Controlli GPS sulle auto aziendali: cosa può fare il datore

La sede centrale estera scrive alla direzione HR italiana: il nuovo programma globale di flotta va attivato entro la settimana, con punteggi mensili per ogni conducente. La richiesta riguarda controlli GPS su auto aziendali assegnate ai dipendenti. Prima di rispondere, c'è un precedente da considerare: una società sementiera italiana ha trattato dati telematici di appena cinque dipendenti ed è stata sanzionata per 120.000 euro.

Il progetto era stato disposto dalla capogruppo svizzera. La controllata italiana, però, è rimasta responsabile delle scelte sui propri lavoratori. È il punto da cui partire: un'istruzione di gruppo può spiegare perché arriva una richiesta, ma non fornisce la base giuridica né supera le regole italiane.

Risposta rapida: I controlli GPS auto aziendali dipendenti possono essere ammessi solo dopo aver verificato dati, scopi, ruoli, uso privato e possibilità di controllo. Se serve, accordo sindacale o autorizzazione INL si aggiungono al GDPR: non lo sostituiscono. Funzioni e accessi eccessivi vanno disattivati prima dell'attivazione o subito, se già operativi.

Ultimo aggiornamento: 26 agosto 2026. Fonti normative, moduli, orientamenti e provvedimenti sono stati verificati fino al 19 agosto 2026.

Cinque dipendenti sono bastati per una sanzione da 120.000 euro

La dimensione del caso elimina una falsa rassicurazione: non servono centinaia di veicoli perché la telematica diventi un problema serio. Il Garante ha esaminato il trattamento svolto da Pioneer Hi-Bred Italia Sementi, impresa attiva nella produzione di sementi agricole, su cinque lavoratori. Ha applicato una sanzione di 120.000 euro e ordinato la cancellazione dei dati trattati illecitamente ¹.

Il caso non riguardava una mappa in diretta. Proprio per questo è utile: mostra che ridurre il problema alla domanda «si vedono le coordinate?» porta alla decisione sbagliata. Orari, consumi, percorrenze, frenate o accelerazioni e punteggi, quando sono legati a una persona e conservati nel tempo, possono descrivere con precisione il modo in cui lavora e si muove.

Il ramo positivo esiste. Un'impresa può avere necessità circoscritte, come manutenzione, gestione documentata dei chilometri o ricostruzione di un incidente. Ma ogni campo deve servire davvero a quello scopo. «Efficienza globale» o «zero incidenti nel mondo» non spiegano perché la controllata debba conservare per tredici mesi il dettaglio individuale dei viaggi privati o produrre classifiche mensili.

La capogruppo può ordinare il progetto, non la base giuridica

La società italiana che determina l'uso dei dati dei propri dipendenti deve poter decidere che cosa non attivare. Nel caso del 2025, l'impulso proveniva dalla Svizzera, ma il Garante ha ritenuto responsabile la controllata italiana. Erano inoltre irrisolti accessi amministrativi infragruppo, ruoli e istruzioni verso i soggetti coinvolti ¹.

Prima della configurazione, una mappa dei ruoli deve rispondere a domande concrete: chi decide gli scopi? Chi seleziona i campi? Il fornitore opera come responsabile del trattamento su istruzioni documentate oppure usa dati per finalità proprie? Quali persone della capogruppo possono entrare nel portale, con quale profilo e per quale necessità? La parola «gruppo» non è un ruolo previsto dal GDPR.

La richiesta della sede centrale va quindi separata dalla decisione locale. Se la capogruppo vuole confrontare costi di flotta, può forse ricevere valori aggregati che non identificano il conducente. Se pretende punteggi nominativi, viaggi privati o accesso al dettaglio, la controllata deve chiedere una giustificazione specifica e deve rifiutare ciò che non supera i cancelli italiani. Anche il limite tecnico del fornitore non cambia la risposta: nel caso sanzionato, il fatto che l'aggregazione dei chilometri privati richiedesse una modifica per tutti i clienti non ha sanato la raccolta eccessiva ¹.

L'Ispettorato ha chiarito un confine affine: l'istanza ai sensi dell'articolo 4 non può servire a far autorizzare al datore un sistema il cui reale scopo e beneficiario sono un committente o un altro terzo. Il datore non è un semplice tramite della richiesta altrui ³.

Anche senza coordinate, la telematica può controllare il lavoratore

L'assenza di geolocalizzazione non decide il caso. Il controllo a distanza può derivare dalla combinazione di dettagli che consente di osservare, anche indirettamente, la prestazione o la condotta del lavoratore. Nel provvedimento sulla società sementiera, orari, chilometri, carburante, stile di guida, viaggi privati, punteggi mensili e disponibilità per tredici mesi hanno formato proprio quella combinazione ¹.

La verifica può essere svolta in tre passaggi. Primo: stabilire se il dato torna a una persona, direttamente tramite il nome del conducente oppure incrociando assegnazioni e turni. Secondo: verificare quanto il dato descriva il tempo e il comportamento, considerando dettaglio, frequenza e durata. Terzo: elencare gli usi effettivi e possibili, inclusi esportazione, scoring, colloqui, disciplina e consultazione da parte del gruppo. Se i tre livelli permettono di ricostruire chi ha fatto cosa e quando, togliere le coordinate non elimina la capacità di controllo.

Anche le funzioni disponibili ma dichiarate inutilizzate appartengono all'inventario: accesso in tempo reale, frequenza di trasmissione modificabile, esportazioni e riattivazione da parte di un amministratore cambiano il rischio. Un'auto condivisa riduce l'identificazione soltanto se il sistema e gli altri registri non consentono di risalire al conducente. Quando prenotazioni o turni ricompongono il collegamento, la parola «pool» non rende anonimo il viaggio.

L'articolo 4 è un cancello distinto dal GDPR

In Italia la decisione richiede due verifiche cumulative. La prima riguarda lo Statuto dei lavoratori; la seconda il GDPR e il Codice privacy. Superarne una non rende inutile l'altra.

L'articolo 4 della legge n. 300/1970 distingue gli strumenti dai quali possa derivare anche un controllo a distanza dagli strumenti usati dal lavoratore per rendere la prestazione e dagli strumenti di registrazione degli accessi e delle presenze. Non ogni telematica impone automaticamente accordo o autorizzazione: bisogna stabilire se, nella configurazione reale, il dispositivo sia indispensabile al lavoro oppure un'aggiunta organizzativa capace di controllo indiretto ⁵.

Il modulo INL 1.2 rende visibile il livello di concretezza necessario: chiede finalità, accesso in tempo reale, registrazione degli accessi, possibilità di disattivazione, orari di funzionamento, modalità di conservazione, soggetti autorizzati e ragioni del periodo scelto ⁴. Non basta quindi scrivere «sicurezza della flotta» e lasciare al fornitore tutte le opzioni attive.

Il percorso deve precedere la messa in funzione e riferirsi al sistema che sarà davvero usato. Accordo o autorizzazione fondati su una descrizione generica non possono diventare un contenitore per funzioni aggiunte in seguito. Se cambiano intervallo, accesso live, scoring, destinatari o uso privato, il datore deve verificare se la nuova capacità di controllo riapra il percorso lavoristico, oltre a riesaminare il GDPR. Attivare prima e regolarizzare dopo rovescia la sequenza di garanzia.

Prima dell'attivazione i lavoratori devono ricevere informazioni chiare su dati, finalità, tempi, destinatari e conseguenze degli usi. Se il trattamento può comportare un rischio elevato, la valutazione d'impatto deve essere svolta tempestivamente, mentre le scelte possono ancora cambiare. Un documento compilato dopo l'avvio non dimostra che la progettazione sia stata guidata dal rischio.

La configurazione decide se il sistema resta proporzionato

La conformità non si acquista con il nome del prodotto. Si costruisce campo per campo, permesso per permesso e finalità per finalità. L'inventario iniziale deve venire dal sistema reale: dizionario dei dati, schermate amministrative, intervalli, valori predefiniti, esportazioni, API, profili, log e tempi effettivi di cancellazione.

Per l'uso privato non è sufficiente promettere che nessuno guarderà. La separazione deve essere tecnica e verificabile: un comando comprensibile, uno stato visibile e nessun dettaglio privato recuperabile dal normale portale. Se serve soltanto distinguere chilometri lavorativi e personali, il totale può essere sufficiente; percorso e comportamento non seguono automaticamente.

Lo stesso vale per la conservazione. Ogni durata deve partire dalla finalità: il dato necessario per gestire un intervento non giustifica la disponibilità di un profilo individuale per mesi. La cancellazione deve avvenire anche nelle esportazioni e negli ambienti accessibili al gruppo, non soltanto nella schermata principale.

Se il sistema è già attivo, il primo intervento non è riscrivere l'informativa. Bisogna impedire che continui il possibile pregiudizio: disabilitare il live non necessario, fermare punteggi e classifiche, oscurare il dettaglio privato, revocare account di gruppo senza ruolo, bloccare esportazioni non controllate e sospendere ogni riuso disciplinare. Configurazioni, log e decisioni vanno preservati come prova senza proseguire il trattamento contestato.

Un accordo sindacale non rende lecito ciò che è eccessivo

Il provvedimento del 28 maggio 2026 mostra perché i due cancelli devono rimanere separati. Nel caso esistevano un accordo sindacale e informazioni ai dipendenti, ma il Garante ha contestato la raccolta ogni 60 secondi, la possibilità di accesso in tempo reale, l'assenza di un comando di pausa, la valutazione d'impatto tardiva o mancante e il riuso disciplinare ².

Nella configurazione correttiva l'intervallo è stato portato da 60 secondi a 15 minuti e l'accesso in tempo reale è stato disabilitato in modo irreversibile. Questi elementi hanno contribuito alla valutazione di proporzionalità di quel caso; non creano una soglia generale di 15 minuti. Un intervallo identico può essere eccessivo per uno scopo e insufficiente per un altro. Va giudicato insieme a identità, campi, durata, accessi e possibilità di pausa ².

Nemmeno l'informativa trasforma una funzione sproporzionata in una funzione lecita. La trasparenza dice alla persona che cosa accade; non autorizza a raccogliere ciò che non è necessario. Analogamente, un accordo non sana l'uso di dati raccolti illecitamente per una contestazione disciplinare. Finalità e condizioni d'uso devono essere definite prima, e il dato deve essere nato da un trattamento legittimo.

La valutazione d'impatto non è un allegato da completare per chiudere il fascicolo. Deve mettere a confronto alternative: dato aggregato invece del nominativo, evento invece del flusso continuo, accesso locale invece di globale, modalità privata invece di promessa organizzativa, conservazione differenziata invece di un unico archivio. Se l'alternativa meno invasiva raggiunge lo scopo, la configurazione più ricca non è giustificata.

La risposta alla sede centrale deve imporre sette condizioni verificabili

Una risposta utile a HQ non dice soltanto «l'Italia ha regole più severe». Traduce il diritto locale in condizioni che il responsabile del progetto può configurare, contrattualizzare e provare. Il messaggio può seguire questi sette passaggi.

1. Elencare i dati e le funzioni. Allegare il dizionario effettivo: posizione o eventi, orari, chilometri, carburante, guida, punteggi, intervallo, live, esportazioni, API, identità e periodo di conservazione.
2. Fissare ruoli e accessi. Confermare che la società italiana decide per i propri lavoratori; nominare il fornitore quando opera su istruzioni; descrivere l'eventuale ruolo della capogruppo e limitare gli utenti esteri al minimo necessario.
3. Separare uso lavorativo e privato. Pretendere una modalità privata verificabile o conservare soltanto il totale strettamente necessario. Nessun dettaglio privato deve arrivare a manager, assicuratore o sede centrale senza uno scopo autonomamente lecito.
4. Classificare lo strumento. Documentare perché le singole funzioni sarebbero indispensabili alla prestazione oppure riconoscere il sistema aggiunto dal quale può derivare controllo. Nel secondo ramo, completare accordo o autorizzazione prima dell'attivazione.
5. Superare il GDPR separatamente. Collegare ogni campo a scopo e base, limitare frequenza e durata, predisporre informativa e sicurezza, valutare il rischio e completare tempestivamente la DPIA quando necessaria.
6. Disabilitare ciò che non supera i test. Spegnere accesso live, dettaglio privato, scoring individuale, campi superflui e accessi globali; se il fornitore non può farlo, sospendere quella funzione o il progetto, non la legge italiana.
7. Restituire una decisione condizionata. Scrivere «sì, soltanto con queste impostazioni» oppure «no, finché questi punti non sono risolti», indicando responsabile, evidenza richiesta, data di verifica e cambiamenti che riaprono l'esame.

La risposta deve avere allegati verificabili, non promesse: esportazione delle impostazioni, matrice degli accessi, contratto e istruzioni, esito del percorso lavoristico, informativa, DPIA ove necessaria, prova della modalità privata, regole sulla disciplina e test di cancellazione. HQ può così capire che la controllata non sta opponendo un veto generico; sta definendo le condizioni entro cui il progetto può esistere in Italia.

Nel ramo “no” non serve comprare un altro progetto di sorveglianza

Dire no a una configurazione non significa dire no a ogni dato del veicolo. Il ramo negativo deve essere preciso: no al live permanente, no al dettaglio dei viaggi privati, no ai punteggi nominativi usati nelle valutazioni, no agli accessi globali senza ruolo, no a un archivio indifferenziato di tredici mesi. Può invece restare un dato circoscritto per manutenzione, chilometri amministrativi o gestione dell'incidente, se supera i cancelli applicabili.

Quando la telematica è inclusa nel contratto di leasing o assicurazione, l'impresa non dovrebbe dare per scontato che il fornitore conosca lo scopo italiano. Deve ottenere l'elenco dei dati raccolti dal dispositivo, distinguere le funzioni attivate per il proprio account da quelle usate autonomamente dal soggetto esterno e sapere quali informazioni arrivano a ciascun destinatario. Se il datore non determina un trattamento del terzo, il relativo ruolo va comunque chiarito; se invece impartisce istruzioni sul trattamento dei lavoratori, contratto, misure e limiti devono rifletterle.

Non proporremmo come primo passo né una piattaforma di flotta sostitutiva né una verifica generica di quaranta pagine. Se il fornitore può disattivare il tempo reale, separare i viaggi privati, eliminare lo scoring, ridurre i tempi e vincolare gli accessi, riparare configurazione e ruoli può essere sufficiente. L'acquisto di un altro sistema ha senso soltanto quando quello esistente non consente le limitazioni necessarie.

La riparazione delimitata deve però arrivare fino alla prova. Una promessa commerciale come «il live non viene normalmente usato» non equivale a disabilitarlo; una regola interna non sostituisce un profilo tecnico senza permesso; nascondere una colonna nell'interfaccia non dimostra che il dato non sia raccolto o esportabile. Prima del sì, la società deve testare il portale con gli stessi profili assegnati a manager, fornitore e sede centrale, verificare i log e provare la cancellazione allo scadere del periodo deciso.

Il no completo è appropriato quando lo scopo resta vago, HQ pretende dati individuali senza necessità, il privato non può essere separato, il controllo parte prima dell'articolo 4 oppure i rischi GDPR non possono essere ridotti. In quel caso, sospendere evita che un programma globale trasformi una controllata in esecutrice di scelte che non può legittimamente adottare.

Il fascicolo finale deve provare impostazioni, ruoli e riesame

Il lavoro termina quando una persona estranea al progetto può ricostruire perché ogni funzione è accesa, chi può usarla e quando la scelta sarà riesaminata. Un fascicolo utile collega decisione legale e realtà tecnica.

Riaprono la decisione un nuovo campo, un intervallo più breve, una funzione live, l'ingresso di un assicuratore o di HQ, un diverso periodo di conservazione, l'assegnazione nominativa di auto prima condivise, un nuovo punteggio, il riuso nelle valutazioni o nella disciplina e la rimozione della modalità privata. Anche una modifica commerciale del fornitore può cambiare ciò che amministratori e subfornitori vedono.

Il riesame non deve ripetere tutto senza criterio. Deve confrontare la nuova realtà con la decisione conservata, individuare quali cancelli si riaprono e registrare l'esito. Se nulla cambia, restano i test periodici sugli accessi e sulla cancellazione. Se cambia la capacità di osservare il lavoratore, l'impresa torna alla classificazione, all'articolo 4 e all'analisi GDPR prima di accettare la nuova funzione.

Il prossimo passo pratico è chiedere oggi stesso al fornitore l'esportazione delle impostazioni e a HQ l'elenco degli accessi richiesti. Senza questi due documenti, la società italiana non sta ancora valutando il sistema reale: sta valutando una descrizione commerciale.