Ordinanza ingiunzione o revoca n. 382 del 28/05/2026

Azienda Tutela della Salute per la Liguria: geolocalizzazione dei veicoli aziendali e uso disciplinare dei dati

Il Garante ha esaminato il trattamento dei dati raccolti tramite sistema GPS installato sui veicoli aziendali utilizzati da dipendenti dell’Azienda Tutela della Salute per la Liguria, già Azienda Sociosanitaria Ligure n. 1. Il procedimento è stato avviato a seguito della segnalazione di un dipendente sanzionato in sede disciplinare sulla base delle informazioni di localizzazione del mezzo, con istruttoria estesa anche ad altre segnalazioni analoghe.

Origine della vicenda e trattamenti esaminati

L’interessato ha lamentato che la raccolta dei dati di geolocalizzazione fosse avvenuta senza rispettare le condizioni di legittimità previste dalla normativa, contestando anche la mancanza di adeguata informativa e l’assenza di vetrofanie o avvisi idonei a rendere noto il monitoraggio. Nel corso del procedimento è emerso inoltre che, nel contesto disciplinare, l’interessato aveva trasmesso documentazione sanitaria e scontrini relativi all’acquisto di farmaci, circostanza che l’Azienda ha poi ricondotto a una iniziativa spontanea del dipendente e non a una richiesta dell’ufficio procedente.

Attività istruttoria e difese dell’Azienda

L’Azienda ha dichiarato di aver installato il sistema GPS per esigenze organizzative, produttive, di tutela del patrimonio e di sicurezza dei lavoratori, in attuazione di un accordo sindacale del 3 luglio 2018 e di proprie linee guida interne. Ha affermato che sulle autovetture era presente un avviso di geolocalizzazione e che i dati raccolti erano utilizzabili anche per finalità connesse al rapporto di lavoro, compresi i profili disciplinari. In un primo momento ha indicato un intervallo di rilevazione della posizione di 60 secondi e una conservazione dei dati di 2 anni; successivamente ha corretto le proprie dichiarazioni, precisando che la conservazione era in realtà di 6 mesi, che i veicoli non erano ad uso promiscuo e che il sistema era stato riprogrammato con rilevazione ogni 15 minuti e disattivazione permanente della visualizzazione in tempo reale.

Violazioni accertate dal Garante

Il Garante ha ritenuto che il sistema, per come originariamente configurato, consentisse un monitoraggio sostanzialmente continuo degli spostamenti dei dipendenti, mediante rilevazioni molto ravvicinate e accesso in tempo reale alla posizione del veicolo. Tale assetto è stato giudicato sproporzionato rispetto alle finalità dichiarate, in quanto idoneo a incidere in modo eccessivo sulla sfera privata e sulla dignità dei lavoratori. L’Autorità ha quindi ravvisato la violazione dei principi di liceità, limitazione della finalità, minimizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita, richiamando gli artt. 5, 6, 25 e 88 del GDPR e gli artt. 113 e 114 del Codice privacy, oltre alla disciplina dei controlli a distanza di cui all’art. 4 della l. 300/1970.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha inoltre contestato l’assenza, nella fase iniziale, di una valutazione d’impatto ex art. 35 GDPR. Ha osservato che il trattamento, effettuato nel contesto lavorativo e con tecnologie idonee a un monitoraggio sistematico, presentava un rischio elevato per i diritti e le libertà degli interessati, anche in ragione della particolare vulnerabilità dei dipendenti. La valutazione d’impatto prodotta successivamente è stata considerata utile sul piano della responsabilizzazione, ma non sufficiente a escludere la violazione già consumata.

Uso dei dati per finalità disciplinari

L’Autorità ha chiarito che i dati raccolti nel rispetto dell’art. 4, comma 3, della l. 300/1970 possono essere utilizzati a tutti i fini connessi al rapporto di lavoro solo se la raccolta originaria è lecita e rispettosa della disciplina di protezione dei dati. Nel caso concreto, poiché la geolocalizzazione era stata effettuata in modo non conforme ai principi del GDPR, l’ulteriore utilizzo dei dati nel procedimento disciplinare è stato ritenuto illecito. Il Garante ha infatti rilevato che i dati erano stati consultati e impiegati per verificare gli spostamenti contestati, con conseguente violazione del principio di limitazione della finalità e dei presupposti normativi per l’utilizzo disciplinare.

Esito finale, sanzione e adempimenti disposti

Il Garante ha dichiarato l’illiceità del trattamento e, applicando l’art. 83, par. 3 e 5, GDPR, ha determinato la sanzione amministrativa pecuniaria in 6.000 euro. Nella quantificazione ha considerato la gravità media della violazione, il carattere colposo della condotta e la natura dei dati riferiti a soggetti vulnerabili, ma anche la cooperazione dell’Azienda, l’assenza di precedenti e le misure correttive successivamente adottate. È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e del provvedimento sul sito istituzionale dell’Autorità. È stata altresì richiamata la facoltà di definizione agevolata e il termine di 30 giorni per il pagamento, oltre alle ordinarie modalità di opposizione davanti all’autorità giudiziaria ordinaria.