GPS: la geolocalizzazione è un dato personale?

Il GPS, pur essendo uno strumento indispensabile per la navigazione e la geolocalizzazione, raccoglie e tratta dati personali estremamente sensibili. Ma come vengono utilizzati questi dati? E, soprattutto, le normative sulla privacy – come il GDPR – sono davvero sufficienti a garantire la nostra tutela, o servono ulteriori misure di protezione?

La risposta è chiara: sì, serve grande attenzione. I dati di localizzazione, infatti, non sono semplici informazioni tecniche: essi possono rivelare in modo dettagliato i nostri spostamenti quotidiani, le nostre abitudini, i luoghi che frequentiamo, perfino le nostre preferenze personali o la nostra fede religiosa (basti pensare a chi si reca regolarmente in un luogo di culto).

Per questo motivo, rientrano a pieno titolo tra le categorie di dati che il Regolamento Europeo 679/2016 (GDPR) tutela con particolare rigore.

Come funziona il GPS e quali dati raccoglie

Il GPS sfrutta una rete di satelliti in orbita intorno alla Terra, che trasmettono segnali contenenti l’ora esatta e la posizione. Un dispositivo GPS – come uno smartphone, un navigatore per auto o un localizzatore installato su un mezzo aziendale – riceve i segnali da almeno quattro satelliti e calcola la posizione esatta in latitudine, longitudine e altitudine.

In pratica, ogni dispositivo dotato di GPS trasmette in continuazione:

• • la nostra posizione in tempo reale,

  • i percorsi effettuati,

  • gli orari degli spostamenti,

  • e di conseguenza anche le nostre abitudini personali o professionali.

Queste informazioni, se gestite correttamente, sono utili per garantire sicurezza, ottimizzare i trasporti aziendali, ridurre i costi e migliorare l’efficienza. Tuttavia, se utilizzate in modo scorretto o senza consenso, possono trasformarsi in un serio rischio per la privacy e la libertà individuale.

Rischi concreti per utenti e lavoratori

I dati GPS possono essere sfruttati in modo illecito per:

• monitorare i dipendenti senza consenso,
• tracciare persone a loro insaputa,
• ricostruire abitudini e stili di vita a fini commerciali,
• conservare dati oltre il necessario, creando archivi potenzialmente abusivi.

Per esempio, un datore di lavoro che installa sistemi di localizzazione sui veicoli aziendali deve informare chiaramente i dipendenti e rispettare i limiti imposti dalla legge. In caso di utilizzo del GPS come strumento di controllo a distanza, è obbligatorio ottenere un accordo sindacale o l’autorizzazione preventiva dall’Ispettorato del Lavoro.

Cosa dice la normativa

Il GDPR impone alcuni principi fondamentali che le aziende devono rispettare:

• Trasparenza: utenti e dipendenti devono sapere quali dati vengono raccolti e con quali finalità.
• Limitazione delle finalità: i dati vanno utilizzati esclusivamente per gli scopi dichiarati.
• Minimizzazione e conservazione: raccogliere solo i dati strettamente necessari e conservarli per un periodo limitato.
• Sicurezza: proteggere i dati con cifratura, accessi controllati e misure tecniche adeguate.

Eppure, nonostante queste regole, i casi di violazioni non mancano: tracciamenti occulti, conservazione dei dati per anni senza motivo, uso per fini diversi da quelli dichiarati. Questo dimostra che, oltre alla legge, serve una cultura aziendale e tecnologica della privacy, capace di bilanciare l’efficienza con la tutela delle persone.

Un caso recente conferma l’importanza di rispettare queste regole: il Garante della Privacy ha multato un’azienda di autotrasporti con una sanzione di 50mila euro per l’uso illecito dei GPS installati sui veicoli aziendali. Il provvedimento è scattato a seguito di un reclamo presentato da un ex dipendente, rivelando che circa 50 lavoratori erano stati monitorati senza il rispetto delle normative sulla protezione dei dati. Il sistema tracciava in modo continuativo la localizzazione, la velocità e lo stato dei veicoli, senza attenersi ai limiti previsti dalla legge.

Sebbene l’azienda avesse notificato l’uso del GPS all’Ispettorato del Lavoro, l’effettivo utilizzo del sistema si discostava da quanto dichiarato: i dati non erano anonimizzati né minimizzati, e l’informativa fornita ai dipendenti risultava incompleta. Inoltre, i dati raccolti venivano conservati per oltre cinque mesi, in violazione del principio di limitazione della conservazione stabilito dal GDPR.

Siamo davvero consapevoli di quante informazioni lasciamo dietro di noi? E soprattutto, chi ha il controllo su questi dati? La geolocalizzazione è uno strumento potente, ma il confine tra il suo uso legittimo e la violazione della privacy è sottile. Voi cosa ne pensate? La normativa attuale è sufficiente a proteggere i lavoratori o servono regole più rigide?