| Garante per la protezione dei dati personali Localizzazione deiveicoli aziendali a prova di privacy. Verifica preliminare presentata da Loexs.r.l. PROVVEDIMENTO DEL 7LUGLIO 2011 Registro dei provvedimenti n. 285 del7 luglio 2011 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale; Esaminata la richiesta di verifica preliminare presentata da Loexs.r.l. ai sensi dell'art. 17 del Codice in materia di protezione dei datipersonali (d.lg. 30 giugno 2003, n. 196); Visti gli atti d'ufficio; Viste le osservazioni formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Giuseppe Fortunato; PREMESSO 1. Trattamento di dati mediante sistemi dilocalizzazione satellitare 1.1. Loex s.r.l., società che svolge "attività dicommercializzazione di prodotti per il riscaldamento ed il raffrescamento apavimento" nonché di trasporto in proprio degli stessi, ha formulato unarichiesta di verifica preliminare in relazione al trattamento di dati personaliche intende effettuare mediante un sistema di localizzazione satellitare dainstallare a bordo dei veicoli aziendali. Detto sistema di localizzazione,fornito da altra società (di seguito, denominata "fornitore delservizio"), consente all'istante di perseguire due finalità: a. la localizzazione del veicolo, la cui guida può di volta involta essere affidata a conducenti diversi, e la trasmissione della posizionerilevata: ciò al fine di impartire (in forma orale o scritta) disposizionilogistiche e scambiare con il conducente altre comunicazioni; b. l'elaborazione di un rapporto di guida (contenenteinformazioni relative a tempo di percorrenza, velocità media, distanza econsumo di carburante), sì da tener conto del tempo di guida effettivo e delleeventuali interruzioni, nonché di altre operazioni effettuate con il veicolo.Ciò, allo scopo di commisurare il tempo di lavoro, con la conseguenteeliminazione della redazione manuale dei rapporti di guida da parte delconducente, e la conseguente retribuzione dovuta (cfr. comunicazione pervenutail 7 giugno 2011), nonché per assolvere gli obblighi legali connessi allatenuta del libro unico del lavoro. A detta della società, inoltre: c. i dati rilevati grazie al sistema in esame, rispetto al qualesi dichiara di aver implementato le necessarie misure di sicurezza, verrebberoacquisiti secondo criteri previamente concordati per il tramite del fornitoredel servizio e, con riguardo alla localizzazione del veicolo, resi fruibili incaso di necessità; essi verrebbero conservati "su server di proprietà diVelta Italia s.r.l., società appartenente allo stesso gruppo"; d. il fornitore del servizio verrà designato responsabile deltrattamento ai sensi dell'art. 29 del Codice; e. la stessa procederàad effettuare la notificazione al Garante del trattamento dei dati relativialla localizzazione ai sensi dell'art. 37, comma 1, lett. a) del Codice; f. "verranno autorizzate a trattare i dati unicamente lepersone che per necessità delle mansioni svolte devono poter accedere ai datirelativi al trattamento de quo", designandole quali incaricati deltrattamento (in conformità all'art. 30 del Codice): nel dettaglio si tratta delsig. Massimo Fabricatore e del responsabile della logistica magazzino. 1.2. La società ha altresì prodotto il provvedimento autorizzativorilasciato ai sensi dell'art. 4, comma 3, l. n. 300/1970 dal competente Ufficiotutela sociale del lavoro della Provincia autonoma di Bolzano dal quale sievince che: i. l'uso del sistema "al fine del telecontrollo delleattività lavorative dei dipendenti è vietato. I dati raccolti non potrannoessere usati per provvedimenti disciplinari"; ii. "la registrazione dei dati non potrà andare oltre lenecessità della disposizione logistica, della telecomunicazione di servizio edei rapporti di viaggio relativi alla manutenzione del mezzo el'identificazione del mezzo e rispettivamente del guidatore non dovrà eccederela durata assolutamente necessaria". 1.3. Nel corso dell'istruttoria (cfr. comunicazione pervenuta il 1°giugno 2011) la società ha precisato che: a. il sistema che intende installare rileverebbe dati ulterioririspetto a quelli raccolti mediante i tachigrafi di cui sono dotati i veicoli,consentendo di gestire in modo compiuto gli adempimenti correlati al rapportodi lavoro (ad esempio registrando i tempi di carico e scarico del veicolo che,pur non essendo registrati dal tachigrafo, costituiscono comunque "tempodi lavoro" che la società deve commisurare), nonché quelli connessi allagestione dei rapporti contrattuali con la clientela; b. dalla reportistica si desumerebbero la distanza percorsa e lavelocità media del veicolo (necessaria al responsabile della logistica perdistribuire i carichi di lavoro tra i diversi conducenti) nonché i tempi dipercorrenza (necessari alla commisurazione del tempo di lavoro); c. la posizione del veicolo non sarebbe monitorata dalla societàcontinuativamente: "nella sede della società usualmente il sistema èspento, viene acceso solo nel momento in cui il responsabile della logistica hanecessità di verificare la posizione del veicolo e comunicare con ilconducente"; d. "il sistema rileva automaticamente anche i dati tecnicirelativi ai giri del motore ed alla frenata", nonché, in relazione aciascun veicolo, quelli relativi "al consumo di carburante e ai chilometripercorsi [Š] utili al momento della vendita dell'automezzo"; e. i dati relativi ai conducenti degli automezzi "andrebberoconservati per 5 anni, ossia per il periodo per il quale, a mente dell'art. 6,DM 9 luglio 2008, va conservato il libro unico del lavoro" –diversamente dal biennio indicato nell'originaria istanza (cfr. comunicazionedel 16.3.2011) –, intervallo temporale che coinciderebbe con il terminedi prescrizione per eventuali azioni relative al pagamento della retribuzione(comprensiva di emolumenti straordinari). 1.4. Gli elementi richiesti dall'art. 13 del Codice al fine di renderel'informativa agli interessati sono contenuti nel modello allegato dalla societàalla propria istanza di verifica preliminare (in atti), nel quale i tempi diconservazione dei dati trattati sono indicati in due anni (in merito v. infrapunti 4 e 5) e si segnala quale terzo cui i dati verranno trasmessi la societàfornitrice del servizio (in merito v. infra i punti 5 e 7). 2. Applicabilità del Codice in materia diprotezione dei dati personali Il caso sottoposto averifica preliminare riguarda un trattamento di dati personali relativi aconducenti di veicoli aziendali (ed eventualmente ad altri lavoratoritrasportati dai medesimi veicoli), con particolare riferimento alla lorolocalizzazione; i dati relativi all'ubicazione dei veicoli, in quanto(direttamente o indirettamente) associati ai conducenti, costituiscono ancheinformazioni personali riferibili a questi ultimi (art. 4, comma 1, lett. b),del Codice). Ciò, anche nel caso in cui i dati di localizzazione del veicolonon siano associati immediatamente dal sistema informativo al nominativo deiconducenti, atteso che la società è comunque in condizione di risalire in ognimomento al lavoratore di volta in volta assegnatario di ciascun veicolo (cfr.,in proposito, Parere n. 5/2005 sull'uso di dati relativi all'ubicazione al finedi fornire servizi a valore aggiunto del Gruppo di lavoro ex art. 29, direttivan. 95/46/Ce, WP115, p. 10; v. altresì Parere n. 4/2007 sul concetto di datipersonali del Gruppo di lavoro ex art. 29, direttiva n. 95/46/Ce, WP136, p.11). A tali trattamenti trova pertanto applicazione (anche) la disciplinacontenuta nel Codice. Tale circostanza, peraltro, non è revocata in dubbiodalla società istante che non solo ha presentato l'istanza in esame, ma si èaltresì già dotata di apposita autorizzazione da parte del competente Ufficiotutela sociale del lavoro della Provincia autonoma di Bolzano ai sensidell'art. 4, comma 3, l. n. 300/1970. 3. Finalità del trattamento 3.1. Le finalità del trattamento dichiarate dalla società – esopra indicate al punto 1.1. lett. a) e b) – in relazione alfunzionamento del sistema di localizzazione risultano lecite. Secondo quanto prospettato dalla società, il sistema di localizzazionedei veicoli (e indirettamente dei conducenti) e di comunicazione nei confrontidella società è preordinato a rendere più efficiente il servizio di trasportomerci – con una migliore allocazione dei veicoli in dotazione, specie incaso di sopravvenienze suscettibili di essere comunicate in tempo reale al edal conducente – a vantaggio della società (e, indirettamente, dellaclientela). Per il perseguimento delle finalità indicate, riconducibili ad esigenzeorganizzative e produttive della società, dovranno essere trattati i soli datiidonei a rilevare, quando necessario, la posizione dei veicoli nonché leinformazioni indispensabili alla compilazione del rapporto di guida e per lacommisurazione di costi da imputare alla clientela (quali la distanza percorsae il relativo consumo di carburante). Per quanto riguarda le predette finalità, la società potrà entro talilimiti avvalersi del sistema di localizzazione e trattare i dati personalinecessari al suo funzionamento, avendo già assolto gli obblighi previstidall'art. 4 della legge 20 maggio 1970, n. 300 (nello stesso senso v. ildecreto del Ministero del lavoro e delle politiche sociali, Direzione generaledella tutela delle condizioni di lavoro, Divisione IV, 24 giugno 2004, in temadi installazione di impianti di controllo satellitare su autovetture di prontointervento di un'impresa erogatrice di gas, nonché la risposta a una istanza diinterpello del medesimo Ministero, Direzione generale per l'attività ispettiva,prot. n. 25/I/0006585 del 28 novembre 2006, in materia di localizzazionemediante computer palmari assegnati in dotazione a informatori scientifici delfarmaco). 3.2. Considerata l'istanza presentata, non potranno, invece, esseretrattati dati ulteriori rispetto a quelli necessari alle predette finalità, inparticolare "i dati tecnici relativi ai giri del motore ed allafrenata", non essendo questi ultimi necessari per il perseguimento dellefinalità dichiarate. Peraltro, tali informazioni sono suscettibili dideterminare un controllo sulla condotta di guida del conducente, finalità chela società ha dichiarato di non intendere perseguire e, comunque, nonautorizzata dal competente Ufficio tutela sociale del lavoro della Provinciaautonoma di Bolzano. La società, pertanto, ai sensi dell'art. 3 del Codice, dovrà adottareadeguate soluzioni tecnologiche, affinché non vengano trattate le menzionateinformazioni relative allo stile di guida dei conducenti, impartendo alriguardo opportune istruzioni al fornitore del servizio. 4. Conservazione dei dati trattati
Fermi restando gli obblighi di conservazione previsti dall'art. 14,comma 2, Reg. (CEE) 20 dicembre 1985, n. 3821, la società potrà, pertanto,conservare per cinque anni i dati personali necessari alla regolare tenuta dellibro unico del lavoro, in conformità all'art. 6, D.M. 9 luglio 2008 (Modalitàdi tenuta e conservazione del libro unico del lavoro e disciplina del relativoregime transitorio), limitatamente ai dati che nello stesso devono essereannotati ai sensi dell'art. 39 d.l. 25 giugno 2008, n. 112 (convertito inlegge, con modificazioni, dall'art. 1, comma 1, l. 6 agosto 2008, n. 133), conparticolare riferimento ai dati dei lavoratori relativi alle presenze, alleferie e ai tempi di lavoro, anche straordinario, e di riposo (cfr. anche art.8, d.lg. 19 novembre 2007, n. 234 come modificato dall'art. 40, comma 3, d.l.n. 112/2008 nonché la risposta al quesito n. 20 resa dal Ministero del lavoro,della salute e delle politiche sociali nel Vademecum sul libro unico dellavoro). Altri dati, necessari per finalità logistiche durante l'esecuzione delservizio di trasporto (si pensi ai dati relativi alla velocità del veicolo),potranno essere ulteriormente trattati per attività di monitoraggio o dipianificazione soltanto se opportunamente anonimizzati (artt. 3 e 11, comma 1,lett. e), del Codice). Nessun limite deriva dalla disciplina di protezione dei dati personaliove le informazioni concernenti la gestione del parco automezzi (quali quellerelative a consumo di carburante e commisurazione delle distanze percorse daisingoli veicoli) siano trattate senza riferimento ai conducenti, anche inragione della necessaria attività di manutenzione dei singoli veicoli o invista di una loro eventuale alienazione. 5. Informativa agli interessati L'informativa potrà essere resa agli interessati conformemente almodello in atti (cfr. punto 1.4.), provvedendo però: a. alla rettifica dei tempi di conservazione ivi indicati deidati pertinenti e non eccedenti trattati, in conformità a quanto stabilito alpunto precedente; b. all'indicazione della società fornitrice del servizio qualeresponsabile del trattamento e non quale terzo cui i dati vengono comunicati(v. punto 7); c. a menzionare Velta Italia s.r.l. quale responsabile deltrattamento in relazione alla conservazione dei dati rilevati dal sistema dilocalizzazione installato sugli autoveicoli (cfr. punto 7.2). 6. Bilanciamento di interessi
7. Rapporto tra la società istante e altresocietà 7.1. L'esternalizzazione delle attività finalizzate allalocalizzazione dei veicoli ed alla comunicazione della posizione rilevatagrazie a un apposito contratto di collaborazione, asseconda legittime esigenzeorganizzative in base alle quali la società istante, "titolare deltrattamento", si avvale del fornitore del servizio che viene a rivestire,ai sensi dell'art. 29 del Codice, il ruolo di "responsabile deltrattamento" (in tal senso cfr. ipareri resi il 19 dicembre 1998, e l'8 giugno 1999). Il fornitore del servizio, chiamato a operare in base ad un appositocontratto, non gode di spazi di autonomia in ordine alle finalità perseguibili(salva la necessaria autonomia dal punto di vista tecnico per fornire ilservizio richiesto), atteso che il potere decisionale in relazione allemedesime finalità rimane in capo alla società di trasporto (cfr.in tal senso già il parere del Pertanto, l'accordo con il fornitore del servizio deve delimitare gliobiettivi da raggiungere ed orientare al loro esclusivo perseguimento leoperazioni di trattamento dei dati effettuate, nonché individuareanaliticamente i dati pertinenti e non eccedenti da trattare (artt. 3, 4, comma1, lett. g) e 29 del Codice). L'attività del fornitore del servizio dovrà quindi essere vincolatadalle istruzioni impartite dal titolare, che a loro volta devono tener contodelle prescrizioni stabilite dal Garante con il presente provvedimento. 7.2. Analoghe valutazioni devono essere svolte rispetto ad altrasocietà (appartenente al medesimo gruppo), Velta Italia s.r.l., alla qualel'istante intende rimettere il compito relativo alla conservazione dei datirilevati dal sistema di localizzazione installato sugli autoveicoli:anche tale società dovrà, pertanto, essere designata responsabile deltrattamento ai sensi dell'art. 29 del Codice ed alla stessa dovranno essereimpartite le necessarie istruzioni, anche in relazione ai tempi diconservazione dei dati conformemente a quanto indicato in narrativa al punto 4. TUTTO CIÒ PREMESSO ILGARANTE a conclusione della verifica preliminare relativa all'utilizzo di unsistema di localizzazione satellitare che Leox s.r.l. (con l'ausilio di altresocietà responsabili del trattamento) intende effettuare per finalità connessealla gestione logistica dei propri veicoli e per l'assolvimento di adempimenticonnessi alla gestione del rapporto di lavoro nonché dei rapporti contrattualicon la propria clientela, ammette il trattamento nei termini descritti innarrativa, fermo restando che: 1. ai sensi degli artt. 17 e 154, comma 1, lett. c), del Codice,la società: a. per il perseguimento delle finalità indicate, dovrà trattare isoli dati idonei a rilevare, quando necessario, la posizione dei veicoli nonchéle informazioni indispensabili alla compilazione del rapporto di guida e per lacommisurazione di costi da imputare alla clientela (punto 3.1); b. dovrà adottare adeguate soluzioni tecnologiche affinché nonvengano trattati dati relativi allo stile di guida dei conducenti, impartendoal riguardo opportune istruzioni al fornitore del servizio designatoresponsabile del trattamento (punti 3.2 e 7.1); c. potrà conservare per cinque anni i dati personali necessari adare esecuzione all'obbligo di regolare tenuta del libro unico del lavoro,limitatamente ai dati che nello stesso devono essere annotati (punto 4); d. dovrà designare Velta Italia s.r.l. quale responsabile deltrattamento in relazione alla conservazione dei dati rilevati dal sistema dilocalizzazione installato sugli autoveicoli (punto 7.2), impartendo alla stessale necessarie istruzioni anche in relazione ai tempi di conservazione dei daticonservati, conformemente a quanto prescritto al punto 1 lett. b); e. nel rendere l'informativa agli interessati ai sensi dell'art.13 del Codice, conformemente al modello di informativa in atti, dovrà però: i. indicare in cinque anni il tempo di conservazione dei dati,pertinenti e non eccedenti, trattati mediante il sistema di localizzazione(punti 4 e 5); ii. indicare la società fornitrice del servizio qualeresponsabile del trattamento e non quale terzo cui i dati vengono comunicati(punti 5 e 7.1); iii. menzionare Velta Italia s.r.l. quale responsabile deltrattamento in relazione alla conservazione dei dati rilevati dal sistema dilocalizzazione installato sugli autoveicoli (punti 5 e 7.2). 2. considerata l'intervenuta autorizzazione del competenteUfficio tutela sociale del lavoro della Provincia autonoma di Bolzano inconformità alla previsione di cui all'art. 4, comma 3, l. n. 300/1970, pereffetto del presente provvedimento individua in capo alla società un legittimointeresse al trattamento dei dati relativi all'ubicazione dei propri dipendentiin applicazione della disciplina sul c.d. bilanciamento di interessi ai sensidell'art. 24, comma 1, lett. g), del Codice. Roma, 7 luglio 2011 IL PRESIDENTE Pizzetti IL RELATORE Fortunato |