GPS en monitoring van werknemers in Italië: wat je nodig hebt om aan de regels te voldoen

Wat je nodig hebt

Voor elke verplichting vertellen we je of die in dit land geldt: Ja betekent verplicht, Hangt ervan af alleen in bepaalde gevallen, Nee niet vereist.

• Vakbondsovereenkomst (RSA/RSU) of toestemming van de Arbeidsinspectie, voordat het systeem wordt geïnstalleerd

  Javerplicht

  GPS is een instrument waaruit toezicht op afstand van werknemers kan voortvloeien. Artikel 4 van het Werknemersstatuut staat dit alleen toe na een vakbondsovereenkomst met de RSA of RSU, of toestemming van de Territoriale Arbeidsinspectie. Het installeren vóór deze stap, of het gebruiken op een andere manier dan toegestaan, is de snelste weg naar een sanctie.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Schriftelijke privacyverklaring aan werknemers, volledig en waarheidsgetrouw (artikel 13 AVG)

  Javerplicht

  De werknemer moet duidelijk en waarheidsgetrouw weten dat hij wordt gelokaliseerd, hoe, wanneer en waarom (artikel 13 AVG). In de zaak van het wegtransport bestond de verklaring wel, maar zat ze vol tegenstrijdigheden en typefouten: voor de Garante staat dat gelijk aan er geen hebben.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Verbod op continue tracking: locatie alleen verzameld wanneer nodig (minimalisatie)

  Javerplicht

  Het voertuig 24/7 volgen, pauzes inbegrepen, schendt het minimalisatiebeginsel (artikel 5 AVG). De locatie wordt verzameld wanneer ze een legitiem doel dient, niet om altijd te weten waar de persoon is. Continue tracking is een van de redenen voor de boete van 50.000 EUR aan het wegtransportbedrijf.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Gebruik van de gegevens uitsluitend voor het verklaarde doel, zonder hergebruik voor disciplinaire sancties

  Javerplicht

  Locatiegegevens mogen alleen worden gebruikt voor het doel waarvoor ze zijn verzameld. Ze hergebruiken voor een ander doel (bijvoorbeeld gegevens verzameld om de werkplek te controleren en vervolgens gebruikt om een disciplinaire procedure te starten) is een doelafwijking, en de Garante bestraft dat altijd. Het is de fout die het overheidsorgaan in de ARSAC-zaak duur kwam te staan.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Gegevensbeschermingseffectbeoordeling (DPIA)

  Het hangt ervan afalleen in bepaalde gevallen

  Voor een verwerking van dit type is een DPIA (artikel 35 AVG) vereist wanneer het risico hoog is. Deze weglaten, zoals in de zaak van het overheidsorgaan, is op zichzelf al een schending.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Bewaring van de gegevens beperkt tot de strikt noodzakelijke termijn

  Javerplicht

  De gegevens worden bewaard voor de tijd die nodig is voor het doel, niet "voor de zekerheid" voor onbepaalde tijd. In de zaak van het wegtransport droeg de bewaring gedurende 180 dagen bij aan de sanctie.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Legitiem en verklaard doel (organisatorisch, veiligheid, bescherming van het bedrijfsvermogen)

  Javerplicht

  Organisatorische behoeften, veiligheid of bescherming van het bedrijfsvermogen zijn legitieme doelen. Nooit "controleren wat de werknemer doet": dat is precies wat artikel 4 verbiedt.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

De procedure, stap voor stap

1. 1

   Voltooi de procedure van artikel 4 eerst, niet later: een overeenkomst met de vakbondsvertegenwoordigingen (RSA of RSU) of toestemming van de Territoriale Arbeidsinspectie. Zonder die ben je vanaf de eerste minuut buitenspel.

2. 2

   Bepaal een legitiem en verklaard doel: organisatorische behoeften, veiligheid, bescherming van het bedrijfsvermogen. Nooit "controleren wat de werknemer doet".

3. 3

   Stel een volledige en waarheidsgetrouwe privacyverklaring op conform artikel 13 AVG: zonder typefouten, zonder grijze gebieden.

4. 4

   Pas minimalisatie toe: verzamel alleen de gegevens die je nodig hebt, alleen wanneer je ze nodig hebt. Geen tracking tijdens pauzes, voorzie de mogelijkheid om het uit te schakelen.

5. 5

   Beperk de bewaring: de gegevens worden bewaard voor de tijd die nodig is voor het doel, niet voor onbepaalde tijd.

6. 6

   Voer de effectbeoordeling (DPIA) uit wanneer het risico hoog is (artikel 35 AVG).

7. 7

   Houd één enkel doel aan: gegevens die voor één doel zijn verzameld, worden niet hergebruikt om te sanctioneren. Nooit.

8. 8

   Bij een systeemwissel: als je van monitoringsysteem of -software verandert, werk de privacyverklaring bij en verstrek deze opnieuw, en controleer of de vakbondsovereenkomst (art. 4) of de toestemming van de Arbeidsinspectie moet worden vernieuwd. Leverancier (verwerker), verzamelde gegevens en methoden veranderen vaak: de eerder verstrekte volstaat niet.

Tot wie je je moet wenden

Het sjabloon om te downloaden

Wat je riskeert

Bronnen

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005
• Garante Privacy, newsletter del 29 gennaio 2026 (sanzione settore sementi)
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88