Geolocalizzazione Dipendenti e GDPR: Guida Legale per PMI [2025]

Molte aziende tracciano i dipendenti sul campo. Poche lo fanno in modo legalmente corretto.

Il Garante della Privacy ha già sanzionato imprese per sistemi di geolocalizzazione attivi senza informativa, senza consenso documentato, o con dati conservati oltre il necessario. Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato globale.

Il problema non è la tecnologia. È non sapere esattamente cosa ti è permesso fare, come documentarlo e come rispondere se qualcuno ti chiede conto.

Questa guida risponde alle domande che ogni titolare d’impresa dovrebbe farsi prima di attivare qualsiasi sistema di tracciamento.

Contenuti

È legale tracciare i dipendenti con il GPS?
Gli errori più comuni (e quelli che costano di più)
Il vero problema non è tracciare, ma dimostrarlo
Cosa fare adesso per essere in regola
Domande frequenti
È legale tracciare i dipendenti con il GPS?
Serve il consenso del dipendente?
Cosa succede se l’Ispettorato del Lavoro fa un controllo?
Il GPS conta come “controllo a distanza” ai sensi dell’art. 4 Statuto dei Lavoratori?
Posso usare i dati GPS per contestare un dipendente disciplinarmente?
Come Comunicare la Geolocalizzazione al Team Senza Creare Resistenze
Documentazione GDPR Pronta per Qualsiasi Verifica

È legale tracciare i dipendenti con il GPS?

Sì, ma con condizioni precise.

Il GDPR (Regolamento UE 2016/679) e il Codice Privacy italiano (D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018) non vietano la geolocalizzazione dei dipendenti. La consentono quando:

esiste una base giuridica valida (contratto di lavoro, legittimo interesse documentato, o consenso esplicito nei casi previsti)
il dipendente è informato in modo chiaro e preventivo — informativa ex art. 13 GDPR obbligatoria
i dati vengono trattati solo per le finalità dichiarate (verifica presenze sul campo, sicurezza, ottimizzazione operativa)
i dati non vengono conservati oltre il tempo strettamente necessario
il sistema rispetta il principio di minimizzazione: raccoglie solo ciò che serve, niente di più

Attenzione: il consenso del lavoratore, da solo, non è sufficiente se il rapporto di lavoro crea uno squilibrio di potere. Il Garante ha chiarito che in molti contesti la base giuridica corretta non è il consenso, ma l’esecuzione del contratto o il legittimo interesse — documentato e proporzionato.

Gli errori più comuni (e quelli che costano di più)

1. Informativa assente o generica
Non basta scrivere “utilizziamo GPS” nel contratto. L’informativa deve specificare finalità, base giuridica, tempi di conservazione, diritti dell’interessato.

2. Tracciamento continuo anche fuori orario
Il sistema che registra la posizione H24, incluso il tempo libero, è illegittimo. Il tracciamento deve essere limitato all’orario di lavoro e, dove possibile, disattivabile dal dipendente fuori servizio.

3. Mancata comunicazione alle RSA o all’Ispettorato
In molti casi, l’introduzione di sistemi di controllo a distanza richiede accordo sindacale o autorizzazione dell’Ispettorato del Lavoro (art. 4 Statuto dei Lavoratori). Saltare questo passaggio espone a sanzioni penali, non solo amministrative.

4. Dati usati per controllo disciplinare non dichiarato
Se usi i dati GPS per contestare ritardi o assenze senza averlo dichiarato nell’informativa, stai trattando i dati per una finalità diversa da quella comunicata. Violazione diretta del GDPR.

5. Conservazione dei dati senza limiti
I dati di posizione devono essere cancellati secondo una retention policy definita. “Li teniamo finché servono” non è una risposta accettabile in sede di controllo.

Stai usando un sistema di geolocalizzazione per i tuoi operatori sul campo?

GeoTapp è stato progettato per essere conforme al GDPR by design: traccia solo durante l’orario di lavoro, genera report non alterabili e non raccoglie dati non necessari.

Guarda come funziona →

Il vero problema non è tracciare, ma dimostrarlo

Molte aziende pensano che installare un’app GPS risolva tutto. Non è così.

Il GPS ti dice dove era un dipendente. Non ti dice cosa ha fatto. Non ti dà una prova che regge a una contestazione — del cliente, del dipendente, o di un ente di controllo.

Pensa a questi scenari concreti:

Un cliente dice che il servizio non è stato eseguito. Tu hai il GPS che mostra che l’operatore era lì. Lui dice che era fermo in macchina. Come lo dimostri?
Un dipendente contesta un richiamo disciplinare. Sostiene che era presente e stava lavorando. Tu hai solo una coordinata GPS. Non è abbastanza.
L’Ispettorato del Lavoro chiede documentazione sulle presenze degli ultimi sei mesi. I tuoi dati sono in un’app consumer senza export strutturato. Come rispondi?

La geolocalizzazione fine a sé stessa è un dato. Una prova verificabile è qualcosa di diverso: combina posizione GPS, timestamp, foto georeferenziate, firma digitale del report, tutto in un sistema che non puoi alterare dopo il fatto.

La differenza tra “ho tracciato” e “posso dimostrarlo” è quella che conta quando qualcosa va storto.

GeoTapp non sostituisce un’app GPS. Introduce un livello superiore: la certificazione del lavoro eseguito. Ogni intervento lascia una traccia che include dove, quando, chi, e cosa — verificabile, esportabile, difendibile.

Cosa fare adesso per essere in regola

Lista operativa, non teorica:

Verifica la tua informativa privacy — include la geolocalizzazione tra le finalità di trattamento? Ha base giuridica esplicita?
Controlla se serve accordo sindacale — se usi il GPS per controllo a distanza, l’art. 4 Statuto dei Lavoratori si applica
Definisci una retention policy — per quanto tempo conservi i dati di posizione? È scritto da qualche parte?
Assicurati che il sistema si disattivi fuori orario — o che almeno sia documentato il perché non lo fa
Prepara un registro dei trattamenti — obbligatorio per aziende con trattamento sistematico di dati dei dipendenti

Domande frequenti

È legale tracciare i dipendenti con il GPS?

Sì, a condizione che esista una base giuridica valida, che il dipendente sia informato tramite apposita informativa ex art. 13 GDPR, e che il tracciamento sia limitato all’orario di lavoro e alle finalità dichiarate. Non è automaticamente legale solo perché è scritto nel contratto.

Serve il consenso del dipendente?

Dipende. In molti contesti lavorativi il consenso non è la base giuridica corretta, perché il rapporto di subordinazione lo rende non libero. La base giuridica più appropriata è spesso l’esecuzione del contratto o il legittimo interesse dell’azienda, documentato e proporzionato.

Cosa succede se l’Ispettorato del Lavoro fa un controllo?

Deve trovare: informativa aggiornata, base giuridica documentata, eventuale accordo sindacale o autorizzazione (se il sistema è considerato controllo a distanza), retention policy definita, registro dei trattamenti aggiornato. In assenza di uno di questi elementi, le sanzioni vanno da avvertimenti formali a multa fino a 20 milioni di euro.

Il GPS conta come “controllo a distanza” ai sensi dell’art. 4 Statuto dei Lavoratori?

Dipende dall’uso. Se il sistema viene utilizzato anche per verificare l’adempimento della prestazione lavorativa — e non solo per finalità organizzative o di sicurezza — il Garante e la giurisprudenza tendono a considerarlo un sistema di controllo a distanza. In quel caso, serve accordo con le RSA o autorizzazione dell’Ispettorato.

Posso usare i dati GPS per contestare un dipendente disciplinarmente?

Solo se questa finalità è esplicitamente dichiarata nell’informativa e nella documentazione del sistema. Usare i dati per uno scopo diverso da quello comunicato è una violazione diretta del GDPR.

Vuoi un sistema che rispetta il GDPR e genera prove verificabili del lavoro eseguito?

GeoTapp è usato da imprese di pulizie, manutenzione e logistica per certificare ogni intervento sul campo — in modo legalmente difendibile.

Vedi come funziona GeoTapp →

Come Comunicare la Geolocalizzazione al Team Senza Creare Resistenze

La norma è una cosa; la cultura aziendale è un’altra. Anche con una policy GDPR perfettamente conforme, l’introduzione della geolocalizzazione può generare resistenza se non viene comunicata nel modo giusto. I dipendenti che temono la sorveglianza non sono irrazionali — hanno ragione a chiedersi come verranno usati i loro dati. Il modo in cui presenti il sistema determina se viene accettato serenamente o vissuto come un controllo oppressivo.

Il messaggio più efficace è quello che mette in primo piano i benefici per i dipendenti stessi. La timbratura GPS certifica le loro ore in modo oggettivo — nessuno può accusarli di ritardi inesistenti o di aver lasciato prima del dovuto. Il rapportino fotografico documenta il loro lavoro e li protegge da clienti che potrebbero contestare servizi effettivamente erogati. La privacy è garantita: il sistema registra la posizione solo nei momenti di timbratura, non monitora i movimenti tra un cantiere e l’altro.

Avere una policy di geolocalizzazione corretta non basta — devi anche essere in grado di dimostrarla in caso di controllo del Garante Privacy o di ricorso di un dipendente. Con GeoTapp, la documentazione necessaria è già integrata nel sistema. Il consenso informativo viene firmato digitalmente al momento dell’onboarding del dipendente e archiviato automaticamente. Il registro dei trattamenti si aggiorna in automatico. I dati di geolocalizzazione vengono conservati con i periodi di retention previsti dalla legge e cancellati automaticamente alla scadenza.

Non devi avere un DPO dedicato per gestire tutto questo — GeoTapp è stato progettato per le PMI che non hanno un ufficio legale interno. Le impostazioni predefinite sono già conformi al GDPR italiano, e il sistema produce automaticamente la documentazione che ti serve per dimostrare quella conformità. È la differenza tra essere conformi “sulla carta” e poterlo dimostrare in dieci minuti se qualcuno te lo chiede.

Continua a leggere