Hai l’autorizzazione per il GPS sui dipendenti? Non basta

Dopo settimane di pratiche, l’autorizzazione dell’Ispettorato del Lavoro per il GPS sui mezzi finalmente arriva. La appendi vicino alla bacheca dei turni e tiri il fiato: ce l’ho fatta, sono a posto, da qui in poi posso stare tranquillo. È la stessa tranquillità di chi esce dalla motorizzazione con la patente nuova e crede di sapere già guidare.

Il problema è che quel foglio non è un salvacondotto. È un permesso, e un permesso dice solo che puoi entrare, non che dentro puoi fare quello che ti pare. La porta e la stanza sono due cose diverse, e tra le due ci passa la differenza tra sentirsi a norma ed esserlo davvero. È una distinzione che sembra una sottigliezza da avvocati, finché non arriva una sanzione a ricordarti che di sottile non ha niente.

Lo ha imparato nel modo più caro un’azienda di autotrasporto che il GPS lo aveva eccome, regolarmente autorizzato. Il Garante per la protezione dei dati personali, con un provvedimento del 16 gennaio 2025, le ha comminato una sanzione da 50.000 euro. Non per aver installato il sistema senza permesso, ma per come lo usava: la posizione dei mezzi tracciata in continuo, velocità, chilometri, stato del veicolo, ben oltre i limiti fissati proprio in quell’autorizzazione. L’ok dell’Ispettorato c’era, incorniciato e tutto. Le garanzie che doveva accompagnarlo, no.

Il permesso è il primo passo, non l’ultimo

La storia di quella multa è istruttiva perché è cominciata come tante: non da un’ispezione a sorpresa, ma dalla segnalazione di un ex dipendente. È un dettaglio che vale oro, perché racconta da dove arrivano davvero i guai. Non da un controllo casuale piovuto dal cielo, ma da qualcuno che ha lavorato lì, si è sentito spiato, se n’è andato e ha deciso di scrivere al Garante. Da lì il Nucleo privacy della Guardia di Finanza ha guardato dentro, e ha trovato un sistema che raccoglieva molto più del necessario, conservava posizioni che non servivano, e lasciava le persone all’oscuro di cosa stesse succedendo ai loro dati. L’autorizzazione, in tutto questo, non è servita a niente, perché l’autorizzazione non riguarda quei pezzi lì.

E qui sta il punto che sfugge a molti titolari in buona fede. L’ok dell’Ispettorato del Lavoro risponde a una sola domanda: puoi installare uno strumento da cui può derivare un controllo a distanza, sì o no? È l’articolo 4 dello Statuto dei Lavoratori che lo impone, e va benissimo averlo, anzi è obbligatorio. Ma una volta dentro, comincia un secondo capitolo che il foglio non copre: come tratti quei dati, quali raccogli e quali no, per quanto li tieni, e soprattutto cosa dici a chi ci finisce dentro. Quel capitolo lo scrive il GDPR, e ha un esattore diverso, il Garante, che non guarda se hai il permesso ma se hai rispettato necessità, proporzionalità e trasparenza. Due autorità, due domande diverse, e tu devi soddisfarle entrambe.

Cosa conta davvero, oltre il foglio

Le garanzie che fanno la differenza non sono misteriose, sono solo noiose, ed è per questo che vengono saltate. Conta raccogliere il minimo: la posizione serve a sapere che l’intervento è stato fatto in quel posto, non a ricostruire ora per ora dove è stata una persona. Conta non tracciare in continuo: un sistema che pinga la posizione tutto il giorno raccoglie una montagna di dati che non userai mai e che, il giorno che arriva una segnalazione, diventano la prova contro di te invece che a tuo favore. Conta cancellare quello che non serve più, invece di accumulare anni di tracce in un archivio che nessuno guarda finché non lo guarda il posto sbagliato. E conta, sopra ogni altra cosa, l’informativa: spiegare ai dipendenti, per iscritto e in modo comprensibile, cosa raccogli, perché, e per quanto.

Ti è mai capitato di avere il permesso in mano e di non aver mai scritto una riga di informativa ai tuoi? È più comune di quanto sembri, ed è esattamente il buco da cui passano le sanzioni. Il foglio dell’Ispettorato in quei casi non protegge: semmai dimostra che sapevi di stare maneggiando dati sensibili e che hai fermato l’attenzione al primo passaggio, quello burocratico, dimenticando tutto il resto. È come avere il porto d’armi e tenere la pistola carica sul tavolo della cucina: il pezzo di carta non ti assolve da come la usi.

C’è anche un equivoco di tempistica che frega in tanti. L’autorizzazione si ottiene una volta e si archivia, e da lì in poi sembra una cosa chiusa. Le garanzie invece sono un lavoro che continua: ogni volta che cambi sistema, aggiungi una funzione, assumi persone nuove, il quadro va aggiornato e l’informativa va rifatta. Chi tratta la conformità come un timbro preso e dimenticato si ritrova, anni dopo, con un sistema cresciuto a casaccio e un’informativa che parla di un’altra azienda.

Mettersi a posto sul serio

La buona notizia è che adeguarsi non vuol dire smontare tutto. Vuol dire scegliere strumenti pensati per raccogliere poco e dirlo chiaro, e accompagnarli con i documenti giusti. Un sistema che rileva la posizione solo nel momento della timbratura, all’ingresso e all’uscita, e mai nel mezzo, parte già con il piede giusto: raccoglie il minimo per natura, non per buona volontà, e quel minimo è esattamente quello che la legge chiede. Resta da fare la parte scritta, l’informativa che mette le persone al corrente, e lì un fac-simile pronto da compilare toglie l’alibi del non so da dove cominciare.

GeoTapp è stato messo a punto proprio così: la posizione si registra con un tocco a inizio e fine turno, e in mezzo non c’è tracciamento, perché la prova del lavoro non ha bisogno di pedinare nessuno. Il permesso te lo dà l’Ispettorato, le garanzie te le dai tu, e tra le due non c’è scorciatoia. Chi le tratta come un blocco unico, e le risolve davvero, smette di guardare la posta con la paura di trovarci una raccomandata del Garante.

Il foglio, quasi tutti ce l’hanno. L’informativa scritta ai dipendenti, quasi nessuno. Ed è sempre da quella riga mancante che il Garante comincia a guardare.