GPS e monitoraggio dei lavoratori in Italia
cosa serve per essere a norma

• Accordo sindacale (RSA/RSU) o autorizzazione dell'Ispettorato del Lavoro, prima di installare il sistema

  Siobbligatorio

  Il GPS è uno strumento da cui può derivare un controllo a distanza dei lavoratori. L’art. 4 dello Statuto dei Lavoratori lo consente solo dopo accordo sindacale con RSA o RSU, oppure autorizzazione dell’Ispettorato Territoriale del Lavoro. Installare prima di questo passaggio, o usarlo in modo difforme da quanto autorizzato, è la strada più rapida verso la sanzione.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Rilevazione della posizione solo al timbro, senza monitoraggio continuo

  Siobbligatorio

  E il confine che separa la registrazione delle presenze dal controllo a distanza. Il Tribunale di Cosenza, con sentenza n. 972 del 1° luglio 2026, ha annullato una sanzione del Garante da 50.000 euro proprio perché il sistema registrava giorno, orario, coordinate e sede soltanto al momento della timbratura, senza consentire un monitoraggio continuo degli spostamenti: così configurato rientra fra gli strumenti di registrazione degli accessi e delle presenze dell'art. 4, comma 2. Attenzione, e una sentenza di primo grado e non una pronuncia della Cassazione, e non elimina gli altri obblighi. All'opposto, rilevare la posizione ogni sessanta secondi con visualizzazione in tempo reale e costato una sanzione a un'azienda sanitaria nel maggio 2026.

  Garante Privacy, Provvedimento n. 135 del 13 marzo 2025 (doc-web 10128005), annullato dal Tribunale di Cosenza con sentenza n. 972 del 1° luglio 2026

• Informativa scritta ai lavoratori, completa e veritiera (art. 13 GDPR)

  Siobbligatorio

  Il lavoratore deve sapere in modo chiaro e veritiero che viene geolocalizzato, come, quando e perché (art. 13 GDPR). Nel caso degli autotrasporti l’informativa c’era ma piena di incongruenze e refusi: per il Garante è come non averla.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Divieto di tracciamento continuo: posizione raccolta solo quando serve (minimizzazione)

  Siobbligatorio

  Seguire il mezzo h24, pause comprese, viola il principio di minimizzazione (art. 5 GDPR). La posizione si raccoglie quando serve a una finalità legittima, non per sapere sempre dov’è la persona. Il tracciamento continuo è uno dei motivi della sanzione da 50.000 € all’azienda di autotrasporti.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Uso dei dati per la sola finalità dichiarata, senza riuso per sanzioni disciplinari

  Siobbligatorio

  I dati di posizione vanno usati solo per la finalità per cui sono stati raccolti (art. 5 GDPR, limitazione della finalità). Riutilizzarli per un altro scopo, per esempio dati raccolti per documentare la prestazione e poi usati per avviare un procedimento disciplinare, e uno sviamento di finalità. Vale anche per il perimetro della raccolta: nel caso Pioneer il punteggio sullo stile di guida veniva calcolato anche sui viaggi privati e fuori orario, e i dati erano accessibili a personale di altre società del gruppo senza accordi ex art. 28.

  Garante Privacy, Provvedimento n. 755 del 18 dicembre 2025, n. 10213711 (Pioneer Hi-Bred Italia Sementi)

• Valutazione d'impatto sulla protezione dei dati (DPIA)

  Dipendesolo in certi casi

  Per un trattamento di questo tipo serve la DPIA (art. 35 GDPR), espressamente prevista dall'elenco allegato al Provvedimento del Garante n. 467 dell'11 ottobre 2018 per i sistemi tecnologici nel rapporto di lavoro, geolocalizzazione compresa. Va fatta prima di accendere il sistema: nel caso dell'azienda sanitaria ligure la valutazione mancante e finita tra le contestazioni.

  Garante Privacy, Provvedimento n. 382 del 28 maggio 2026, n. 10259916 (Azienda di Tutela della Salute per la Liguria)

• Conservazione dei dati limitata al tempo strettamente necessario

  Siobbligatorio

  I dati si tengono per il tempo necessario alla finalità, non "per sicurezza" a tempo indefinito. Nel caso degli autotrasporti la conservazione per 180 giorni ha contribuito alla sanzione.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Finalità legittima e dichiarata (organizzativa, di sicurezza, di tutela del patrimonio)

  Siobbligatorio

  Esigenze organizzative, di sicurezza o di tutela del patrimonio aziendale sono finalità legittime. Mai "controllare cosa fa il dipendente": è esattamente la cosa che l’art. 4 vieta.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Garante per la protezione dei dati personali

  https://www.garanteprivacy.it

  Verificato il 15 giugno 2026

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento n. 755 del 18 dicembre 2025, n. 10213711 (Pioneer Hi-Bred Italia Sementi)
• Garante Privacy, Provvedimento n. 382 del 28 maggio 2026, n. 10259916 (Azienda di Tutela della Salute per la Liguria)
• Garante Privacy, Provvedimento n. 135 del 13 marzo 2025 (doc-web 10128005), annullato dal Tribunale di Cosenza con sentenza n. 972 del 1° luglio 2026
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88

Questa e una risorsa informativa, non una consulenza legale. Prima di attivare un sistema di monitoraggio fai verificare la tua situazione da un professionista.