Privacy dei dipendenti e sistemi di geolocalizzazione: le regole da rispettare per evitare sanzioni

Il Garante della Privacy, con il provvedimento n. 585/2026, richiama l’attenzione delle imprese sulla corretta gestione delle richieste di accesso ai dati personali dei lavoratori e sugli obblighi informativi connessi ai sistemi di geolocalizzazione. La mancata osservanza delle regole può dare luogo all’irrogazione di rilevanti sanzioni economiche. A cosa occorre fare attenzione?

La normativa sulla privacy e sui diritti dei lavoratori relativi all’accesso ai propri dati personali, sempre più si interfaccia con situazioni, abbastanza consolidate, nel mondo del lavoro, ma che richiedono una attenzione sempre maggiore da parte di chi nelle imprese si occupa della gestione del personale.Ne è palese testimonianza il provvedimento n. 585 del Garante per la privacy del 6 agosto 2026 che, comminando una sanzione di 39.000 euro all’impresa, ha affrontato due diversi aspetti che concernono sia la fase di contestazione nel procedimento disciplinare ex art. 7 della legge n. 300/1970 che l’accordo sindacale sui mezzi di video sorveglianza ex art. 4, comma 1, della medesima legge.Ma andiamo con ordine.La vicendaDurante la fase procedurale relativa alla possibile irrogazione di due sanzioni disciplinari, il lavoratore aveva chiesto per iscritto, per poter dimostrare la infondatezza degli addebiti, l’accesso alla documentazione da cui era scaturita la contestazione, ivi compresi i dati ricavati dal Gps installato sull’autovettura aziendale dallo stesso utilizzata. L’impresa aveva ritenuto di non rispondere, basandosi anche sul fatto che nella fase procedimentale di contestazione non sussisteva alcun obbligo per la stessa finalizzato a far conoscere al dipendente l’origine dei fatti da cui nasceva la contestazione. Tale ragionamento appare corretto nella logica procedimentale dell’art. 7 della legge n. 300/1970, ove il datore di lavoro, in caso di giudizio, documenta al giudice le ragioni della propria scelta producendo tutti gli atti che l’hanno originata o ai membri del collegio arbitrale ex art. 7, comma 6, qualora le parti abbiano concordato nel definire la propria controversia a tale organo. Tra le altre cose, appare opportuno sottolineare come, nella richiesta presentata al datore, il lavoratore non aveva, assolutamente, fatto esplicito riferimento alla normativa sul diritto di accesso, in quanto soggetto interessato al trattamento dei dati. La richiesta riguardava, genericamente, la volontà di prendere visione ed ottenere copia di tutta la documentazione inerente alla contestazione disciplinare.L’intervento del GaranteIl Garante, con il proprio provvedimento sanzionatorio, la pensa in maniera diversa, ritenendo primario il diritto di accesso ai dati personali, pur se la richiesta non era stata presentata adoperando la specifica terminologia.Il datore deve esaminare, secondo il Garante, la richiesta, fornendo, necessariamente una risposta. Se ritiene di non accoglierla, la deve motivare e deve indicare all’interessato la possibilità di ricorrere al “Garante per la protezione dei dati personali” o alla magistratura.Il Garante, alla luce dell’art. 15 del Regolamento UE n. 2016/279, del D.L.vo n. 196/2003, come modificato dal D.L.vo n. 101/2018 e delle linee guida n. 1/2022, afferma che il GDPR non richiede requisiti particolari per quel che concerne la richiesta di accesso ai dati personali da parte dell’interessato e non spetta al titolare del trattamento alcun tipo di valutazione essendo lo stesso obbligato a fornire alla persona informazioni sufficienti, trasparenti e facilmente accessibili in merito al trattamento dei loro dati personali.Il provvedimento dell’ “Authority” ha una importanza, soprattutto per la consistenza dell’apparato sanzionatorio, per tutte le aziende che, non valutando, nel concreto, la richiesta di un lavoratore, possono trovarsi a violare gli articoli 12 e 15 del GDPR: ciò significa che, ogni richiesta di accesso non va valutata soltanto secondo i canoni che riguardano gli istituti che regolano le disposizioni sulla materia lavoro ma anche considerando sia il GDPR che, le linee guida, che i provvedimenti emanati.La seconda questione trattata nel provvedimento ha riguardato la geolocalizzazione: il datore di lavoro, ricorrendo una delle condizioni previste dall’art. 4 della legge n. 300/1970 (la tutela del patrimonio aziendale) aveva sottoscritto con le organizzazioni sindacali un accordo che aveva consentito di installare dispositivi Gps sui veicoli della società. Ricordo, per inciso, che il comma 1 consente l’installazione di impianti o di altri strumenti da cui derivi la possibilità di controllo a distanza dei lavoratori, per esigenze tecnico produttive, per la sicurezza sul lavoro e, appunto, per la tutela del patrimonio aziendale, previo accordo con le RSU o la RSA. In mancanza di accordo l’installazione deve essere preceduta da una autorizzazione dell’Ispettorato del Lavoro, competente per territorio.L’accordo con le rappresentanze sindacali, ha affermato il Garante, era perfettamente valido ma l’impresa non aveva fornito ai dipendenti una specifica informativa sulla privacy in violazione dell’art. 13 del Regolamento. La circostanza che il sistema non associasse il tracciato del Gps al nome del dipendente non portava ad escludere il trattamento dei dati personali, atteso che era possibile associare l’automezzo al dipendente che lo utilizzava.A cosa devono fare attenzione le impreseDa quanto emerso mi sembra necessario sottolineare l’esistenza di due percorsi che si incontrano e che vanno tenuti presenti dai datori di lavoro: quello lavoristico da gestire correttamente (vedi accordo sindacale e nel primo caso contestato, procedura disciplinare ex art. 7 della legge n. 300/1970), e quello sul diritto di accesso che va, sempre gestito in maniera autonoma anche quando la risposta all’istanza dell’interessato è negativa.Si tratta di questioni da tenere sempre in evidenza, per non incorrere in sanzioni pecuniarie particolarmente consistenti che, in alcuni casi gravi, hanno un limite che è rappresentato nel 4% del fatturato.Copyright © - Riproduzione riservata

Per accedere a tutti i contenuti senza limiti abbonati a IPSOA Quotidiano Premium 1 anno € 118,90 (€ 9,90 al mese) Acquista Primi 3 mesi € 19,90 poi € 35,90 ogni 3 mesi Acquista Sei già abbonato ? Accedi

Fonte: https://www.ipsoa.it/documents/quotidiano/2026/10/19/privacy-dipendenti-sistemi-geolocalizzazione-regole-rispettare-evitare-sanzioni