L’impiego di sistemi di geolocalizzazione sui veicoli aziendali rappresenta uno degli ambiti più sensibili del trattamento dei dati personali dei lavoratori, poiché consente un monitoraggio continuo degli spostamenti e, indirettamente, dell’attività lavorativa. L’ordinanza della Cassazione del 16 febbraio 2026, n. 3462, interviene nuovamente su questo tema, chiarendo i presupposti dell’obbligo di notifica al Garante previsto dall’art. 37, comma 1, lett. a), d.lgs. 196/2003 nel testo previgente e definendo con precisione la responsabilità del titolare del trattamento.
La vicenda trae origine dall’ordinanza-ingiunzione con cui il Garante aveva sanzionato una società di trasporto per non aver notificato il trattamento relativo a “un sistema di geolocalizzazione installato sui propri mezzi di trasporto di merci su strada”. Il Tribunale di Sondrio aveva annullato la sanzione, ritenendo che il sistema fosse stato progettato e gestito da un’altra società e che la ricorrente si fosse limitata a fornire “gli automezzi con gli autisti”, escludendo così la sua titolarità del trattamento.
La Cassazione ribalta questa impostazione e chiarisce, innanzitutto, che la geolocalizzazione dei veicoli costituisce sempre trattamento di dati personali riferibili ai lavoratori, anche quando l’identificazione avvenga solo in via mediata. Nel documento si legge infatti che “l’uso del GPS sugli automezzi impone la notifica al Garante anche se l’identificazione del lavoratore avviene solo indirettamente tramite l’assegnazione del mezzo o attraverso i dati del cronotachigrafo”. Il dato di posizione del veicolo è dunque, per sua natura, un dato personale del conducente.
La Corte precisa, inoltre, che la titolarità del trattamento non dipende da chi abbia materialmente sviluppato o fornito il sistema tecnologico, ma da chi ne determina finalità e modalità. Richiamando l’ordinanza n. 26987/2023, la Cassazione ribadisce che la società che utilizza il GPS per organizzare, monitorare o gestire l’attività lavorativa è titolare del trattamento, indipendentemente dal ruolo del fornitore tecnico.
In questo quadro, il ruolo del Garante emerge come presidio essenziale di legalità. Nel regime previgente, la notifica costituiva uno strumento di controllo preventivo sui trattamenti potenzialmente invasivi, come quelli basati sulla geolocalizzazione. La mancata notifica non era un mero adempimento formale, ma un elemento sostanziale di trasparenza e accountability: la sua omissione rendeva illecito l’intero trattamento. La decisione della Cassazione conferma quindi la funzione del Garante come garante effettivo dell’equilibrio tra esigenze organizzative dell’impresa e tutela dei diritti dei lavoratori, riaffermando che nessuna delega tecnica può elidere le responsabilità del titolare.
Dott.ssa Martina Raimondo