Ordinanza ingiunzione o revoca n. 755 del 18/12/2025

Origine dell’istruttoria e oggetto del trattamento

Il procedimento nasce da un reclamo ex art. 77 GDPR relativo all’installazione, sui veicoli aziendali assegnati ai dipendenti, di un sistema telematico satellitare capace di rilevare comportamenti di guida e attribuire uno score. L’Autorità ha svolto accertamenti ispettivi presso la sede della società nel febbraio 2024, acquisendo documentazione sul funzionamento del programma Arval Connect Essential, sulle modalità di accesso ai dati e sui soggetti coinvolti nel trattamento.

Trattamento esaminato e flussi informativi

Il sistema raccoglieva dati di tutti i viaggi, professionali e privati, con informazioni su data e ora di partenza e arrivo, chilometri percorsi, consumo di carburante e comportamenti di guida come frenata, accelerazione, velocità, sterzate e curve, assegnando uno score e un livello di rischio mensile. I dati erano accessibili al dipendente, a supervisori e amministratori anche appartenenti ad altre società del gruppo, mediante piattaforma web o report mensili. La società ha chiarito successivamente di voler limitare il trattamento, ma ha poi ammesso che il chilometraggio totale includeva comunque una percentuale aggregata di viaggi privati e che tali dati non potevano essere eliminati senza incidere sugli altri clienti del fornitore.

Violazioni in materia di trasparenza e informativa

Il Garante ha ritenuto l’informativa inizialmente resa inidonea ai sensi degli artt. 5, par. 1, lett. a), b) e c), e 13 GDPR, perché predisposta a livello di gruppo, non chiariva adeguatamente titolare, responsabili e destinatari dei dati, né le effettive finalità e la base di liceità del trattamento. Anche la tecnica dell’informativa stratificata è stata giudicata insufficiente, poiché non garantiva una facile accessibilità unitaria alle informazioni. Le FAQ e l’informativa non consentivano di comprendere con precisione chi potesse accedere ai dati, con quale modalità e in che misura, né delimitavano correttamente i dati pertinenti alla finalità perseguita.

Base giuridica e legittimo interesse

È stata contestata la violazione dell’art. 6, par. 1, lett. f), GDPR. Nella versione originaria l’interesse legittimo del gruppo era individuato nel miglioramento della guida sicura e dell’efficienza della flotta, ma il Garante ha ritenuto la LIA insufficiente perché non considerava in modo completo gli impatti sui diritti e sulle libertà degli interessati, le loro ragionevoli aspettative e la tipologia dei dati trattati. In particolare, il legittimo interesse non può giustificare il trattamento dei dati relativi ai viaggi privati, che continuavano a essere raccolti e utilizzati ai fini dello scoring.

Responsabili del trattamento e istruzioni

L’Autorità ha accertato la violazione degli artt. 28 e 6 GDPR e dell’art. 2-quaterdecies del Codice, poiché i flussi di dati verso supervisori e amministratori appartenenti ad altre società del gruppo non erano stati adeguatamente disciplinati con un atto giuridico idoneo né accompagnati da istruzioni specifiche. La successiva stipula di un accordo ex art. 28 GDPR è stata presa d’atto, ma non ha eliminato l’illiceità del trattamento già avvenuto in assenza dei presupposti richiesti.

Disciplina lavoristica e controlli a distanza

Il Garante ha ritenuto integrata la violazione degli artt. 5, par. 1, lett. a), e 88 GDPR in relazione agli artt. 113 e 114 del Codice. La raccolta, la conservazione per 13 mesi e la valutazione tramite score di dati relativi anche ai viaggi privati sono state considerate idonee a configurare un controllo sull’attività del lavoratore in assenza delle procedure di garanzia previste dall’art. 4 della legge n. 300/1970. Inoltre, il trattamento ha riguardato fatti non rilevanti per l’attitudine professionale, in contrasto con l’art. 8 della legge n. 300/1970.

Esito, sanzione e misure correttive

L’Autorità ha dichiarato l’illiceità del trattamento, ritenendo plurime e non minori le violazioni accertate. Ha ordinato, ai sensi dell’art. 58, par. 2, lett. g), GDPR, la cancellazione dei dati e delle informazioni raccolte dai dispositivi relative ai viaggi privati sulla base dei quali viene assegnato lo score, con riscontro entro 30 giorni. Ha inoltre irrogato una sanzione amministrativa pecuniaria di 120.000 euro, ai sensi dell’art. 83 GDPR, considerando natura e gravità delle violazioni, durata del trattamento, numero limitato di interessati, cooperazione e assenza di precedenti. È stata disposta anche la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno.