Il Garante Privacy ha sanzionato per 50.000 euro una ditta di autotrasporti, con circa 50 dipendenti i cui dati sarebbero stati trattati illecitamente mediante l’installazione di un sistema Gps sui veicoli aziendali (Way di TIM).
Il tutto è partito da un reclamo presentato da un ex dipendente che lamentava di non aver ricevuto un’adeguata informativa (ai sensi ex articolo 13 del Regolamento) e che l’installazione era avvenuta senza aver attivato la procedura di garanzia di cui all’articolo 4 della Legge 300/1970 (c.d. “statuto dei lavoratori”).
L’azienda era stata autorizzata dall’Ispettorato Territoriale del Lavoro di Cagliari-Oristano ad installare i dispositivi GPS per la tutela dei beni aziendali, per garantire la sicurezza sul lavoro e per esigenze organizzative e produttive, ma il Garante reputa l’informativa fornita inidonea.
Il Garante osserva che modalità di trattamento risultano eccedenti e non proporzionate rispetto agli scopi e alle finalità dichiarate, che possono essere legittimamente perseguite mediante il trattamento di informazioni più limitate; in particolare, la raccolta delle informazioni particolareggiate (tra cui la rilevazione della posizione anche durante la pausa dell’attività lavorativa) risulta idonea ad effettuare un monitoraggio continuo sull’attività dei dipendenti in violazione del principio di minimizzazione dei dati (art. 5, par. 1., lett. c) del Regolamento) che, invece, richiede che i dati raccolti siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. Tra l’altro, il Garante ha spesso ribadito che la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il conseguimento delle finalità legittimamente perseguite (v. provv. n. 396 del 28/06/2018, doc web n. 9023246).
Allo stesso modo, la conservazione dei dati raccolti per un esteso periodo di tempo (pari a 180 giorni) non è conforme ai principi di minimizzazione e di limitazione della conservazione (art. 5, par. 1, lett. c) ed e), del Regolamento). Infine, deve rilevarsi che le specifiche funzionalità del sistema di geolocalizzazione sopra descritte non sono conformi alle specifiche garanzie previste dall’autorizzazione rilasciata dall’ITL di Cagliari Oristano il 19/05/2021, in particolare per ciò che concerne alla rilevazione non continuativa del veicolo geolocalizzato, all’anonimizzazione dei dati raccolti, all’adozione di soluzioni tecnologiche che impediscano “l’eventuale trattamento di dati ultronei, non pertinenti o eccedenti le finalità perseguite dal titolare”.
In particolare il Garante nel Provvedimento 370 del 4 ottobre 2011 titolato “Sistemi di localizzazione dei veicoli nell’ambito del rapporto di lavoro, precisa che La disciplina di protezione dei dati personali non trova invece applicazione ove le informazioni concernenti la gestione del parco automezzi (quali quelle relative al consumo di carburante e commisurazione delle distanze percorse dai singoli veicoli, utilizzate di regola al fine di programmare un´efficiente manutenzione) siano trattate senza poter essere in alcun modo ricondotte ai lavoratori.
Nello stesso provvedimento si ha modo di leggere, in tema di pertinenza e non eccedenza dei dati Nel rispetto del principio di necessità (artt. 3 e 11, comma 1, lett. d), del Codice), la posizione del veicolo di regola non dovrebbe essere monitorata continuativamente dal titolare del trattamento, ma solo quando ciò si renda necessario per il conseguimento delle finalità legittimamente perseguite.
possono formare oggetto di trattamento, mediante sistemi opportunamente configurati (art. 3 del Codice), solo i dati pertinenti e non eccedenti: tali possono essere, oltre all´ubicazione del veicolo, la distanza percorsa, i tempi di percorrenza, il carburante consumato, nonché la velocità media del veicolo (restando riservata alle competenti autorità la contestazione di eventuali violazioni dei limiti di velocità fissati dal codice della strada).