COMMENTO – PRIVACY
DI FRANCESCA BICICCHI – STUDIO NEVIO BIANCHI & PARTNERS | 16 OTTOBRE 2026
Negato al lavoratore l’accesso ai dati chiesto per difendersi nel procedimento disciplinare e nessuna informativa sulla geolocalizzazione dei veicoli: sanzionata una società di vigilanza. Pesano anche informative non aderenti ai trattamenti reali.
Il caso: dal procedimento disciplinare al reclamo
Con il Provvedimento n. 586 del 6 agosto 2026 , illustrato nella Newsletter n. 552 del 30 settembre 2026 , il Garante per la protezione dei dati personali ha inflitto una sanzione complessiva di 39.000 euro ad una società di vigilanza e sicurezza, per violazioni del Regolamento europeo (GDPR) nel trattamento dei dati dei dipendenti.
All’origine c’è il reclamo di un ex addetto con qualifica di guardia giurata, licenziato per giusta causa il 4 luglio 2022 al termine di un procedimento disciplinare avviato con una contestazione del 7 giugno, poi annullata e sostituita da una nuova contestazione del 21 giugno.
Nelle memorie difensive del 14 e del 25 giugno 2022 il lavoratore aveva chiesto di visionare e ottenere copia di tutta la documentazione relativa agli addebiti, inclusa la registrazione del dispositivo GPS installato sull’auto aziendale a lui assegnata.
La società non aveva dato seguito alle richieste, limitandosi a precisare nella lettera di licenziamento di non essere tenuta a mostrare le fonti di prova prima di irrogare la sanzione disciplinare.
Secondo quanto dichiarato dall’azienda, l’unico documento utilizzato a fini disciplinari era la relazione di un’agenzia investigativa, mentre i dati GPS sarebbero stati elaborati solo successivamente, per rispondere alla richiesta di esibizione formulata dal lavoratore nel giudizio di impugnazione del licenziamento, che il Tribunale ha ritenuto illegittimo con ordinanza del 30 gennaio 2024.
Diritto di accesso ai dati: la richiesta non richiede formule
La società si era difesa sostenendo che le istanze, redatte da legali e qualificate come “accesso agli atti”, rientrassero nel contraddittorio disciplinare dell’articolo 7 dello Statuto dei lavoratori e non costituissero esercizio dei diritti privacy, in assenza di qualsiasi richiamo al GDPR. Ha aggiunto che i dati di localizzazione non erano associati in automatico al conducente e che estrarli avrebbe comportato un trattamento ulteriore e non necessario.
Il Garante ha respinto queste argomentazioni, accertando la violazione degli articoli 12 e 15 del GDPR. Questi i passaggi principali; in base alle Linee guida EDPB 1/2022 sul diritto di accesso, l’interessato non deve rispettare requisiti di forma, ma conta il contenuto della richiesta, che nel caso era chiaro, inoltre, l’interessato non deve motivare la richiesta e non spetta al titolare valutare se l’accesso gli sarà davvero utile, né rileva l’assenza di un danno.
In aggiunta, quando ritiene di non poter dare seguito all’istanza, il titolare deve comunque comunicare i motivi del diniego e informare della possibilità di ricorrere all’autorità giudiziaria o di proporre reclamo al Garante (art. 12 , par. 4, GDPR), mentre il diritto di accesso dell’articolo 15 ha caratteri propri e autonomi rispetto agli obblighi del datore di lavoro nella procedura disciplinare, e la giurisprudenza lavoristica richiamata dalla società non incide su questo piano.
Geolocalizzazione dei veicoli: servono informativa e trasparenza
Sul secondo fronte l’azienda ha ammesso di non aver predisposto alcuna informativa sul sistema GPS, ritenendo in buona fede che i dati riguardassero solo il veicolo e non il lavoratore.
Il Garante ha osservato che il dato di geolocalizzazione del mezzo fornisce informazioni indirettamente collegate a chi si trova alla guida e costituisce quindi un dato personale, che richiede le informazioni dell’articolo 13 del GDPR. La stessa società, del resto, aveva riconosciuto di poter risalire in caso di emergenza al dipendente a bordo.
A rendere più evidente l’inadempimento c’era l’accordo sindacale del 10 giugno 2019, stipulato ai sensi dell’articolo 4 dello Statuto dei lavoratoriper l’installazione dei dispositivi a fini di gestione del parco auto e di sicurezza del conducente: l’intesa impegnava espressamente l’azienda a consegnare l’informativa privacy ai dipendenti entro 30 giorni, impegno rimasto disatteso.
Informativa “prudenziale”: anche l’eccesso è una violazione
Il terzo profilo riguarda le informative consegnate ai dipendenti nel 2019, nel 2021 e nel 2022, che indicavano tra i dati trattati anche informazioni su convinzioni filosofiche e vita sessuale, rientranti nelle categorie particolari dell’articolo 9 del GDPR. La società ha spiegato di averle inserite solo per cautela, senza mai trattarle.
Per il Garante l’informativa deve descrivere le operazioni di trattamento effettivamente svolte, e queste devono essere di per sé lecite. Dunque, non basta elencare un trattamento per renderlo legittimo, né è corretto descriverne uno che poi non si effettua.
Da qui l’ulteriore violazione degli articoli 12 e 13 . È stata invece archiviata la contestazione relativa ai log di navigazione internet, dopo che l’azienda ha chiarito di trattare solo log tecnici di sistema non riconducibili ai singoli lavoratori.
La sanzione del Garante: come è stata calcolata
Le condotte sono state valutate separatamente, con un livello di gravità ritenuto medio e la colpa come elemento soggettivo, considerando anche che la società ha un fatturato inferiore a 500 milioni di euro.
| Condotta contestata | Norme violate | Sanzione | Elementi valutati |
| Mancato riscontro alle due istanze di accesso del giugno 2022 | Artt. 12e 15GDPR | 22.000 euro | Colpa, gravità media; protocollo interno con il nuovo DPO; nessun precedente |
| Assenza di informativa sul GPS e informative non corrette sui dati particolari | Artt. 12e 13GDPR | 17.000 euro | Colpa, gravità media; informativa GPS consegnata e riferimenti rimossi; dati particolari mai trattati |
| Totale | 39.000 euro | Pagamento in misura ridotta della metà ex art. 166, comma 8, del Codice |
Non sono state disposte ulteriori misure correttive, perché le condotte avevano esaurito i loro effetti. Il lavoratore ha ottenuto la relazione investigativa nel corso del giudizio, l’azienda ha consegnato l’informativa sulla geolocalizzazione e ha eliminato i riferimenti ai dati particolari.
Il Garante ha tuttavia ricordato che, anche nella versione aggiornata, le informative dovranno descrivere solo trattamenti leciti, con particolare attenzione a dati di navigazione, metadati e contenuti della posta elettronica aziendale individualizzata.
Controlli a distanza e dati dei dipendenti: le indicazioni operative
Il Provvedimento offre alcuni punti fermi per chi gestisce strumenti di controllo a distanza e dati del personale.
→ Una richiesta di documenti presentata dal dipendente durante il procedimento disciplinare può costituire anche un’istanza di accesso ai dati ex articolo 15 GDPR, da gestire con le relative regole e l’eventuale diniego va sempre motivato per iscritto, indicando i rimedi a disposizione dell’interessato.
→ L’accordo sindacale o l’autorizzazione dell’articolo 4 dello Statuto non sostituiscono l’informativa privacy, che va consegnata per ogni strumento che tratta dati riferibili ai lavoratori, GPS compreso e, inoltre, le informative vanno allineate ai trattamenti effettivi, senza elenchi “cautelativi” di dati non trattati.
Nel caso esaminato, la società ha deciso di adottare un protocollo interno per le richieste con profili sia giuslavoristici sia privacy, coinvolgendo il nuovo DPO, circostanza valutata dal Garante nella quantificazione della sanzione.
Videosorveglianza: nella stessa newsletter il caso INRIM
La newsletter n. 552 segnala anche un secondo intervento sul lavoro. Una sanzione di 10.000 euro all’Istituto Nazionale di Ricerca Metrologica di Torino (Provvedimento n. 620 del 3 settembre 2026 ).
L’ente aveva installato l’impianto di videosorveglianza in modo difforme dalla planimetria concordata con i sindacati, con otto telecamere in più e aree di ripresa diverse, attivandolo per test in orario di ufficio all’insaputa dei dipendenti, senza informativa e senza valutazione d’impatto. Anche qui il Garante ha ribadito che l’assenza di registrazione e la finalità di sola verifica tecnica non escludono l’illiceità del trattamento.
Riferimenti normativi:
- Garante privacy, Provvedimento 6 agosto 2026, n. 585
- Garante privacy, Newsletter 30 settembre 2026, n. 552
Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.
Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.
Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.