Una segnalazione dall’interno
Il provvedimento del 28 maggio 2026 nasce dalla segnalazione di una persona che lavora, e che si accorge di essere seguita. L’interessato contesta che la raccolta dei dati sarebbe avvenuta in assenza delle condizioni di legittimità previste dall’articolo 4 della legge 20 maggio 1970, numero 300, e senza le necessarie informazioni sull’installazione dei sistemi.
La legge citata è lo Statuto dei lavoratori, e l’articolo 4 è la norma che in Italia regola, da oltre mezzo secolo, i controlli a distanza del datore di lavoro. Nominarlo significa spostare subito la questione dal terreno della protezione dei dati a quello del diritto del lavoro: due discipline che qui si intrecciano, e che il provvedimento tiene insieme fino alla fine.
Il titolare del trattamento viene invitato a produrre scritti difensivi o documenti, ovvero a chiedere di essere sentito dall’Autorità, ai sensi dell’articolo 166, commi 6 e 7, del Codice e dell’articolo 18, comma 1, della legge 24 novembre 1981, numero 689. È il procedimento sanzionatorio ordinario, con le sue garanzie: prima si contesta, poi si ascolta.
Che cosa veniva raccolto
L’oggetto della sorveglianza sono i veicoli aziendali, e con essi le persone che li guidano. Il provvedimento parla espressamente del «trattamento dei dati relativi alla geolocalizzazione del personale utilizzatore dei veicoli aziendali»: la formula è precisa, e distingue il dato tecnico dalla sua conseguenza. Localizzare un mezzo significa localizzare chi lo conduce.
Nel corso del procedimento l’Azienda fornisce ulteriori elementi, dando evidenza dello svolgimento di una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del Regolamento con riguardo alla geolocalizzazione dei veicoli. Ma il momento in cui quella valutazione è stata fatta è decisivo, e su quello il provvedimento non transige: il trattamento «è stato altresì effettuato in assenza di una preliminare valutazione d’impatto sulla protezione dei dati».
La parola che regge l’intero accertamento è preliminare. La valutazione d’impatto non è un adempimento che si può recuperare a posteriori, quando l’Autorità bussa: serve a decidere se e come attivare un trattamento rischioso, e una valutazione fatta dopo l’attivazione non ha più niente da valutare.
Il rinvio che rende lo Statuto una condizione di liceità
Il passaggio giuridicamente più denso del provvedimento è quello che spiega perché una norma del 1970 continui a governare la sorveglianza digitale del 2026.
Il Codice italiano in materia di protezione dei dati, «confermando l’impianto anteriore alle modifiche apportate dal decreto legislativo 10 agosto 2018, numero 101, fa espresso rinvio alle disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro».
Ed ecco la conseguenza: «per effetto di tale rinvio, e tenuto conto dell’articolo 88, paragrafo 2, del Regolamento, l’osservanza degli articoli 4 e 8 della legge 20 maggio 1970, numero 300, e dell’articolo 10 del decreto legislativo numero 297/2003 (nei casi in cui ne ricorrono i presupposti) costituisce una condizione di liceità del trattamento».
Non è una formula di cortesia verso il diritto del lavoro. Significa che se le procedure dello Statuto non sono state rispettate — l’accordo sindacale o l’autorizzazione amministrativa, l’informazione adeguata ai lavoratori — allora il trattamento è illecito anche sotto il profilo della protezione dei dati, indipendentemente da ogni altra considerazione. La violazione lavoristica diventa violazione del Regolamento europeo.
Il divieto di riutilizzo
Da quel rinvio discende una regola che ha effetti pratici molto ampi, e che il provvedimento enuncia con nettezza: il quadro normativo «consente quindi al titolare (datore di lavoro) di utilizzare, nell’ambito di ulteriori trattamenti per finalità di gestione del rapporto di lavoro, solo le informazioni originariamente raccolte nel rispetto delle condizioni e dei limiti previsti dall’articolo 4 della legge 300 del 1970».
È il principio che impedisce alla sorveglianza di espandersi da sé. Un dato raccolto per una finalità legittima — la sicurezza di un mezzo, la logistica di una flotta — non diventa per ciò stesso disponibile per valutare una persona, ricostruirne gli spostamenti o fondare un provvedimento disciplinare. E se è stato raccolto fuori dalle condizioni dello Statuto, non è utilizzabile affatto.
Un quadro che viene da lontano e arriva da vicino
Il provvedimento non decide in isolamento: si appoggia a una catena di precedenti che vale la pena scorrere, perché mostra quanto il tema sia consolidato.
C’è il Consiglio d’Europa, con la Raccomandazione del 1° aprile 2015, CM/Rec(2015)5, e in particolare il suo principio 16. C’è la Corte di cassazione, con la sentenza del 19 settembre 2016, numero 18302, che ha confermato un provvedimento del Garante del 21 luglio 2011, numero 308. E c’è la Corte di giustizia dell’Unione europea, con la causa C-65/23 del 19 dicembre 2024.
Sul versante interno, il Garante richiama i propri provvedimenti del 13 marzo 2025, numero 135, e del 10 luglio 2025, numero 410. Sono decisioni recenti: la materia è in movimento, e l’Autorità sta costruendo un orientamento riga per riga.
Le norme violate
L’elenco finale delle violazioni è insolitamente lungo, e ciascuna voce racconta un aspetto diverso dello stesso problema.
Il Garante dichiara, ai sensi dell’articolo 57, paragrafo 1, lettera f), del Regolamento, l’illiceità del trattamento effettuato dall’Azienda per violazione degli articoli 5, paragrafo 1, lettere a), b) e c), 6, 25, 35 e 88 del Regolamento, nonché degli articoli 113 e 114 del Codice.
L’articolo 5 raccoglie i principi: liceità e correttezza, limitazione della finalità, minimizzazione. L’articolo 6 riguarda la base giuridica, cioè la domanda se il trattamento potesse essere fatto. L’articolo 25 è la protezione dei dati fin dalla progettazione, che chiede di pensare alle garanzie prima di costruire il sistema e non dopo. L’articolo 35 è la valutazione d’impatto mancante. L’articolo 88 è quello che apre al diritto nazionale del lavoro. Gli articoli 113 e 114 del Codice sono le disposizioni che richiamano lo Statuto dei lavoratori.
Letti insieme, dicono una cosa sola: il sistema è stato acceso senza fare prima le domande che vanno fatte prima.
La sanzione, e chi la paga
La violazione è soggetta, tenuto conto dell’articolo 83, paragrafo 3, del Regolamento, alla sanzione amministrativa pecuniaria prevista dall’articolo 83, paragrafo 5, e va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’articolo 83, paragrafo 2. Il Garante richiama anche le «Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR» del Comitato europeo per la protezione dei dati, del 24 maggio 2023, al punto 60.
Il destinatario è un ente pubblico: l’ordine è rivolto all’Azienda Tutela della Salute per la Liguria, in persona del legale rappresentante pro tempore, con sede legale in Piazza Della Vittoria 15, 16121 Genova, codice fiscale 02421770997. La somma è di 6.000 euro.
Il provvedimento aggiunge una facoltà prevista dall’articolo 166, comma 8, del Codice: il contravventore può definire la controversia pagando, entro trenta giorni, un importo pari alla metà della sanzione comminata. In caso contrario, l’ingiunzione impone il pagamento dei 6.000 euro entro trenta giorni dalla notificazione, pena l’adozione dei conseguenti atti esecutivi.
Che cosa resta
Come per ogni ordinanza ingiunzione, il Garante dispone che si proceda alla pubblicazione sul proprio sito internet, ai sensi dell’articolo 166, comma 7, del Codice e dell’articolo 16, comma 1, del Regolamento del Garante numero 1/2019, e rileva che ricorrono i presupposti di cui all’articolo 17 dello stesso Regolamento.
Seimila euro, dimezzabili a tremila, sono una cifra che un’azienda sanitaria regionale assorbe senza scosse. Ma la sanzione non è il contenuto del provvedimento: il contenuto è l’accertamento che un datore di lavoro pubblico ha localizzato il proprio personale senza avere prima verificato di poterlo fare, e che una valutazione d’impatto prodotta durante il procedimento non sana ciò che andava deciso prima di accendere il sistema.
È un principio che riguarda ogni flotta aziendale d’Italia, e il fatto che qui a sbagliarlo sia stata un’amministrazione pubblica lo rende più istruttivo, non meno.