GPS y control de los trabajadores en Italia: qué hace falta para cumplir la normativa

Qué necesitas

Para cada obligación te decimos si se aplica en este país: Sí significa obligatorio, Depende solo en ciertos casos, No no exigido.

• Acuerdo sindical (RSA/RSU) o autorización de la Inspección de Trabajo, antes de instalar el sistema

  Síobligatorio

  El GPS es una herramienta de la que puede derivar un control a distancia de los trabajadores. El artículo 4 del Estatuto de los Trabajadores solo lo permite tras un acuerdo sindical con la RSA o la RSU, o una autorización de la Inspección Territorial de Trabajo. Instalarlo antes de este paso, o usarlo de forma distinta a lo autorizado, es el camino más rápido hacia la sanción.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Información escrita a los trabajadores, completa y veraz (artículo 13 RGPD)

  Síobligatorio

  El trabajador debe saber de forma clara y veraz que está siendo geolocalizado, cómo, cuándo y por qué (artículo 13 RGPD). En el caso del transporte por carretera la información existía, pero estaba llena de incongruencias y erratas: para el Garante es como no tenerla.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Prohibición del seguimiento continuo: ubicación recogida solo cuando es necesario (minimización)

  Síobligatorio

  Seguir el vehículo las 24 horas, pausas incluidas, viola el principio de minimización (artículo 5 RGPD). La ubicación se recoge cuando sirve a una finalidad legítima, no para saber siempre dónde está la persona. El seguimiento continuo es uno de los motivos de la sanción de 50.000 EUR a la empresa de transporte por carretera.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Uso de los datos solo para la finalidad declarada, sin reutilización para sanciones disciplinarias

  Síobligatorio

  Los datos de posición deben usarse solo para la finalidad para la que se recogieron. Reutilizarlos con otro fin (por ejemplo, datos recogidos para verificar el lugar de trabajo y luego usados para iniciar un procedimiento disciplinario) es una desviación de finalidad, y el Garante siempre la sanciona. Es el error que le salió caro al organismo público en el caso ARSAC.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Evaluación de impacto relativa a la protección de datos (EIPD)

  Dependesolo en ciertos casos

  Para un tratamiento de este tipo se requiere la EIPD (artículo 35 RGPD) cuando el riesgo es elevado. Omitirla, como en el caso del organismo público, es de por sí una infracción.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Conservación de los datos limitada al tiempo estrictamente necesario

  Síobligatorio

  Los datos se conservan durante el tiempo necesario para la finalidad, no "por seguridad" de forma indefinida. En el caso del transporte por carretera, la conservación durante 180 días contribuyó a la sanción.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Finalidad legítima y declarada (organizativa, de seguridad, de protección del patrimonio)

  Síobligatorio

  Las necesidades organizativas, de seguridad o de protección del patrimonio de la empresa son finalidades legítimas. Nunca "controlar lo que hace el empleado": es exactamente lo que prohíbe el artículo 4.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

El procedimiento, paso a paso

1. 1

   Completa el procedimiento del artículo 4 antes, no después: un acuerdo con las representaciones sindicales (RSA o RSU) o una autorización de la Inspección Territorial de Trabajo. Sin ello, estás fuera desde el primer minuto.

2. 2

   Define una finalidad legítima y declarada: necesidades organizativas, de seguridad, de protección del patrimonio de la empresa. Nunca "controlar lo que hace el empleado".

3. 3

   Prepara una información completa y veraz conforme al artículo 13 RGPD: sin erratas, sin zonas grises.

4. 4

   Aplica la minimización: recoge solo los datos que necesitas, solo cuando los necesitas. Sin seguimiento durante las pausas, prevé la posibilidad de apagado.

5. 5

   Limita la conservación: los datos se conservan durante el tiempo necesario para la finalidad, no de forma indefinida.

6. 6

   Realiza la evaluación de impacto (EIPD) cuando el riesgo es elevado (artículo 35 RGPD).

7. 7

   Mantén una sola finalidad: los datos recogidos para una finalidad no se reutilizan para sancionar. Nunca.

8. 8

   En caso de cambio de sistema: si cambias de sistema o software de monitorización, actualiza y vuelve a entregar la información, y comprueba si debe renovarse el acuerdo sindical (art. 4) o la autorización de la Inspección de Trabajo. A menudo cambian el proveedor (encargado del tratamiento), los datos recogidos y las modalidades: la entregada antes no basta.

A quién dirigirte

La plantilla para descargar

A qué te expones

Fuentes

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005
• Garante Privacy, newsletter del 29 gennaio 2026 (sanzione settore sementi)
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88