Ordinanza ingiunzione o revoca n. 7 del 16/01/2025

Autotrasporti Cuccu Riccardo S.r.l. – geolocalizzazione dei veicoli aziendali e trattamento illecito dei dati dei dipendenti

Il provvedimento riguarda il trattamento dei dati dei dipendenti di una società di autotrasporto tramite un sistema di geolocalizzazione installato sui mezzi aziendali. L’istruttoria è stata avviata a seguito di reclamo di un ex dipendente e si è conclusa con la dichiarazione di illiceità del trattamento, l’adozione di misure correttive e l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e sviluppo dell’istruttoria

Il reclamo, presentato il 23 settembre 2024, denunciava l’installazione di un sistema di localizzazione satellitare sul veicolo utilizzato dal lavoratore nello svolgimento dell’attività, senza preventiva informativa ex art. 13 GDPR e senza la procedura di garanzia di cui all’art. 4 della legge n. 300/1970. La società ha fornito alcune prime osservazioni, richiamando un’autorizzazione rilasciata dall’Ispettorato territoriale del lavoro di Cagliari-Oristano in data 19 maggio 2021 e sostenendo di aver informato i dipendenti mediante un’informativa affissa in bacheca.

Successivamente il Garante ha richiesto ulteriori informazioni ai sensi dell’art. 157 Codice privacy. Il riscontro non è pervenuto, nonostante la richiesta fosse stata regolarmente notificata. Per questo è stato avviato il procedimento sanzionatorio e sono stati svolti accertamenti tramite la Guardia di finanza, sia presso la società sia presso il fornitore del servizio.

Trattamento esaminato e soggetti coinvolti

Dalle verifiche è emerso che la società, in qualità di titolare del trattamento, aveva stipulato con TIM S.p.a. un contratto di noleggio di un apparato GSM/GPRS da installare sui veicoli aziendali, con accesso a una piattaforma web denominata "Tim Your Way". Il servizio era erogato tramite WAY s.r.l., qualificata come responsabile del trattamento ai sensi dell’art. 28 GDPR.

Il sistema trattava diversi dati: posizione del veicolo, velocità, chilometri percorsi, stato del mezzo, dati del cronotachigrafo relativi al Driver identification Number, messaggi scambiati con il dispositivo di bordo e ulteriori informazioni eventualmente inserite dal cliente, come nome del conducente e numero di patente. Il sistema era inoltre predisposto per funzioni aggiuntive, come il c.d. "pulsante privacy", che però non risultavano attivate per il cliente in esame.

Violazione dell’obbligo di informativa e del principio di correttezza

Il Garante ha ritenuto che l’informativa resa ai dipendenti fosse inidonea a rappresentare compiutamente il trattamento. L’Autorità ha evidenziato che non si trattava soltanto del tema dell’identificabilità diretta dei conducenti, ma di una pluralità di criticità: incongruenze testuali, refusi, riferimenti errati ad altri soggetti, descrizioni non corrispondenti al sistema effettivamente installato e mancata indicazione di elementi essenziali del trattamento.

Tra gli aspetti valorizzati vi è il fatto che l’informativa descriveva un sistema diverso da quello realmente utilizzato, richiamando ad esempio un riconoscimento tramite RFID e badge, mentre in concreto il sistema acquisiva i dati tramite apparati di bordo con modem GSM/GPRS, SIM card e GPS. Inoltre, l’informativa non rendeva adeguatamente conto della rilevazione continuativa della posizione e delle modalità di conservazione. Ne è derivata la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Eccedenza del trattamento, monitoraggio continuo e conservazione eccessiva

L’istruttoria ha accertato che il sistema consentiva alla società di acquisire informazioni sulla posizione del veicolo, sul suo stato, sulla telemetria e, indirettamente, sull’attività degli autisti. Tali informazioni erano raccolte in modo continuativo, sebbene con differimento di 3/5 minuti, e riguardavano anche le pause dell’attività lavorativa. I dati erano conservati per 180 giorni.

Secondo il Garante, queste modalità di trattamento erano eccedenti e non proporzionate rispetto alle finalità dichiarate di tutela dei beni aziendali, sicurezza sul lavoro ed esigenze organizzative e produttive. La raccolta continua della posizione e la lunga conservazione integravano una violazione del principio di minimizzazione di cui all’art. 5, par. 1, lett. c) GDPR e del principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e) GDPR. L’Autorità ha inoltre richiamato il fatto che, nel contesto lavorativo, la posizione del veicolo non dovrebbe essere monitorata continuativamente se non quando necessario per le finalità legittime perseguite.

Il trattamento è stato ritenuto anche non conforme alle garanzie fissate dall’autorizzazione dell’Ispettorato del lavoro del 19 maggio 2021, in particolare per la mancata osservanza delle previsioni sulla rilevazione non continuativa, sull’anonimizzazione dei dati raccolti e sulla prevenzione del trattamento di dati ultronei o eccedenti. Da qui la violazione degli artt. 5, par. 1, lett. a), c) ed e), 88 GDPR e dell’art. 114 Codice privacy.

Mancato riscontro alla richiesta di informazioni del Garante

Il Garante ha inoltre confermato la violazione dell’art. 157 Codice privacy. La società, pur avendo ricevuto regolarmente la richiesta di informazioni, non ha fornito il riscontro dovuto nei termini assegnati, dichiarando nel corso dell’istruttoria di aver ritenuto non necessario rispondere. La condotta ha ostacolato l’attività istruttoria e ha reso necessario un supplemento di accertamenti delegato alla Guardia di finanza.

Misure correttive adottate

In applicazione dell’art. 58, par. 2, GDPR, l’Autorità ha prescritto alla società di:

• predisporre un’informativa idonea a rappresentare compiutamente i trattamenti realizzati mediante il sistema di geolocalizzazione;
• conformare il trattamento alle garanzie prescritte dall’autorizzazione dell’Ispettorato del lavoro di Cagliari-Oristano, tenendo conto dei principi di minimizzazione e limitazione della conservazione in relazione alle finalità perseguite.

La società è stata invitata a fornire un riscontro adeguatamente motivato entro 60 giorni dalla notifica del provvedimento.

Sanzione amministrativa e criteri di quantificazione

All’esito del procedimento, il Garante ha irrogato una sanzione amministrativa pecuniaria pari a euro 50.000,00. Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura e la gravità della violazione, riguardante principi generali e obblighi del titolare;
• la durata della violazione, iniziata nel 2021 e tuttora in corso;
• l’ampiezza del trattamento, che ha interessato circa 50 interessati;
• il grado di responsabilità della società, che non si è conformata alla disciplina su più disposizioni;
• l’assenza di precedenti violazioni pertinenti;
• le condizioni economiche del contravventore, valutate sul volume d’affari risultante dal bilancio 2023;
• l’entità delle sanzioni irrogate in casi analoghi.

L’Autorità ha richiamato l’art. 83, par. 1 e 3, GDPR, precisando che la sanzione deve essere effettiva, proporzionata e dissuasiva e che, in caso di pluralità di violazioni nello stesso trattamento, l’importo complessivo non può superare il massimo edittale previsto per la violazione più grave.

Ulteriori disposizioni

Il provvedimento dispone anche:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito istituzionale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata inoltre richiamata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 del d.lgs. n. 150/2011.