Garante Privacy e geolocalizzazione dipendenti 2026: le linee guida che evitano le sanzioni

Il Garante Privacy ha precisato più volte le regole sulla geolocalizzazione dei dipendenti — eppure la maggior parte dei titolari non le conosce davvero. Non per mancanza di interesse, ma perché sono scritte in un linguaggio che sembra fatto apposta per confondere. Questo articolo traduce quello che conta, senza giri di parole.

Immagina di ricevere una PEC. Mittente: Garante per la Protezione dei Dati Personali. Oggetto: avvio di procedimento istruttorio. È il momento in cui qualsiasi titolare con operatori sul campo vorrebbe aver letto qualcosa prima di installare quell’app di tracciamento. La sanzione non arriva mai il giorno che ti aspetti — arriva sempre quando hai smesso di preoccuparti.

Contenuti

Cosa dice esattamente il Garante Privacy sulla geolocalizzazione dei dipendenti
I tre errori che portano alle sanzioni
Cosa serve concretamente per essere in regola
La distinzione che quasi nessuno considera: controllo vs certificazione
Cosa fare adesso

Cosa dice esattamente il Garante Privacy sulla geolocalizzazione dei dipendenti

Il Garante Privacy italiano ha chiarito la sua posizione in più provvedimenti: tracciare i dipendenti con il GPS è lecito, ma solo in presenza di una base giuridica specifica, di una finalità dichiarata e di un’informativa trasparente. Non basta “avere il consenso” — in un rapporto di lavoro il consenso è quasi sempre considerato non libero, quindi invalido ai fini del GDPR.

La base giuridica corretta è di solito l’esecuzione del contratto (art. 6 lett. b GDPR) o il legittimo interesse del titolare (art. 6 lett. f) — ma quest’ultimo richiede una valutazione formale che quasi nessuna PMI ha mai redatto. Il Garante lo sa, e lo controlla.

I tre errori che portano alle sanzioni

Il primo è tracciare continuativamente. Il Garante Privacy ha specificato che la geolocalizzazione deve avvenire solo durante l’orario di lavoro e solo nella misura necessaria alla finalità dichiarata. Un’app che registra la posizione ogni 30 secondi per tutto il turno — pause incluse — non è conforme. Non perché la frequenza sia vietata in assoluto, ma perché va dimostrato che quella frequenza è proporzionata allo scopo.

Il secondo è non informare i lavoratori in modo adeguato. L’informativa non può essere un allegato al contratto firmato il giorno dell’assunzione e poi dimenticato in un cassetto. Deve spiegare cosa viene tracciato, per quanto tempo i dati vengono conservati e chi vi accede. “Usiamo un’app GPS” non è un’informativa — è una frase.

Il terzo — ed è quello che costa di più — è conservare i dati di geolocalizzazione più del necessario. Il Garante ha indicato che i dati GPS dei dipendenti devono essere cancellati quando non servono più alla finalità che ne giustificava la raccolta. Tenerli indefinitamente “per sicurezza” è una violazione che in sede di ispezione emerge sempre.

Cosa serve concretamente per essere in regola

Prima di installare qualsiasi sistema di tracciamento GPS servono tre cose. Una base giuridica documentata e specifica per il tuo caso — non generica. Un’informativa ai lavoratori aggiornata che menzioni esplicitamente il GPS, le finalità, i tempi di conservazione e i diritti degli interessati. E una politica di retention: quanto tempo tieni i log di posizione e perché quella durata è proporzionata alla finalità dichiarata.

Se usi il GPS per verificare che gli operatori siano presso i clienti, una conservazione ragionevole è quella necessaria a gestire eventuali contestazioni — tipicamente 12-24 mesi. Se lo usi solo per ottimizzare percorsi in tempo reale, potresti non avere alcuna ragione per conservare dati storici oltre qualche settimana.

C’è poi la questione dell’art. 4 dello Statuto dei Lavoratori: se i tuoi dipendenti rientrano nelle tutele sindacali, l’installazione di strumenti di controllo a distanza richiede accordo sindacale o autorizzazione dell’Ispettorato del Lavoro. Il GPS rientra in queste tutele quando la sua finalità principale è il controllo — non quando è uno strumento accessorio al lavoro stesso.

La distinzione che quasi nessuno considera: controllo vs certificazione

Il Garante Privacy fa una distinzione molto netta che nella pratica viene quasi sempre ignorata: tracciare per controllare è diverso da tracciare per certificare. La prima finalità attira le sanzioni — è il controllo a distanza che richiede il percorso lungo, con accordo sindacale, informative rafforzate e minimizzazione spinta dei dati. La seconda è la certificazione del lavoro svolto: documentare che l’operatore era presente in quel luogo, a quell’ora, per quella commessa.

Chi traccia per certificare — con sistemi che attivano il GPS solo all’apertura di un intervento e lo disattivano alla chiusura, producendo un report sigillato — ha basi giuridiche più solide, informative più semplici e rischi sanzionatori molto più bassi. È una differenza che cambia tutto: la finalità dichiarata non è “controllare dove va il dipendente”, ma “documentare che il servizio è stato eseguito”. Il Garante Privacy tratta le due cose in modo completamente diverso.

Questo principio è particolarmente rilevante per settori ad alta densità di contestazioni contrattuali, come le app per imprese di pulizie e il facility management: ogni cantiere deve essere documentabile verso il committente, e la certificazione GPS-fotografie-orario risolve allo stesso tempo il problema GDPR e quello delle dispute sul servizio.

Cosa fare adesso

Se stai usando un’app GPS senza aver aggiornato le informative e senza aver documentato la base giuridica, sei già fuori norma. Non è una questione di malafede — è che la maggior parte degli strumenti sul mercato ti dà il tracciamento e ti lascia gestire da solo le implicazioni legali. Nessuno ti segnala il problema finché non arriva l’ispezione.

La soluzione non è smettere di tracciare — è tracciare nel modo giusto. Con una finalità dichiarata che sia la certificazione del servizio, con un sistema che attivi il GPS solo durante l’intervento, con dati conservati per il tempo necessario e non oltre. Questo è il modello che regge davanti al Garante Privacy.

GeoTapp è progettato con questa logica: il GPS si attiva quando l’operatore apre un intervento e si chiude con esso, producendo un report sigillato con posizione, orario e prove fotografiche. La base giuridica è la certificazione del servizio, non il controllo. Le informative per i dipendenti sono incluse nella documentazione. Se vuoi vedere come funziona in pratica, questa pagina mostra il flusso completo — senza impegno.

Continua a leggere