Controllo a distanza dei lavoratori: il Garante si è pronunciato sui sistemi di videosorveglianza e geolocalizzazione dei mezzi aziendali

Il controllo a distanza dei lavoratori tramite impianti di videosorveglianza o di geolocalizzazione costituisce una tematica di particolare rilievo nell'ambito della protezione dei dati personali e della normativa giuslavoristica, da sempre sottoposta a particolare attenzione da parte dell’Autorità Garante.

La regolamentazione di tali sistemi si fonda infatti su un delicato equilibrio tra le esigenze organizzative e produttive dell’azienda e i diritti fondamentali dei lavoratori.

Tale equilibrio va ricercato mediante l’adozione di accorgimenti volti a garantire la trasparenza e la correttezza dei trattamenti e, in ottica di privacy by design, mediante l’implementazione di sistemi che evitino trattamenti non necessari o eccessivamente invasivi.

Il Garante per la protezione dei dati personali è recentemente tornato sul tema con due provvedimenti sanzionatori relativi a:

• sistemi di videosorveglianza attivi presso i locali aziendali;
• sistemi di geolocalizzazione dei veicoli aziendali.

VIDEOSORVEGLIANZA

Il primo provvedimento 12 dicembre 2024 [doc.web 10107146] nasce da un reclamo presentato da un privato cittadino nei confronti di un albergatore con il quale sosteneva la violazione della disciplina sui sistemi di videosorveglianza e della normativa di protezione dei dati personali con riferimento al trattamento di immagini di clienti e dipendenti.

Alla ricezione del reclamo, l’Autorità Garante ha delegato al Nucleo speciale tutela privacy e frodi tecnologiche lo svolgimento dell’accertamento ispettivo presso l’Hotel segnalato.

 In sede di ispezione, è emerso che la struttura aveva installato numerose telecamere:

• presso i locali adibiti a spogliatoio per i clienti;
• presso lo spogliatoio riservato ai lavoratori, con un raggio di azione che consentiva la ripresa del rilevatore utilizzato per l’attestazione della presenza in servizio, per di più posizionata in modo che non fosse percepibile dal personale.

Inoltre, in violazione quindi tanto del principio di trasparenza quanto del dovere di informazione di cui al GDPR e allo Statuto dei Lavoratori, la struttura alberghiera aveva affisso cartelli informativi (cd. Informativa di primo livello) incompleti e non aveva informato i dipendenti sul trattamento dei dati.  

Sul punto, si rammenta che l’art. 5 par. 1 lett. a) del GDPR relativo al principio di trasparenza, impone che il titolare del trattamento fornisca agli interessati informazioni chiare, accessibili e comprensibili, così da garantire all’interessato la consapevolezza circa le finalità e le modalità del trattamento dei dati a lui riferiti, nonché la possibilità di esercitare i propri diritti.

Durante gli accertamenti, l’Autorità di controllo ha inoltre rilevato che l’installazione degli impianti di videosorveglianza era avvenuta in assenza delle garanzie di cui all’art. 4 dello Statuto del Lavoratori, richiamato dall’art. 114 del Codice Privacy. In particolare, il sistema riprendeva e registrava per 48 ore aree esterne, piscine, spogliatogli, riservati sia ai dipendenti che ai clienti e gli accessi dei dipendenti, ma la struttura non aveva mai richiesto ed ottenuto alcuna autorizzazione da parte dell’Ispettorato del Lavoro. Il trattamento dei dati svolto mediante il sistema di videosorveglianza non risultava quindi conforme neppure al principio di liceità. 

A nulla sono valse le difese della struttura circa la richiesta di consenso dei dipendenti al trattamento dei dati, posto che, come più volte ribadito dall’Autorità Garante, il consenso non può costituire una valida base giuridica nel contesto lavorativo in quanto non “libero” per via dello squilibrio di potere tra le parti.

Al più il ricorso a strumenti di potenziale monitoraggio del personale, come il sistema di videosorveglianza, può avvenire esclusivamente per ragioni organizzative, tutela del patrimonio aziendale e sicurezza degli individui, secondo quanto prescritto dall’art. 4 dello Statuto dei lavoratori. Motivazioni che nel GDPR trovano corrispondenza nella base giuridica del legittimo interesse del titolare (art. 6.1 lett. f).

SISTEMI DI GEOLOCALIZZAZIONE

Il secondo provvedimento del 16 gennaio 2025 [doc.web 10112287] dell’Autorità riguarda invece i sistemi di geolocalizzazione.

L’Autorità di controllo ha sanzionato un’azienda di autotrasporti per aver controllato in modo illecito circa 50 dipendenti, durante l’orario lavorativo, attraverso l’installazione di un sistema di geolocalizzazione.

In particolare, a seguito di controlli della Guardia di Finanza, è emerso che la società ricorreva alla geolocalizzazione dei mezzi in assenza di un’informativa completa e adeguata. Il sistema peraltro raccoglieva i dati (posizione, stato acceso/spento etc.) in modo continuativo (ogni 3-5 minuti) e li conservava per un periodo di 180 giorni.

Le contestazioni dell’Autorità hanno riguardato vari aspetti, tra cui:

• l’inadeguatezza dell’informativa che non forniva spiegazioni esaustive sui trattamenti effettuati e sull’identificazione dei conducenti;
• l’individuazione di un periodo di conservazione dei dati eccessivo rispetto alle finalità perseguite;
• il mancato rispetto di quanto previsto nel provvedimento di autorizzazione rilasciato dall’Ispettorato del Lavoro, tra cui l’obbligo di non rilevare continuativamente la posizione del veicolo (ad es. nelle pause di lavoro), di anonimizzare i dati personali o, in alternativa di ricorrere a misure che permettono di identificare l’interessato solo in caso di necessità.

L'Autorità ha pertanto contestato alla società la violazione dei principi di liceità, minimizzazione e limitazione dei dati.

CONCLUSIONE

In entrambi i casi, il Garante per la protezione dei dati personali ha ritenuto le società responsabili delle violazioni sopra descritte comminando rispettivamente sanzione amministrative pecuniarie di 40.000 euroe e di 50.000 euro.