In tema di geolocalizzazione dei dipendenti, l’uso del GPS sugli automezzi impone la notifica al Garante anche se l’identificazione del lavoratore avviene solo indirettamente tramite l’assegnazione del mezzo o attraverso i dati del cronotachigrafo.
Con l'ordinanza in commento, la Cassazione torna sul tema del trattamento dei dati personali attraverso sistemi di geolocalizzazione installati sui veicoli aziendali condotti dai dipendenti , con specifico riferimento all'obbligo di notifica al Garante previsto dall'articolo 37, comma 1, lett. a), d.lgs. n. 196/2003 nel testo anteriore alle modifiche del d.lgs. n. 101/2018 . Nello specifico, la vicenda origina dall' ordinanza-ingiunzione del Garante Privacy notificata nel 2018 a una società esercente attività di trasporto merci su strada, per omessa notificazione del trattamento relativo a un sistema di geolocalizzazione montato sui propri mezzi. Il Tribunale di Sondrio accoglieva l'opposizione, ritenendo che il sistema fosse stato ideato e gestito da un'altra società e che la ricorrente si fosse limitata a mettere a disposizione automezzi e autisti, escludendo quindi la titolarità del trattamento in capo a quest'ultima. La Cassazione, tuttavia, ribalta la decisione di primo grado, muovendo dal dato normativo dell'articolo 37, comma 1, lett. a), d.lgs. n. 196/2003, nel testo ratione temporis applicabile e oggi abrogato, che imponeva al titolare la notifica dei trattamenti di dati che indicano la posizione geografica di persone o oggetti mediante rete di comunicazione elettronica . L'ordinanza richiama poi la delibera n. 1 del 31 marzo 2004 del Garante, che aveva escluso dall'obbligo di notificazione i soli trattamenti aventi ad oggetto la posizione geografica di mezzi di trasporto effettuati esclusivamente per finalità di sicurezza del trasporto , fattispecie che nel caso concreto, tuttavia, non ricorre, in quanto il sistema era stato predisposto per aumentare la sicurezza del patrimonio aziendale rispetto ai furti e permettere la geolocalizzazione delle merci. I Giudici, inoltre, richiamano il provvedimento n. 370 del 4 ottobre 2011 del Garante sui sistemi di localizzazione dei veicoli nel rapporto di lavoro : i dati relativi all'ubicazione dei veicoli, anche se non immediatamente associati al nominativo del lavoratore, costituiscono dati personali ove il datore possa, anche indirettamente, risalire all'assegnatario del mezzo; solo quando le informazioni non sono in alcun modo riconducibili ai lavoratori resta esclusa l'applicazione della disciplina relativa alla privacy. Da ciò discende che l'obbligo di notificazione ex articolo 37, comma 1, lett. a), permane ogniqualvolta la geolocalizzazione dei veicoli consenta, anche mediando su altri dati aziendali, l'identificazione del dipendente . La Corte, dunque, censura il ragionamento del Tribunale di rinvio, evidenziando come quest'ultimo abbia introdotto un requisito aggiuntivo, non previsto né dalla legge né dai provvedimenti del Garante: la necessità che l'identificazione dell'interessato avvenga in modo esclusivamente “automatico” tramite codici o sistemi informatici. Secondo la Suprema Corte, infatti, l'elemento dirimente per l'insorgenza dell'obbligo di notifica non è la modalità di identificazione, bensì la possibilità, anche indiretta, per il datore di lavoro, titolare del trattamento, di risalire al lavoratore interessato partendo dai dati di geolocalizzazione . Nel caso concreto, lo stesso Tribunale aveva riconosciuto che: gli automezzi oggetto di localizzazione erano quattro; i conducenti erano altresì quattro; ogni veicolo risultava assegnato ad un determinato autista; il cronotachigrafo, per legge, contiene i dati identificativi del conducente. Sulla base di questi elementi, la Corte afferma che l'identificazione del lavoratore, pur non avvenendo mediante un abbinamento immediato e automatizzato all'interno del sistema GPS, è comunque agevolmente ottenibile attraverso la combinazione dei dati di localizzazione con le informazioni interne relative all'assegnazione dei mezzi e ai dati registrati sul cronotachigrafo . La pretesa necessità di una “certezza” assoluta dell'identificazione, richiamata dal Tribunale, viene dunque ritenuta non fondata in quanto enunciata in termini astratti e non calata nelle peculiari circostanze del caso concreto, nelle quali l'individuazione del conducente appare, di fatto, alla portata del datore di lavoro. Pertanto, la Cassazione accoglie il ricorso del Garante.
Presidente Acierno – Relatore Tricomi Fatti di causa La (OMISSIS) s.r.l. propose opposizione avverso l'ordinanza-ingiunzione notificatale dal Garante della privacy nel giugno 2018, per il pagamento della sanzione amministrativa conseguente alla violazione degli articolo 37 e 38 del d.lgs. n. 196 del 2003 (codice privacy) per aver “omesso di provvedere alla notificazione prevista dall'articolo 37 c. 1 lett. a)” in relazione all'uso di un sistema di geolocalizzazione installato sui propri mezzi di trasporto di merci su strada. Nella resistenza del Garante l'adito Tribunale di Sondrio con sentenza n.244/2020 accolse l'opposizione sul rilievo che il sistema di geolocalizzazione era stato fornito dalla (OMISSIS) s.p.a., che ne aveva “autonomamente ideato e sviluppato le funzionalità (..) per poter fornire i propri servizi ai propri clienti”; mentre la (OMISSIS) si era limitata a fornire alla (OMISSIS) gli automezzi con gli autisti. La Corte di legittimità con ordinanza n.26987/2023 accolse il ricorso proposto successivamente dal Garante, nella contumacia di (OMISSIS), cassando la sentenza con rinvio e statuendo il seguente principio di diritto: “ai fini dell'articolo 28 del codice privacy, titolare del trattamento dei dati personali, in caso di persona giuridica, associazione o ente, è l'entità nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza; ne consegue che, in caso di impresa esercente l'attività di trasporto di merci su strada per conto terzi, la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione dei clienti è condizione sufficiente ai fini della attribuzione a tale impresa della qualificazione di soggetto titolare del trattamento dei dati”. Il Tribunale di Sondrio, in sede di giudizio di rinvio, con la sentenza n. 363/2024, ha nuovamente accolto l'opposizione proposta da (OMISSIS) s.r.l. ed ha annullato l'opposizione all'ordinanza ingiunzione, compensando le spese di lite. Segnatamente il Tribunale, fermo il principio di diritto enunciato dalla Suprema Corte, ha ritenuto che il sistema utilizzato da (OMISSIS) S.R.L. non appariva idoneo a consentire l'identificazione di persone. Ha affermato che «Il sistema GPS viene impiegato, invero, in modo tale che non è possibile procedere alla detta identificazione in modo automatico, ma può semmai consentire di individuare la collocazione di un veicolo in un dato luogo ed in un dato momento. Al fine di potere essere considerato un sistema di geolocalizzazione soggetto all'obbligo della notifica, è necessario che esso consenta di risalire all'identità degli interessati, anche indirettamente attraverso codici.» e che a tal fine sono necessari due requisiti «Il fatto che attraverso il sistema si risalga con certezza all'identità degli interessati, perché altrimenti non vi sarebbe alcuna esigenza di tutela della privacy, ed il fatto che ciò avvenga attraverso l'utilizzo di un sistema automatico (da qui il riferimento a codici).». Quindi, ha concluso «Nel caso qui in disamina, si osserva che l'eventuale identificazione dell'utilizzatore del veicolo avverrebbe, in ogni caso, non già per l'operatività di sistemi automatici ma, appunto, attraverso un'ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell'identità del soggetto così identificato.» (fol.4). Il Garante per la privacy ha proposto ricorso chiedendo la cassazione della sentenza in epigrafe indicata con un mezzo. (OMISSIS) s.r.l. è rimasta intimata. Ragioni della decisione 2.- Con l'unico motivo di ricorso si denuncia la violazione e falsa applicazione dell' articolo 37, comma 1, lettera a) del d.lgs. n. 196/2003 determinata dall'esclusione della sussistenza dell'obbligo di notifica in capo al Garante del trattamento di dati personali in caso di utilizzazione da parte del titolare di un sistema di geolocalizzazione di autoveicoli condotti da propri dipendenti. 3. Il motivo è fondato e va accolto. 4.- L'art.37 del d.lgs. 196/2003 (Notificazione del trattamento) vigente ratione temporis (nel testo [oggi abrogato] precedente le modifiche apportate dal d.lgs. n.101 del 10 agosto 2018 ) detta al comma 1, lett. a) «1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda: a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica». 5.- Con delibera n.1 del 31 marzo 2004 il Garante della privacy ha adottato un “Provvedimento relativo ai casi da sottrarre all'obbligo di notificazione” in cui ha stabilito “A) di sottrarre all'obbligo di notificazione al Garante, tra i casi previsti dall'art.37, comma 1, del d.lg. 30 giugno 2003, n.196: 1) con riferimento ai casi di cui al comma 12, lett. a) di tale disposizione: (..) c) i trattamenti di dati che indicano la posizione geografica di mezzi di trasporto aereo, navale e terrestre, effettuati esclusivamente a fini di sicurezza del trasporto». 6.- Per quanto di interesse, va evidenziato che i sistemi di localizzazione dei veicoli possono soddisfare nell'ambito del rapporto di lavoro esigenze organizzative, produttive ovvero per la sicurezza sul lavoro e vanno posti in relazione alla disciplina di protezione dei dati personali. Inoltre, la localizzazione dei veicoli può comportare una forma di controllo a distanza dell´attività dei lavoratori, e ciò impone il rispetto della disciplina dettata dall´ articolo 4 della legge 20 maggio 1970, n. 300 (Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e nell´attività sindacale nei luoghi di lavoro e norme sul collocamento) peraltro richiamata dagli articolo 11, comma 1, lett. a) e (espressamente) 114 nonché, per i profili sanzionatori, 171 del d.lgs. n.169/2003. 7.- Con provvedimento n.370 del 4 ottobre 2011, denominato “sistemi di localizzazione dei veicoli nel l'ambito del rapporto di lavoro” il Garante ha preso in considerazione i sistemi di localizzazione dei veicoli nell´ambito del rapporto di lavoro ed ha rimarcato che i dati relativi all´ubicazione dei veicoli, in quanto (direttamente o indirettamente) associati ai lavoratori, costituiscono però anche informazioni personali riferibili a questi ultimi (articolo 4, comma 1, lett. b), del Codice della privacy , con la conseguenza che al trattamento di tali informazioni trova applicazione la disciplina contenuta nel Codice, sottolineando che ciò rileva «anche nel caso in cui i dati di localizzazione del veicolo non siano associati immediatamente dal sistema informativo al nominativo dei lavoratori interessati, atteso che il datore di lavoro, titolare del trattamento, è di regola in condizione di risalire in ogni momento al lavoratore di volta in volta assegnatario di ciascun veicolo» (p.1.1.), mentre la disciplina di protezione dei dati personali non trova applicazione ove le informazioni concernenti la gestione del parco automezzi siano trattate senza poter essere in alcun modo ricondotte ai lavoratori. Su queste premesse il Garante ha individuato, in termini generali, le condizioni di liceità di tali trattamenti effettuati per soddisfare esigenze organizzative e produttive ovvero per la sicurezza sul lavoro nell'ambito del rapporto di lavoro al fine di dare attuazione all'istituto del c.d. bilanciamento di interessi disponendo, ai sensi dell´articolo 154, comma 1, lett. c), del d.lgs. n.169/2003, alcune misure opportune rispetto al trattamento dei dati in questione. A tal fine il Garante ha stabilito che «Se sono adottate le garanzie previste dall´ articolo 4, comma 2, l. n. 300/1970 , i datori di lavoro privati e gli enti pubblici economici possono effettuare lecitamente il trattamento dei dati personali (diversi da quelli sensibili) relativi all´ubicazione dei propri dipendenti per soddisfare esigenze organizzative e produttive ovvero per la sicurezza sul lavoro (oltre che sulla base di uno degli altri presupposti di cui all´articolo 24 del Codice), anche in assenza del consenso degli interessati, per effetto del presente provvedimento che, in applicazione della disciplina sul c.d. bilanciamento di interessi (articolo 24, comma 1, lett. g), del Codice), individua un legittimo interesse al trattamento di tale tipologia di dati. Per tale bilanciamento si è tenuto conto delle garanzie che la l. n. 300/1970 prevede per il controllo a distanza presupponendo non il consenso degli interessati, ma un accordo con le rappresentanze sindacali o, in difetto, l'autorizzazione del competente organo periferico del Ministero del lavoro e delle politiche sociali.» (p.2.3.). Il Garante ha, tuttavia, stabilito che resta fermo che il trattamento dei dati di localizzazione deve formare oggetto di notificazione al garante ex art.37, comma 1, lett. a) del d.lgs. n.169/2003, obbligo che nel caso in esame non risulta essere stato assolto. 8.- La decisione in esame non ha dato retta applicazione alle disposizioni in esame. 9.- Innanzi tutto, va osservato che, come si evince dalla sentenza, nella fattispecie in esame, il sistema di localizzazione è stato predisposto «al fine di aumentare la sicurezza del patrimonio aziendale rispetto a furti, ottimizzare i costi aziendali riducendo i chilometri a vuoto e permettere la geolocalizzazione delle merci» (fol. 2, sent. imp.), di guisa che non ricorre l'ipotesi di esonero dalla notificazione prevista dalla delibera del Garante della privacy n.1 del 31 marzo 2004. 10.- Al di fuori dell'ipotesi di cui sopra, l'obbligo di notificazione sussiste anche nel caso in cui i dati di localizzazione del veicolo acquisiti mediante una rete di comunicazione elettronica – come il GPS - non siano associati immediatamente dal sistema informativo al nominativo dei lavoratori interessati, atteso che il datore di lavoro, titolare del trattamento, è di regola in condizione di risalire in ogni momento al lavoratore di volta in volta assegnatario di ciascun veicolo e la disciplina di protezione dei dati personali non trova applicazione ove le informazioni concernenti la gestione del parco automezzi siano trattate senza poter essere in alcun modo ricondotte ai lavoratori. In proposito, va osservato che in sede di cassazione con rinvio questa Corte ha anche precisato che era ininfluente la considerazione che il sistema di geolocalizzazione fosse stato alla stessa fornito dalla (OMISSIS) s.p.a.; né si poteva escludere l'illiceità della condotta contestata alla (OMISSIS) e la qualifica di titolare del trattamento dei dati in capo a (OMISSIS) sul rilievo che sempre la (OMISSIS) aveva autonomamente ideato e sviluppato le funzionalità di quel sistema GPS per la fornitura dei propri servizi. 11.- La decisione impugnata è errata perché ha escluso la violazione dell'obbligo di notificazione al Garante ex art.37, comma 1, lett. a) del d.lgs. n.169/2003 sul rilievo che, nella fattispecie in esame, «l'eventuale identificazione dell'utilizzatore del veicolo avverrebbe, in ogni caso, non già per l'operatività di sistemi automatici ma, appunto, attraverso un'ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell'identità del soggetto così identificato». Tale affermazione non può essere condivisa. A differenza di quanto erroneamente assume il Tribunale, è la possibilità che la localizzazione dell'automezzo mediante una rete di comunicazione elettronica consenta al datore di lavoro di risalire all'identità del lavoratore anche indirettamente ciò che risulta dirimente e impone l'assolvimento dell'obbligo di notificazione, mentre la circostanza che ciò avvenga perché un terzo ha predisposto il sistema di geolocalizzazione, oppure mediante l'utilizzo di codici in maniera automatizzata ne costituisce modalità esecutiva, che non esclude, né è incompatibile con la sussistenza di altre modalità anche indirette che rendano ugualmente possibile l'identificazione del lavoratore in questione. Nel caso in esame, come si evince dalla stessa sentenza, la società aveva accesso al sistema di controllo mediante GPS che le era stato riconosciuto dalla società terza per conto della quale avvenivano i trasporti; gli automezzi in questione erano quattro e quattro erano gli autisti e la società poteva risalire al conducente dell'automezzo per il fatto che ogni automezzo era assegnato ad un determinato autista oppure consultando il cronotachigrafo che per legge deve contenere i dati identificativi dell'autista (fol.2, sent. imp.): il Tribunale stesso ha dato conto di tali circostanze idonee a consentire l'identificazione in maniera indiretta del lavoratore, ma non le ha ritenute sufficienti sull'erroneo convincimento che l'identificabilità indiretta del lavoratore dovesse avvenire in maniera esclusivamente “automatica”, mediante codici, introducendo in tal modo un quid pluris normativamente non richiesto e incorrendo nella violazione di legge lamentata con il motivo, che va accolto. Va aggiunto che, la mancanza di certezza dell'identificazione, cui fa riferimento la decisione impugnata non risulta conducente in quanto non è accompagnata dall'illustrazione di alcuna concreta circostanza fattuale riferita alla fattispecie in esame che consenta di attribuire a questa espressione un significato diverso dalla mera riproduzione di un canone generale di valutazione. 12.- Ne consegue che la decisione impugnata va cassata e, non essendo necessarie ulteriori valutazioni, può essere decisa nel merito con il rigetto dell'opposizione originariamente proposta. Le spese seguono la soccombenza e vanno poste a carico di (OMISSIS) s.r.l. nella misura liquidata in dispositivo sia per le fasi di merito che per le fasi di legittimità. Oscuramento dati personali. P.Q.M. La Corte di cassazione, - accoglie il ricorso e, decidendo nel merito, rigetta l'originaria opposizione; - condanna (OMISSIS) s.r.l. alla refusione delle spese di tutti i gradi di giudizio che liquida nel compenso di €.2.000,00 per il primo giudizio di merito, di €. 3.000,00 per il primo giudizio di legittimità, di €.2.000,00 per il giudizio di merito in riassunzione, di €.3.000, 00 per il presente giudizio di legittimità, oltre per ogni fase le corrispondenti spese prenotate a debito; - dispone che, in caso di diffusione della presente ordinanza, siano omesse le generalità e gli altri dati significativi.