GPS e monitoraggio dei lavoratori in Italia: cosa serve per essere a norma

Cosa serve

Per ogni adempimento ti diciamo se serve in questo Paese: Si significa obbligatorio, Dipende solo in certi casi, No non richiesto.

• Accordo sindacale (RSA/RSU) o autorizzazione dell'Ispettorato del Lavoro, prima di installare il sistema

  Siobbligatorio

  Il GPS è uno strumento da cui può derivare un controllo a distanza dei lavoratori. L’art. 4 dello Statuto dei Lavoratori lo consente solo dopo accordo sindacale con RSA o RSU, oppure autorizzazione dell’Ispettorato Territoriale del Lavoro. Installare prima di questo passaggio, o usarlo in modo difforme da quanto autorizzato, è la strada più rapida verso la sanzione.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Informativa scritta ai lavoratori, completa e veritiera (art. 13 GDPR)

  Siobbligatorio

  Il lavoratore deve sapere in modo chiaro e veritiero che viene geolocalizzato, come, quando e perché (art. 13 GDPR). Nel caso degli autotrasporti l’informativa c’era ma piena di incongruenze e refusi: per il Garante è come non averla.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Divieto di tracciamento continuo: posizione raccolta solo quando serve (minimizzazione)

  Siobbligatorio

  Seguire il mezzo h24, pause comprese, viola il principio di minimizzazione (art. 5 GDPR). La posizione si raccoglie quando serve a una finalità legittima, non per sapere sempre dov’è la persona. Il tracciamento continuo è uno dei motivi della sanzione da 50.000 € all’azienda di autotrasporti.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Uso dei dati per la sola finalita dichiarata, senza riuso per sanzioni disciplinari

  Siobbligatorio

  I dati di posizione vanno usati solo per la finalita per cui sono stati raccolti. Riutilizzarli per un altro scopo (per esempio dati raccolti per verificare la sede di lavoro e poi usati per avviare un procedimento disciplinare) e uno sviamento di finalita, e il Garante lo colpisce sempre. E l'errore costato caro all'ente pubblico nel caso ARSAC.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Valutazione d'impatto sulla protezione dei dati (DPIA)

  Dipendesolo in certi casi

  Per un trattamento di questo tipo serve la DPIA (art. 35 GDPR) quando il rischio è elevato. Ometterla, come nel caso dell’ente pubblico, è di per sé una violazione.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Conservazione dei dati limitata al tempo strettamente necessario

  Siobbligatorio

  I dati si tengono per il tempo necessario alla finalità, non "per sicurezza" a tempo indefinito. Nel caso degli autotrasporti la conservazione per 180 giorni ha contribuito alla sanzione.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Finalita legittima e dichiarata (organizzativa, di sicurezza, di tutela del patrimonio)

  Siobbligatorio

  Esigenze organizzative, di sicurezza o di tutela del patrimonio aziendale sono finalità legittime. Mai "controllare cosa fa il dipendente": è esattamente la cosa che l’art. 4 vieta.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

La procedura, passo per passo

1. 1

   Completa la procedura dell’art. 4 prima, non dopo: accordo con le rappresentanze sindacali (RSA o RSU) oppure autorizzazione dell’Ispettorato Territoriale del Lavoro. Senza, sei fuori dal primo minuto.

2. 2

   Definisci una finalità legittima e dichiarata: esigenze organizzative, di sicurezza, di tutela del patrimonio aziendale. Mai "controllare cosa fa il dipendente".

3. 3

   Predisponi un’informativa completa e vera ai sensi dell’art. 13 GDPR: senza refusi, senza zone grigie.

4. 4

   Applica la minimizzazione: raccogli solo i dati che servono, solo quando servono. Niente tracciamento durante le pause, prevedi la possibilità di spegnimento.

5. 5

   Limita la conservazione: i dati si tengono per il tempo necessario alla finalità, non a tempo indefinito.

6. 6

   Svolgi la valutazione d’impatto (DPIA) quando il rischio è elevato (art. 35 GDPR).

7. 7

   Mantieni un solo scopo: i dati raccolti per una finalità non si riusano per sanzionare. Mai.

8. 8

   In caso di cambio sistema: se cambi sistema o software di monitoraggio, aggiorna e ri-consegna l’informativa, e verifica se va rinnovato l’accordo sindacale (art. 4) o l’autorizzazione dell’Ispettorato. Spesso cambiano fornitore (responsabile del trattamento), dati raccolti e modalità: quella firmata prima non basta.

A chi rivolgerti

Il modello da scaricare

Quanto si rischia

Fonti

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005
• Garante Privacy, newsletter del 29 gennaio 2026 (sanzione settore sementi)
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88