La sentenza della Cassazione n. 9374/2026 affronta un tema di grande attualità e rilevanza giuridica: l’obbligo di notificazione all’Autorità Garante per la protezione dei dati personali in presenza di sistemi di geolocalizzazione aziendale. Nel caso di specie, si evidenzia la circostanza che, pur essendo il sistema di localizzazione limitato alla tracciatura dell’automezzo, il datore di lavoro, tramite l’uso di tali strumenti, può indirettamente risalire all’identità del lavoratore.
**2. Contesto normativo**
- **Regolamento (UE) 2016/679 (GDPR)**: disciplina la protezione dei dati personali, imponendo obblighi di informativa, liceità del trattamento, responsabilità e trasparenza.
- **Codice in materia di protezione dei dati personali (D.lgs. 196/2003)**, aggiornato dal D.lgs. 101/2018, recependo il GDPR.
- **Linee guida del Garante**: forniscono chiarimenti sul trattamento di dati di geolocalizzazione, anche in ambito lavorativo.
**3. La questione giuridica**
Il punto centrale riguarda l’obbligo di notificare al Garante il trattamento di dati effettuato tramite sistemi di geolocalizzazione, anche se questi sono limitati alla localizzazione dell’automezzo, e non direttamente del lavoratore.
In particolare, se il datore di lavoro, attraverso il sistema di localizzazione, può indirettamente identificare il lavoratore, si configura comunque un trattamento di dati personali soggetto alla normativa sulla protezione dei dati.
**4. Analisi della decisione della Cassazione n. 9374/2026**
La Suprema Corte ha affermato che:
- **L’obbligo di notificazione al Garante sussiste** anche quando il sistema di geolocalizzazione consente esclusivamente di tracciare il veicolo, poiché tale trattamento può comunque portare all’identificazione del soggetto (il lavoratore), in quanto il datore di lavoro può, attraverso le informazioni raccolte, risalire all’identità del dipendente.
- **La mancanza di una localizzazione diretta del lavoratore** non esclude l’obbligo di notificazione, poiché la normativa tutela anche i dati indirettamente riconducibili a individui identificabili, in virtù del principio di responsabilizzazione e della diligenza richiesta ai titolari del trattamento.
- **Il principio di minimizzazione** non può essere interpretato in modo da escludere l’obbligo di notifica qualora il trattamento possa indirettamente portare all’identificazione di una persona.
**5. Implicazioni pratiche e interpretative**
- La sentenza sottolinea che anche sistemi di localizzazione apparentemente limitati o tecnicamente “passivi” devono essere sottoposti a obbligo di notifica se consentono, anche indirettamente, di identificare i soggetti coinvolti.
- La presenza di strumenti di geolocalizzazione nei veicoli aziendali, anche se progettati solo per monitorare la posizione del mezzo, può comportare un trattamento di dati personali del lavoratore, in quanto il datore può ricostruire l’identità del dipendente attraverso le informazioni raccolte.
- La normativa sulla protezione dei dati impone ai titolari di adottare tutte le misure necessarie per garantire la trasparenza e la liceità del trattamento, compresa la notifica preventiva al Garante in caso di trattamento di dati personali, anche indiretti.
**6. Conclusioni**
La sentenza n. 9374/2026 ribadisce un principio fondamentale: **l’obbligo di notificazione al Garante sussiste ogni qualvolta il trattamento di dati di geolocalizzazione può, anche indirettamente, portare all’identificazione del soggetto, nel caso specifico il lavoratore**. Ciò implica che le aziende devono adottare una strategia di compliance accurata, valutando attentamente la natura e le finalità delle attività di localizzazione, e garantendo la trasparenza nei confronti dei lavoratori e delle autorità di tutela.
**In sintesi:**
- La localizzazione di un automezzo può comportare il trattamento di dati personali del lavoratore.
- Anche sistemi limitati alla localizzazione del veicolo devono essere notificati al Garante, se c’è possibilità di risalire all’identità del lavoratore.
- La responsabilità del datore di lavoro nel rispetto della normativa sulla privacy è rafforzata, specie in ambito lavorativo.
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE PRIMA CIVILE
Composta dai magistrati
Dott. ACIERNO Maria - Presidente
Dott. TRICOMI Laura - Consigliere
Dott. RUSSO Rita Elvira A. - Relatore
Dott. REGGIANI Eleonora - Consigliere
Dott. FLAMINI Martina - Consigliere
ha pronunciato la seguente
ORDINANZA
sul ricorso iscritto al n. 11857/2025 R.G. proposto da
GARANTE PROTEZIONE DATI PERSONALI - PRIVACY in persona del legale rappresentante pro tempore, rappresentato e difeso dall'Avvocatura Generale Dello Stato
-ricorrente-
Contro
OMISSISSrl in persona del legale rappresentante pro tempore
-intimata-
avverso la sentenza del Tribunale di Sondrio n. 364/2024 depositata il 05/12/2024.
Udita la relazione svolta nella camera di consiglio del 04/03/2026 dal Consigliere Rita Elvira A. Russo.
Fatto
La società di trasporto OMISSISSrl è stata sanzionata dal Garante per la protezione dei dati personali con verbale n. Omissis del 19 dicembre 2017, per la violazione dell'art. 163 del Codice privacy, per aver effettuato il trattamento di dati personali di cui all'art. 37, comma 1, lett. a), in relazione all'uso di un sistema di geolocalizzazione installato sui propri mezzi di trasporto di merci su strada (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la notificazione al Garante secondo le modalità indicate dal Codice. Il Tribunale di Sondrio ha annullato il provvedimento sul rilievo che il sistema di geolocalizzazione era stato gestito solo ed esclusivamente da altra società e non dalla OMISSIS OMISSIS.
Con ordinanza 26969/2023, questa Corte di Cassazione ha accolto il ricorso proposto dal Garante, cassando la sentenza del Tribunale di Sondrio con rinvio, ed enunciando il seguente principio di diritto "ai fini dell'art. 28 del codice privacy, titolare del trattamento dei dati personali, in caso di persona giuridica, associazione o ente, è l'entità nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza; ne consegue che, in caso di impresa esercente l'attività di trasporto di merci su strada per conto terzi, la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione dei clienti è condizione sufficiente ai fini della attribuzione a tale impresa della qualificazione di soggetto titolare del trattamento dei dati".
Riassunta la causa da parte della società oggi intimata, il Tribunale di Sondrio ha ritenuto infondata nel merito la contestazione, rilevando che "fermo il principio di diritto enunciato dalla Suprema Corte, osserva questo giudicante che, nel caso di specie, il sistema utilizzato da OMISSISSrl non appare idoneo a consentire l'identificazione di persone. Il sistema GPS viene impiegato, invero, in modo tale che non è possibile procedere alla detta identificazione in modo automatico, ma può semmai consentire di individuare la collocazione di un veicolo in un dato luogo ed in un dato momento. Al fine di potere essere considerato un sistema di geolocalizzazione soggetto all'obbligo della notifica, è necessario che esso consenta di risalire all'identità degli interessati, anche indirettamente attraverso codici. Nel caso qui in disamina, si osserva che l'eventuale identificazione dell'utilizzatore del veicolo avverrebbe, in ogni caso, non già per l'operatività di sistemi automatici ma, appunto, attraverso un'ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell'identità del soggetto così identificato".
Il Garante ha proposto ricorso per cassazione affidandosi ad un motivo. Non si è costituita la controparte
Diritto
1.- Con l'unico motivo di ricorso si lamenta la violazione e falsa applicazione dell'art. 37, comma 1, lettera a) del D.Lgs. n. 196/2003, determinata dall'esclusione della sussistenza dell'obbligo di notifica in capo al trattamento di dati personali in caso di utilizzazione da parte del titolare di un sistema di geolocalizzazione di autoveicoli condotti da propri dipendenti. Parte ricorrente rileva che è pacifico, come ha riconosciuto anche il Tribunale di Sondrio, che il sistema utilizzato da OMISSISSrl è un sistema di geolocalizzazione che consente l'individuazione di un veicolo, in un dato luogo ed in un dato momento. Ciò è sufficiente a far ritenere l'applicabilità, nel caso di specie, dell'obbligo di notifica, ex art. 37, comma 1, lettera a), attualmente non più in vigore, ma vigente all'epoca della condotta contestata alla controparte, in forza del quale è imposto al titolare di notificare il trattamento dei dati personali cui intenda procedere, se il trattamento riguarda "dati genetici biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica". Deduce che la circostanza che il sistema di geolocalizzazione utilizzato dalla controparte non consenta di risalire direttamente all'identità degli interessati è assolutamente irrilevante, posto che esso è comunque idoneo a consentire la geolocalizzazione di veicoli ed indirettamente del conducente degli stessi, come risulta anche dal verbale del 25 ottobre 2017, redatto dalla Guardia di Finanza Nucleo speciale Privacy, alla pagina 3 "I verbalizzanti hanno chiesto alla parte in che modo si può risalire all'autista di un determinato automezzo soggetto a geolocalizzazione. Parte detta operazione è possibile sia collegando i dati relativi all'assegnazione dell'automezzo ad un determinato autista, sia dalla lettura del cronotachigrafo da cui si evince, tra le altre informazioni, il nome dell'autista e della targa dell'automezzo."
2.- Il motivo è fondato.
L'art. 37 del D.Lgs. 196/2003 (Notificazione del trattamento) vigente ratione temporis nel testo (oggi abrogato) precedente le modifiche apportate dal D.Lgs.n.101 del 10 agosto 2018, così prevede al comma 1, lett. a) "1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica".
Risulta quindi evidente dall'uso della disgiuntiva "o" e "od" che è la notifica deve farsi sia nel caso in cui il sistema di geolocalizzazione consenta di indicare la posizione geografica di persone sia nel caso in cui consenta di indicare la posizione di oggetti.
Questa Corte, in un caso analogo ha ritenuto erronea la decisione dello stesso Tribunale che ha escluso la violazione dell'obbligo di notificazione al Garante ex art.37, comma 1, lett. a) del D.Lgs. n.169/2003 con la medesima motivazione, rilevando che è la possibilità che la localizzazione dell'automezzo mediante una rete di comunicazione elettronica consenta al datore di lavoro di risalire all'identità del lavoratore anche indirettamente ciò che risulta dirimente e impone l'assolvimento dell'obbligo di notificazione, mentre la circostanza che ciò avvenga perché un terzo ha predisposto il sistema di geolocalizzazione, oppure mediante l'utilizzo di codici in maniera automatizzata ne costituisce modalità esecutiva, che non esclude, né è incompatibile con la sussistenza di altre modalità anche indirette che rendano ugualmente possibile l'identificazione del lavoratore in questione (Cass. 16/02/2026, n. 3462).
Nella specie il Tribunale di Sondrio ha accertato nel merito che con il sistema usato dalla società si individua la collocazione di un veicolo in un dato luogo in un dato momento, ma non ne ha tratto le corrette conseguenze in punto di diritto dal momento che ha ritenuto necessario per l'applicazione dell'articolo 37 che ciò consentisse l'identificazione automatica della persona; requisito non richiesto dall'art. 37 citato per il quale basta ai fini dell'obbligo di notifica che il trattamento riguardi dati che indicano la posizione geografica di persone od oggetti.
Ne consegue la cassazione della sentenza impugnata e, non essendo necessari ulteriori accertamenti in fatto, la causa può essere decisa nel merito con il rigetto dell'opposizione originariamente proposta.
Le spese seguono la soccombenza e vanno poste a carico dell'intimata nella misura liquidata in dispositivo sia per le fasi di merito che per le fasi di legittimità.
P.Q.M.
Accoglie il ricorso e, decidendo nel merito, rigetta l'originaria opposizione della società OMISSISSrl che condanna alle spese di tutti i gradi di giudizio, che liquida nel compenso di Euro 2.000,00 per il primo giudizio di merito, di Euro 3.000,00 per il primo giudizio di legittimità, di Euro 2.000,00 per il giudizio di merito in riassunzione, di Euro 3.000, 00 per il presente giudizio di legittimità, per ogni fase con le corrispondenti spese prenotate a debito.
In caso di diffusione del presente provvedimento omettere le generalità e gli altri titoli identificativi a norma dell'art. 52 D.Lgs. 196/2003.
Così deciso in Roma il 4 marzo 2026.
Depositato in Cancelleria il 14 aprile 2026.
Nessun commento:
Posta un commento