GPS e GDPR 2026: cosa deve sapere un titolare prima di scegliere un software

Scegliere un software GPS per la tua azienda non è solo una questione di funzionalità. Nel 2026, con le linee guida aggiornate del Garante Privacy e il GDPR pienamente operativo, la scelta sbagliata può trasformarsi in una sanzione. Questo articolo raccoglie le domande che ogni titolare dovrebbe fare prima di firmare un contratto con un fornitore di tracciamento GPS per dipendenti.

Non si tratta di burocrazia. Si tratta di sapere se ciò che installi ti protegge o ti espone. La differenza, nel concreto, vale migliaia di euro.

Cosa dice il GDPR sul tracciamento GPS dei dipendenti nel 2026

Il GDPR non vieta il GPS sui dipendenti — lo regola. Servono tre cose: una base giuridica valida (contratto o legittimo interesse documentato), un’informativa aggiornata che menzioni esplicitamente il GPS, e una politica di conservazione dei dati proporzionata alla finalità. Se il tuo software attuale non ti aiuta a rispettare questi tre punti, non è conforme.

Il Garante Privacy italiano ha sanzionato aziende che tracciavano continuativamente, conservavano i dati troppo a lungo o non informavano adeguatamente i lavoratori. Le sanzioni amministrative arrivano fino al 4% del fatturato globale annuo. Per una PMI con 2 milioni di fatturato, stiamo parlando di 80.000 euro.

Le 5 domande da fare al fornitore prima di scegliere

Prima: il GPS si attiva solo durante il turno o registra continuativamente? Un sistema che traccia le pause, il percorso casa-lavoro o i weekend è già fuori norma. Secondo: i dati di posizione vengono conservati per quanto tempo e con quali policy automatiche di cancellazione? Terzo: l’app genera documentazione GDPR-ready — informative, registro del trattamento, DPA — oppure te la lasci gestire da solo?

Quarto: il report prodotto è verificabile da terzi in modo indipendente, o è modificabile anche dopo la chiusura? Quinto: il fornitore ha un DPO o consulente privacy referenziato, oppure scarica ogni responsabilità sul cliente? Se non hai risposta a una di queste cinque domande, non hai abbastanza informazioni per scegliere.

La trappola del “abbiamo il consenso”

La risposta più frequente che sentiamo dai titolari è: “i dipendenti hanno firmato il consenso nel contratto”. Nel 2026 questa risposta non regge più davanti al Garante. In un rapporto di lavoro subordinato il consenso non è considerato libero — il lavoratore firma perché ha bisogno del lavoro, non perché ha davvero scelto. Il Garante lo sa e non lo accetta come base giuridica sufficiente per il tracciamento.

La base giuridica corretta è l’esecuzione del contratto (art. 6 lett. b GDPR) — ma solo se il GPS è strettamente necessario per eseguire il lavoro. Se usi il GPS per verificare dove sono i tuoi tecnici tra un intervento e l’altro, quella finalità va documentata formalmente, non semplicemente dichiarata in una clausola contrattuale standard.

Controllo a distanza vs certificazione del servizio: perché la distinzione è legalmente rilevante

L’art. 4 dello Statuto dei Lavoratori distingue tra strumenti di controllo a distanza (che richiedono accordo sindacale o autorizzazione dell’Ispettorato del Lavoro) e strumenti necessari allo svolgimento del lavoro (che non lo richiedono). Un GPS che serve a documentare l’esecuzione di un intervento presso un cliente rientra nella seconda categoria — ma solo se la finalità principale è la certificazione del lavoro svolto, non la vigilanza sul dipendente.

Questa distinzione si riflette direttamente sul tipo di software che scegli. Un sistema progettato per la certificazione degli interventi attiva il GPS solo all’apertura di ogni commessa e produce un report sigillato con posizione, orario e foto. Non traccia tra un intervento e l’altro, non registra percorsi e non monitora le pause. Dal punto di vista del Garante Privacy, è una categoria diversa.

Cosa controllare nella documentazione del fornitore

Chiedi al fornitore il Data Processing Agreement (DPA) — se non ce l’ha pronto, fermati. Il DPA è obbligatorio per legge ogni volta che un terzo tratta dati personali per conto tuo. Verifica che includa: la lista dei sub-responsabili (server, storage, analytics), i tempi di conservazione applicati, le misure di sicurezza e i canali per segnalare una violazione.

Controlla inoltre che il fornitore sia in grado di fornirti l’elenco completo dei trattamenti effettuati sui dati dei tuoi dipendenti — questo è il tuo diritto di accesso come titolare. Se il fornitore non può o non vuole fornirti questa trasparenza, stai trasferendo dati a un soggetto che non puoi controllare.

Cosa fare adesso

Se hai già un software GPS attivo, verifica subito: il GPS traccia solo durante l’orario di lavoro? I dipendenti sono stati informati in modo specifico? Hai un DPA firmato con il fornitore? Se una di queste risposte è “no” o “non so”, sei in una zona di rischio che vale la pena chiudere prima che arrivi un’ispezione.

La buona notizia è che adeguarsi non è complicato — richiede un software progettato con la compliance dentro, non aggiunta dopo. GeoTapp attiva il GPS solo all’apertura di ogni intervento e lo chiude con esso, produce report sigillati non modificabili, include tutta la documentazione GDPR e firma il DPA come responsabile del trattamento. Se vuoi vedere come funziona nel dettaglio, il flusso completo è qui — senza impegno.

Continua a leggere