GPS et surveillance des salariés en Italie : ce qu'il faut pour être en règle

Ce qu'il vous faut

Pour chaque obligation, nous vous disons si elle s'applique dans ce pays : Oui signifie obligatoire, Cela dépend seulement dans certains cas, Non non requis.

• Accord syndical (RSA/RSU) ou autorisation de l'Inspection du travail, avant d'installer le système

  Ouiobligatoire

  Le GPS est un outil dont peut découler un contrôle à distance des travailleurs. L'article 4 du Statut des travailleurs ne l'autorise qu'après un accord syndical avec la RSA ou la RSU, ou une autorisation de l'Inspection territoriale du travail. L'installer avant cette étape, ou l'utiliser de façon différente de ce qui a été autorisé, est le chemin le plus rapide vers la sanction.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Information écrite aux travailleurs, complète et véridique (article 13 RGPD)

  Ouiobligatoire

  Le travailleur doit savoir de manière claire et véridique qu'il est géolocalisé, comment, quand et pourquoi (article 13 RGPD). Dans l'affaire du transport routier, l'information existait mais était pleine d'incohérences et de fautes de frappe : pour le Garante, c'est comme ne pas en avoir.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Interdiction du suivi continu : position collectée uniquement quand c'est nécessaire (minimisation)

  Ouiobligatoire

  Suivre le véhicule 24h/24, pauses comprises, viole le principe de minimisation (article 5 RGPD). La position est collectée quand elle sert une finalité légitime, non pour savoir en permanence où se trouve la personne. Le suivi continu est l'une des raisons de la sanction de 50 000 EUR infligée à l'entreprise de transport routier.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Utilisation des données uniquement pour la finalité déclarée, sans réutilisation à des fins de sanctions disciplinaires

  Ouiobligatoire

  Les données de position ne doivent être utilisées que pour la finalité pour laquelle elles ont été collectées. Les réutiliser à une autre fin (par exemple des données collectées pour vérifier le lieu de travail puis utilisées pour engager une procédure disciplinaire) constitue un détournement de finalité, et le Garante le sanctionne toujours. C'est l'erreur qui a coûté cher à l'organisme public dans l'affaire ARSAC.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Analyse d'impact relative à la protection des données (AIPD)

  Cela dépendseulement dans certains cas

  Pour un traitement de ce type, l'AIPD (article 35 RGPD) est requise lorsque le risque est élevé. L'omettre, comme dans l'affaire de l'organisme public, constitue en soi une violation.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Conservation des données limitée à la durée strictement nécessaire

  Ouiobligatoire

  Les données sont conservées le temps nécessaire à la finalité, et non "par sécurité" pour une durée indéterminée. Dans l'affaire du transport routier, la conservation pendant 180 jours a contribué à la sanction.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Finalité légitime et déclarée (organisationnelle, de sécurité, de protection du patrimoine)

  Ouiobligatoire

  Les besoins d'organisation, de sécurité ou de protection du patrimoine de l'entreprise sont des finalités légitimes. Jamais "contrôler ce que fait le salarié" : c'est exactement ce que l'article 4 interdit.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

La procédure, étape par étape

1. 1

   Achevez d'abord la procédure de l'article 4, pas après : un accord avec les représentations syndicales (RSA ou RSU) ou une autorisation de l'Inspection territoriale du travail. Sans cela, vous êtes hors-jeu dès la première minute.

2. 2

   Définissez une finalité légitime et déclarée : besoins d'organisation, de sécurité, de protection du patrimoine de l'entreprise. Jamais "contrôler ce que fait le salarié".

3. 3

   Préparez une information complète et véridique au sens de l'article 13 RGPD : sans fautes de frappe, sans zones grises.

4. 4

   Appliquez la minimisation : ne collectez que les données nécessaires, uniquement quand elles sont nécessaires. Pas de suivi pendant les pauses, prévoyez la possibilité de désactivation.

5. 5

   Limitez la conservation : les données sont conservées le temps nécessaire à la finalité, et non pour une durée indéterminée.

6. 6

   Réalisez l'analyse d'impact (AIPD) lorsque le risque est élevé (article 35 RGPD).

7. 7

   Tenez-vous à une seule finalité : les données collectées pour une finalité ne sont pas réutilisées pour sanctionner. Jamais.

8. 8

   En cas de changement de système : si vous changez de système ou de logiciel de surveillance, mettez à jour et remettez l’information, et vérifiez si l’accord syndical (art. 4) ou l’autorisation de l’Inspection du travail doit être renouvelé. Le fournisseur (sous-traitant), les données collectées et les modalités changent souvent : celle remise auparavant ne suffit pas.

À qui vous adresser

Le modèle à télécharger

Ce que vous risquez

Sources

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005
• Garante Privacy, newsletter del 29 gennaio 2026 (sanzione settore sementi)
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88