norma, quindi, dice questo: tracciare si può, ma con un percorso definito. La geolocalizzazione non è libera e non dipende dalla volontà del datore di lavoro. Serve una finalità tassativa tra quelle previste dall’art. 4 Statuto Lavoratori, servono garanzie per i lavoratori, serve una procedura formale che coinvolga le rappresentanze o l’autorità pubblica.

2. GDPR e dati di localizzazione: quando sono “personali”

Un dispositivo GPS installato su un veicolo aziendale raccoglie dati personali? La risposta del Garante Privacy è netta: sì, anche quando il sistema non mostra direttamente il nome del conducente sullo schermo. Quello che conta è la possibilità di identificazione, anche indiretta.

Se un veicolo è associato a una targa, e quella targa può essere collegata ai turni di lavoro, ai tachigrafi, ai piani di trasporto o ad altre informazioni disponibili al datore di lavoro, il lavoratore è identificabile. Non serve che il dato mostri immediatamente “Mario Rossi alle coordinate X, Y”. Basta che il titolare del trattamento possa, combinando i dati in suo possesso, risalire alla persona. E questo rientra nella definizione di dato personale ex art. 4 GDPR.

La Cassazione, con sentenza n. 3462 del 16 febbraio 2026, ha confermato questo principio in un caso che riguardava un’impresa che utilizzava sistemi di geolocalizzazione su veicoli aziendali. Il titolare sosteneva che il sistema GPS non identificasse direttamente il conducente. La Corte ha respinto la difesa, rilevando che la possibilità di collegare la targa del mezzo ai turni o ad altre informazioni in possesso del datore rende i dati di localizzazione idonei a identificare, anche indirettamente, il lavoratore, e quindi dati personali. Identificabilità indiretta = dato personale. Dato personale = applicazione integrale del GDPR.

Quali dati di geolocalizzazione sono considerati personali?

Coordinate GPS: latitudine e longitudine in tempo reale o registrate nel tempo

Tracciato storico: sequenza di posizioni che ricostruisce gli spostamenti

Indirizzi visitati: luoghi di origine, destinazione, soste

Orari di transito: timestamp dei passaggi in punti specifici

Velocità e percorsi: informazioni telematiche sul comportamento di guida

Dati di geofencing: notifiche automatiche quando un dispositivo entra/esce da aree predefinite

Tutti questi dati, se collegabili a un individuo, sono dati personali. E il loro trattamento deve rispettare i principi GDPR: liceità, minimizzazione, trasparenza, sicurezza, limitazione della conservazione.

Attenzione a un punto specifico: il GDPR richiede che l’interessato (il lavoratore) sia informato in modo trasparente su quali dati vengono raccolti, per quali finalità, per quanto tempo, chi vi accede. Un’informativa generica (“installiamo dispositivi per motivi di sicurezza”) non è sufficiente. Il Garante ha sanzionato più volte aziende che fornivano informative vaghe, incomplete, con refusi, senza indicare le modalità concrete di funzionamento del sistema di tracciamento.

3. Marzo 2025: il caso dello smart working sanzionato con 50.000€

Provvedimento Garante Privacy n. 135 del 13 marzo 2025. Un’azienda regionale per lo sviluppo agricolo geolocalizzava circa 100 dipendenti in smart working per verificare che si trovassero fisicamente all’indirizzo dichiarato nell’accordo individuale di lavoro agile. La modalità di controllo: chiamate a campione da parte dell’Ufficio controlli, con richiesta al dipendente di attivare la geolocalizzazione del PC o dello smartphone tramite un’app di timbratura, e dichiarazione immediata via email del luogo esatto in cui si trovava in quel momento.

Il Garante ha dichiarato il trattamento illecito su tutti i fronti:

1. Assenza di base giuridica valida. L’azienda sosteneva che il trattamento fosse necessario per garantire la sicurezza del lavoratore e la riservatezza dei dati aziendali (evitare chiamate da ambienti promiscui, connessioni Wi-Fi aperte). Il Garante ha respinto la giustificazione: la sicurezza si tutela con istruzioni operative, formazione, misure tecniche (VPN, protezione endpoint), non con la geolocalizzazione. Il controllo della posizione geografica del dipendente non è proporzionato rispetto alla finalità di sicurezza informatica.
2. Violazione dello Statuto dei Lavoratori. Il lavoro agile, per definizione (L. 81/2017, art. 18), è una modalità di esecuzione del rapporto di lavoro priva di vincoli rigidi di orario o luogo. Si basa sulla flessibilità e sulla valutazione per obiettivi. Tracciare la posizione del dipendente per verificare che si trovi esattamente dove ha dichiarato di lavorare contrasta con la natura stessa del lavoro agile e configura un controllo diretto, vietato dall’art. 4 Statuto Lavoratori. L’art. 4 consente il controllo a distanza solo per esigenze organizzative, produttive, di sicurezza o tutela del patrimonio, previo accordo sindacale o autorizzazione ITL. Nel caso specifico, nessuna di queste condizioni era soddisfatta.
3. Trattamento sproporzionato e non minimizzato. L’applicazione di timbratura poteva rilevare la posizione con precisione geografica puntuale. Un dato eccessivo rispetto allo scopo dichiarato. Per verificare il rispetto di eventuali vincoli di località nello svolgimento del lavoro agile, non è comunque ammesso un controllo basato sulla geolocalizzazione della posizione puntuale del lavoratore, secondo quanto affermato dal Garante nel provvedimento del 13 marzo 2025. Il tracciamento puntuale a richiesta, con coordinate precise, supera ampiamente il principio di minimizzazione (art. 5 par. 1 lett. c GDPR).
4. Mancata DPIA. Il Garante, con provvedimento dell’11 ottobre 2018, ha inserito espressamente nella lista delle tipologie di trattamento che richiedono valutazione d’impatto i sistemi che prevedono “videosorveglianza e geolocalizzazione nell’ambito del rapporto di lavoro”. L’azienda non aveva condotto alcuna DPIA. Violazione dell’art. 35 GDPR.
5. Uso dei dati per fini disciplinari. L’azienda aveva avviato procedimenti disciplinari nei confronti di alcuni dipendenti sulla base dei dati di geolocalizzazione raccolti. Il Garante ha precisato che i dati raccolti in violazione del GDPR e dello Statuto Lavoratori non possono essere utilizzati per ulteriori trattamenti, nemmeno se previsti dal contratto di lavoro. Un dato raccolto illecitamente resta illecito in ogni suo utilizzo successivo.

Sanzione applicata: 50.000€. Obbligo di interrompere immediatamente il trattamento di geolocalizzazione. Obbligo di fornire ai dipendenti una nuova informativa completa e conforme. Pubblicazione dell’ordinanza-ingiunzione sul sito del Garante come misura accessoria.

4. Gennaio 2025: il caso delle flotte aziendali (autotrasporti)

Provvedimento Garante Privacy n. 7 del gennaio 2025. Un’azienda di autotrasporti aveva installato dispositivi GPS su una cinquantina di veicoli commerciali. Il sistema consentiva di visualizzare in tempo reale la posizione dei mezzi, registrava i tragitti, memorizzava i dati di telemetria (velocità, soste, accensione/spegnimento motore). Il conducente era identificabile attraverso l’associazione della targa del veicolo ai turni di lavoro.

Violazioni accertate:

1. Informativa inidonea. L’informativa fornita ai lavoratori non specificava che venivano raccolti dati di geolocalizzazione in modo continuativo. Non indicava la durata della conservazione dei dati. Non spiegava chi poteva accedere alle informazioni di localizzazione. Conteneva refusi e formulazioni incoerenti. L’art. 13 GDPR richiede un’informativa chiara, trasparente, completa. Un testo generico o confuso equivale all’assenza di informativa.
2. Raccolta eccessiva di dati. Il sistema registrava la posizione dei veicoli in modo continuativo, 24 ore su 24, anche durante le pause pranzo, le soste personali, i momenti in cui il motore era spento. Violazione del principio di minimizzazione (art. 5 par. 1 lett. c GDPR). Il Garante ha specificato che la geolocalizzazione, se necessaria per motivi organizzativi o di sicurezza, deve essere limitata all’orario di lavoro effettivo. Fuori dall’orario di lavoro, il sistema deve essere disattivabile o configurato per non raccogliere dati.
3. Conservazione sproporzionata. I dati di geolocalizzazione venivano conservati per 180 giorni. Il Garante ha ritenuto questo periodo eccessivo rispetto alle finalità dichiarate (gestione logistica, sicurezza mezzi, tutela patrimonio). Un termine più ragionevole, a seconda delle finalità specifiche, è stato individuato dal Garante in un ordine di grandezza compreso, in via generale, tra circa 30 e 90 giorni, salvo motivate esigenze ulteriori. Conservare dati per sei mesi senza una giustificazione documentata viola l’art. 5 par. 1 lett. e GDPR (limitazione della conservazione).
4. Controllo a distanza oltre l’autorizzazione ITL. L’azienda aveva ottenuto l’autorizzazione dell’Ispettorato Territoriale del Lavoro per installare i dispositivi GPS. Tuttavia, l’autorizzazione specificava modalità e garanzie precise: possibilità di visualizzazione della posizione solo da parte di soggetti autorizzati, disattivazione durante le pause, pseudonimizzazione dei dati. L’implementazione concreta del sistema non rispettava le prescrizioni dell’autorizzazione. Il Garante ha ribadito che ottenere l’autorizzazione ex art. 4 Statuto Lavoratori non esime dal rispettare le condizioni indicate nell’autorizzazione stessa e dal conformarsi al GDPR.

Sanzione applicata: 50.000€. Ordine di adeguare il sistema GPS alle prescrizioni contenute nell’autorizzazione ITL. Obbligo di fornire ai lavoratori un’informativa conforme all’art. 13 GDPR.

5. Quando la geolocalizzazione è lecita: i tre presupposti

La geolocalizzazione dei lavoratori è ammessa se ricorrono contemporaneamente tre condizioni:

1. Finalità tassativa prevista dall’art. 4 Statuto Lavoratori

   La geolocalizzazione può essere utilizzata solo per: - Esigenze organizzative e produttive: coordinamento delle attività, ottimizzazione dei percorsi, gestione della logistica. Esempio: un’azienda di trasporto merci che deve assegnare in tempo reale le consegne ai mezzi più vicini. - Sicurezza del lavoro: protezione della salute e dell’incolumità dei lavoratori che operano in condizioni di rischio o isolamento. Esempio: tecnici che intervengono su impianti in aree montane o tecnici che lavorano da soli in contesti industriali pericolosi. - Tutela del patrimonio aziendale: protezione di veicoli, macchinari, merci trasportate. Esempio: flotta di veicoli commerciali con sistema antifurto collegato al GPS.

   Non è una finalità ammissibile: monitorare la produttività del dipendente, verificare che non faccia pause non autorizzate, controllare gli spostamenti per accertare eventuali utilizzi personali del mezzo. Queste sono forme di controllo diretto dell’attività lavorativa, vietate dall’art. 4.

2. Accordo sindacale o autorizzazione Ispettorato del Lavoro

   L’art. 4 Statuto Lavoratori richiede, per l’installazione di strumenti dai quali derivi la possibilità di controllo a distanza, un accordo collettivo stipulato con le rappresentanze sindacali unitarie (RSU) o con le rappresentanze sindacali aziendali (RSA). In mancanza di accordo, è necessaria l’autorizzazione dell’Ispettorato Territoriale del Lavoro competente per territorio.

   L’accordo o l’autorizzazione devono specificare: - Le modalità d’uso degli strumenti - Le garanzie a tutela dei lavoratori (es. disattivazione fuori orario, accesso limitato ai dati, pseudonimizzazione) - Le finalità precise per cui il sistema viene installato

   Non basta una generica “autorizzazione all’uso di dispositivi GPS”. Serve un documento che descriva in dettaglio come funziona il sistema, chi accede ai dati, quali misure tecniche vengono adottate per tutelare la riservatezza dei lavoratori.

3. Conformità al GDPR

   Oltre all’accordo sindacale o all’autorizzazione ITL, il trattamento deve rispettare i principi GDPR: - Base giuridica valida: nel contesto lavorativo, il legittimo interesse del titolare (art. 6 par. 1 lett. f) può essere una base giuridica, se bilanciato rispetto ai diritti del lavoratore. Il bilanciamento deve essere documentato (es. nella DPIA). - Informativa trasparente: i lavoratori devono ricevere un’informativa dettagliata ex art. 13 GDPR, che specifichi quali dati vengono raccolti, con quali modalità, per quanto tempo, chi vi accede, come vengono protetti. L’informativa deve essere chiara, comprensibile, accessibile. - DPIA obbligatoria: il trattamento di dati di geolocalizzazione nell’ambito del rapporto di lavoro rientra nelle tipologie per cui il Garante ha previsto l’obbligo di valutazione d’impatto (provvedimento 11 ottobre 2018, punto 5). La DPIA deve analizzare i rischi per i diritti e le libertà dei lavoratori, descrivere le misure di mitigazione adottate, documentare il bilanciamento tra esigenze aziendali e tutela della privacy. - Minimizzazione: raccogliere solo i dati strettamente necessari per le finalità dichiarate. Se lo scopo è la sicurezza del lavoratore isolato, può essere sufficiente un sistema di SOS con geolocalizzazione attivata solo su richiesta, non un tracciamento continuativo. - Limitazione della conservazione: i dati devono essere cancellati o anonimizzati al termine del periodo necessario per le finalità del trattamento. La prassi consolidata indica periodi di conservazione tra 30 e 90 giorni per finalità organizzative, salvo obblighi di legge specifici (es. tempi di prescrizione per contestazioni disciplinari documentate). - Sicurezza: implementare misure tecniche e organizzative adeguate per proteggere i dati (accesso limitato, crittografia, log degli accessi, pseudonimizzazione ove possibile).

    

6. I requisiti tecnici e organizzativi per la conformità

Installare un sistema GPS conforme significa progettare la soluzione tecnica tenendo conto, fin dall’inizio, delle prescrizioni normative. Privacy by design e privacy by default (art. 25 GDPR). Ecco i principali requisiti operativi:

1. 1. A) Configurazione del sistema
   • Disattivazione fuori orario di lavoro: il dispositivo GPS deve poter essere spento, messo in stand-by o configurato per non raccogliere dati al di fuori dell’orario di lavoro contrattuale. Durante le pause pranzo, i permessi, le ferie, il week-end, il sistema non deve tracciare.
   • Visualizzazione limitata: solo i soggetti autorizzati (es. responsabile logistica, responsabile sicurezza) devono poter accedere ai dati di geolocalizzazione. L’accesso deve essere tracciato (log degli accessi, audit trail).
   • Pseudonimizzazione: quando possibile, sostituire dati direttamente identificativi (es. nome e cognome del conducente) con codici alfanumerici o identificativi non immediatamente riconducibili alla persona. La tabella di corrispondenza tra codici e identità deve essere protetta e accessibile solo a soggetti autorizzati.
   • Granularità dei dati: se lo scopo è verificare che un tecnico sia arrivato su un cantiere, può essere sufficiente registrare l’ingresso/uscita da un’area geografica ampia (geofence), senza tracciare ogni spostamento interno. Se lo scopo è ottimizzare i percorsi della flotta, può essere sufficiente registrare i punti di partenza/arrivo e le soste principali, senza memorizzare la traccia GPS continua.
   1. B) Informativa ai lavoratori

      L’informativa ex art. 13 GDPR deve essere specifica e deve includere: - Identità e dati di contatto del titolare del trattamento e del DPO (se nominato) - Finalità del trattamento (sicurezza, logistica, tutela patrimonio) - Base giuridica (legittimo interesse bilanciato + accordo sindacale/autorizzazione ITL) - Descrizione delle modalità di funzionamento del sistema GPS: quali dati vengono raccolti, con quale frequenza, se il tracciamento è continuativo o attivato a richiesta - Destinatari dei dati (chi può visualizzare le informazioni di geolocalizzazione) - Durata della conservazione - Diritti dell’interessato (accesso, rettifica, cancellazione, opposizione, portabilità, reclamo al Garante) - Indicazione della DPIA effettuata (facoltativa, ma aumenta la trasparenza)

      L’informativa deve essere consegnata a ogni lavoratore prima dell’inizio del trattamento. Non è sufficiente affiggere un avviso in bacheca o inserire una clausola generica nel contratto di lavoro.

   1. C) Valutazione d’impatto privacy (DPIA)

      La DPIA è in linea generale necessaria per i trattamenti di geolocalizzazione effettuati nell’ambito del rapporto di lavoro, in quanto rientrano tra quelli individuati dal Garante come soggetti a valutazione d’impatto. Deve contenere: - Descrizione sistematica del trattamento (quali dati, quali tecnologie, quali finalità) - Valutazione della necessità e proporzionalità del trattamento rispetto alle finalità - Analisi dei rischi per i diritti e le libertà dei lavoratori (es. rischio di controllo pervasivo, rischio di accesso non autorizzato ai dati, rischio di utilizzo dei dati per finalità diverse) - Descrizione delle misure di mitigazione dei rischi (disattivazione fuori orario, pseudonimizzazione, accesso limitato, conservazione limitata, formazione del personale autorizzato) - Conclusione: il trattamento è conforme al GDPR e allo Statuto Lavoratori, oppure richiede modifiche ulteriori

      La DPIA va aggiornata ogni volta che cambiano le modalità di trattamento (es. aggiornamento del software GPS, estensione del sistema a nuovi veicoli o dipendenti).

   1. D) Registro delle attività di trattamento

      Il trattamento di geolocalizzazione deve essere annotato nel registro ex art. 30 GDPR, con indicazione di: - Finalità del trattamento - Categorie di interessati (lavoratori esterni, tecnici, autisti) - Categorie di dati (coordinate GPS, indirizzi, orari, tracciati storici) - Categorie di destinatari (responsabile logistica, responsabile sicurezza) - Eventuali trasferimenti extra-UE (es. se il fornitore del sistema GPS ha server fuori Europa) - Termini di conservazione previsti - Descrizione delle misure di sicurezza

   1. E) Nomina del responsabile del trattamento (se applicabile)

      Se il sistema GPS è fornito da un fornitore esterno che ha accesso ai dati di geolocalizzazione (es. piattaforma SaaS di fleet management), quel fornitore deve essere nominato responsabile del trattamento ex art. 28 GDPR. La nomina avviene tramite contratto scritto che specifica obblighi e responsabilità del fornitore (es. non utilizzare i dati per proprie finalità, implementare misure di sicurezza adeguate, assistere il titolare in caso di richieste di accesso da parte dei lavoratori, notificare eventuali data breach).

7. Alternative meno invasive al tracciamento continuo

Non sempre la geolocalizzazione è l’unico modo per raggiungere l’obiettivo. Esistono modalità meno invasive che possono garantire sicurezza, logistica efficiente e tutela del patrimonio senza monitorare costantemente ogni spostamento del lavoratore.

Geolocalizzazione on-demand (attivazione su richiesta): Il dispositivo GPS non trasmette continuamente la posizione, ma solo quando il lavoratore preme un pulsante SOS o quando l’azienda richiede la posizione per una specifica necessità (es. assegnazione urgente di un intervento). Fuori da questi momenti, il sistema non raccoglie dati. Utile per tecnici che lavorano in zone remote o isolate, dove la sicurezza è una priorità.

Geofencing con zone ampie: Invece di tracciare ogni spostamento, il sistema rileva solo quando un veicolo entra o esce da aree geografiche predefinite (es. cantiere, deposito, zona di competenza). Permette di verificare che il tecnico sia arrivato a destinazione senza memorizzare il percorso effettuato. Riduce drasticamente la quantità di dati raccolti.

Timbratura con coordinate: Il lavoratore effettua una timbratura da app (check-in/check-out) che registra la posizione solo in quel momento specifico. Il resto dell’orario di lavoro non viene tracciato. Utile per verificare la presenza su cantiere o presso clienti, senza controllo continuativo.

Dashboard condivise di avanzamento: Per i lavoratori in smart working o con autonomia organizzativa, strumenti di project management (Asana, Trello, Monday) che permettono di monitorare l’avanzamento delle attività senza tracciare la posizione fisica. Il controllo si sposta sui risultati, non sul luogo da cui si lavora.

Report periodici: Il lavoratore redige report settimanali o quindicinali che documentano le attività svolte, i clienti visitati, i risultati raggiunti. Non c’è tracciamento automatico, ma un’auto-rendicontazione che responsabilizza il dipendente e fornisce al datore di lavoro le informazioni necessarie per la gestione.

8. Sanzioni e responsabilità: cosa rischia chi sbaglia

Le sanzioni previste per la violazione del GDPR in materia di geolocalizzazione possono essere molto pesanti. Il Garante Privacy applica sanzioni amministrative pecuniarie che possono arrivare fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente (art. 83 GDPR). Nella prassi recente, per violazioni relative alla geolocalizzazione dei lavoratori, sono state irrogate sanzioni nell’ordine di decine di migliaia di euro (ad es. 20.000-50.000€ in diversi casi decisi dal Garante).

Violazioni GDPR sanzionabili:

Violazione	Sanzione GDPR	Riferimento normativo
Mancata informativa o informativa inidonea	Fino a 10 milioni € o 2% fatturato	Art. 13, 83 par. 4 GDPR
Assenza di base giuridica valida	Fino a 20 milioni € o 4% fatturato	Art. 6, 83 par. 5 GDPR
Trattamento sproporzionato (violazione minimizzazione)	Fino a 20 milioni € o 4% fatturato	Art. 5 par. 1 lett. c, 83 par. 5 GDPR
Mancata DPIA obbligatoria	Fino a 10 milioni € o 2% fatturato	Art. 35, 83 par. 4 GDPR
Conservazione eccessiva dei dati	Fino a 20 milioni € o 4% fatturato	Art. 5 par. 1 lett. e, 83 par. 5 GDPR
Mancata adozione di misure di sicurezza	Fino a 10 milioni € o 2% fatturato	Art. 32, 83 par. 4 GDPR

Oltre alle sanzioni pecuniarie, il Garante può disporre: - Prescrizioni correttive: obbligo di adeguare il trattamento entro un termine perentorio (es. 30-60 giorni) - Limitazione temporanea o divieto di trattamento: in caso di violazioni gravi, il Garante può vietare l’uso del sistema GPS fino all’adeguamento - Pubblicazione del provvedimento: nei casi più gravi, l’ordinanza-ingiunzione viene pubblicata sul sito del Garante, con impatto reputazionale per l’azienda

Violazioni Statuto Lavoratori:

L’art. 4 Statuto Lavoratori prevede che l’installazione di impianti audiovisivi e altri strumenti di controllo senza accordo sindacale o autorizzazione ITL costituisce violazione della normativa giuslavoristica. Le conseguenze includono: - Diffida dell’Ispettorato del Lavoro: obbligo di rimuovere i dispositivi o di ottenere l’autorizzazione - Sanzioni amministrative: previste dall’art. 38 Statuto Lavoratori - Inutilizzabilità dei dati raccolti: i dati ottenuti in violazione dell’art. 4 non possono essere utilizzati per contestazioni disciplinari, licenziamenti, valutazioni del personale - Responsabilità penale: in casi estremi, l’installazione di dispositivi di controllo occulto può configurare reati come le interferenze illecite nella vita privata (art. 615-bis c.p.)

FAQ - Geolocalizzazione e Privacy

1. Posso installare GPS sui veicoli aziendali senza chiedere nulla ai sindacati?

No. L’art. 4 Statuto Lavoratori richiede un accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato Territoriale del Lavoro. Installare dispositivi GPS senza questa procedura è una violazione che espone a sanzioni sia ex Statuto Lavoratori sia ex GDPR. Attenzione però: l’accordo sindacale o l’autorizzazione ITL sono condizioni necessarie ma non sufficienti. Devi comunque rispettare il GDPR (informativa, DPIA, minimizzazione, sicurezza).

2. Il consenso del dipendente è sufficiente per tracciarlo?

No. Nel contesto lavorativo, il consenso del lavoratore non è considerato libero, perché il rapporto di lavoro è per natura squilibrato. Il lavoratore potrebbe acconsentire per timore di ripercussioni, non per volontà genuina. Per questo motivo, il consenso (art. 6 par. 1 lett. a GDPR) non è una base giuridica utilizzabile. Serve invece il legittimo interesse bilanciato (art. 6 par. 1 lett. f), combinato con l’accordo sindacale o l’autorizzazione ITL.

3. Quanto tempo posso conservare i dati di geolocalizzazione?

Dipende dalla finalità specifica. Per esigenze organizzative (gestione logistica, coordinamento), la prassi e gli orientamenti del Garante indicano periodi di conservazione contenuti (ad es. alcune decine di giorni), mentre per finalità di sicurezza (es. ricostruzione di un incidente) può essere giustificato un periodo più esteso, purché adeguatamente motivato. Periodi pari a 180 giorni sono stati ritenuti sproporzionati in specifici provvedimenti, salvo diverse e documentate esigenze. Il Garante ha sanzionato conservazioni di 180 giorni ritenendole sproporzionate.

4. Posso usare i dati GPS per contestazioni disciplinari?

Solo se i dati sono stati raccolti lecitamente e se l’uso disciplinare rientra nelle finalità dichiarate nell’informativa. Se hai installato il GPS per motivi di sicurezza o logistica, non puoi utilizzare i dati per sanzionare un dipendente che fa pause non autorizzate o devia dal percorso. L’uso disciplinare deve essere previsto fin dall’inizio, documentato nella DPIA, e deve rispettare l’art. 4 Statuto Lavoratori. Attenzione però: secondo il Garante, l’uso dei dati di geolocalizzazione a fini disciplinari è ammesso solo se i dati sono stati raccolti rispettando integralmente le prescrizioni dell’art. 4 (accordo sindacale/autorizzazione ITL) e del GDPR. Dati raccolti in violazione non possono essere utilizzati, nemmeno a fini disciplinari.

5. La DPIA è obbligatoria o facoltativa?

Obbligatoria. Il Garante Privacy, con provvedimento dell’11 ottobre 2018, ha inserito espressamente nella lista delle tipologie di trattamento che richiedono valutazione d’impatto i sistemi di “videosorveglianza e geolocalizzazione nell’ambito del rapporto di lavoro”. Non condurre la DPIA è una violazione dell’art. 35 GDPR, sanzionabile fino a 10 milioni di euro o 2% del fatturato.

6. Devo informare i lavoratori prima di installare il GPS?

Sì. L’informativa ex art. 13 GDPR deve essere fornita prima dell’inizio del trattamento. Non è sufficiente informare dopo che il sistema è già operativo. L’informativa deve essere chiara, completa, specifica: quali dati vengono raccolti, con quali modalità, per quanto tempo, chi vi accede, quali sono le finalità, quali diritti hanno i lavoratori. Non basta un avviso generico in bacheca. Ogni lavoratore deve ricevere l’informativa individualmente (es. consegna a mano con firma per presa visione, invio via email aziendale con conferma di lettura).

7. Posso tracciare i dipendenti in smart working per verificare che lavorino da casa?

No. Il Garante Privacy, con provvedimento del marzo 2025, ha sanzionato con 50.000€ un’azienda che geolocalizzava dipendenti in smart working per verificare la corrispondenza tra luogo dichiarato e posizione reale. Il lavoro agile si basa sulla flessibilità e sulla valutazione per obiettivi. Tracciare la posizione del dipendente contrasta con la natura del lavoro agile e configura un controllo diretto, vietato. Alternative lecite: report periodici, riunioni di allineamento, dashboard condivise di avanzamento progetti.

8. Se ottengo l’autorizzazione dell’Ispettorato del Lavoro, sono automaticamente conforme al GDPR?

No. L’autorizzazione ITL soddisfa i requisiti dell’art. 4 Statuto Lavoratori, ma non sostituisce gli obblighi GDPR. Devi comunque: fornire l’informativa ex art. 13 GDPR, condurre la DPIA, adottare misure di minimizzazione e sicurezza, rispettare i termini di conservazione proporzionati. L’autorizzazione ITL e la conformità GDPR sono due livelli di compliance separati e cumulativi.

9. Posso pseudonimizzare i dati per evitare problemi di privacy?

La pseudonimizzazione è una misura di sicurezza utile, ma non elimina gli obblighi GDPR. Un dato pseudonimizzato resta un dato personale se il titolare del trattamento può comunque risalire alla persona (es. attraverso una tabella di corrispondenza tra codici e identità). Tuttavia, la pseudonimizzazione riduce i rischi e dimostra l’attenzione alla privacy by design. Va documentata nella DPIA e nell’informativa.

10. Cosa succede se un dipendente reclama al Garante?

Il Garante avvia un’istruttoria. Richiede documentazione all’azienda (accordo sindacale o autorizzazione ITL, informativa, DPIA, configurazione del sistema GPS, registro trattamenti). Può disporre ispezioni tramite la Guardia di Finanza - Nucleo Speciale Tutela Privacy e Frodi Tecnologiche. Se accerta violazioni, emette un provvedimento con sanzioni pecuniarie, prescrizioni correttive, eventuale divieto di trattamento. L’ordinanza-ingiunzione può essere pubblicata sul sito del Garante. Il dipendente può anche avviare un contenzioso civile per risarcimento danni.

Il prossimo passo

La geolocalizzazione dei lavoratori non è un tabù, ma nemmeno un diritto automatico del datore di lavoro. È uno strumento che la legge ammette, con finalità precise, garanzie documentate, percorsi di autorizzazione formali. I provvedimenti del Garante Privacy del 2025 hanno alzato l’asticella della compliance: le aziende che tracciano senza adeguarsi alle prescrizioni normative rischiano sanzioni pesanti, prescrizioni immediate, danno reputazionale.

Se la tua azienda utilizza sistemi GPS su veicoli, smartphone, tablet, o sta valutando di installarne, il prossimo passo è una verifica strutturata di conformità:

1. Verifica la base giuridica: hai un accordo sindacale o un’autorizzazione ITL? È aggiornato? Descrive in dettaglio le modalità d’uso del sistema?
2. Controlla l’informativa: i lavoratori hanno ricevuto un’informativa completa ex art. 13 GDPR? Specifica quali dati vengono raccolti, con quale frequenza, per quanto tempo?
3. Conduci o aggiorna la DPIA: la valutazione d’impatto è obbligatoria. Deve documentare i rischi, le misure di mitigazione, il bilanciamento tra esigenze aziendali e tutela della privacy.
4. Configura il sistema: verifica che il GPS possa essere disattivato fuori orario, che l’accesso ai dati sia limitato ai soggetti autorizzati, che i dati siano pseudonimizzati ove possibile.
5. Definisci i termini di conservazione: i dati devono essere cancellati al termine del periodo necessario. Non conservare dati “per ogni evenienza” senza una ragione documentata.
6. Nomina il responsabile del trattamento: se il fornitore del sistema GPS accede ai dati, deve essere nominato responsabile ex art. 28 GDPR con contratto scritto.

Per una consulenza personalizzata sulla conformità del tuo sistema di geolocalizzazione, contatta il team SILAQ.
silaq.store/contattaci | Tel: +39 02 250 341

Disclaimer

Il presente articolo ha finalità informativa e non costituisce consulenza legale. La normativa in materia di privacy e lavoro è soggetta a evoluzioni giurisprudenziali e interpretative. Per valutazioni specifiche sul proprio caso aziendale, si raccomanda di rivolgersi a un consulente specializzato in diritto del lavoro e protezione dati personali.

Ultimo aggiornamento: 08/05/2026

Redazione SILAQ - Team Formazione e Compliance