European Data Protection Board: la sicurezza della proprietà può essere un interesse legittimo per il tracciamento GPS, ma la misura deve essere appropriata e necessaria

L’origine del caso: a seguito di un furto in cantiere, il titolare del trattamento dei dati ha introdotto la localizzazione GPS di sette veicoli aziendali nel 2009. I veicoli sono stati utilizzati per il trasporto sul campo e l’installazione di attrezzature presso la sede di alcuni clienti del titolare del trattamento dei dati. Lo scopo del tracciamento GPS era quello di assicurare i veicoli, attrezzature costose e documenti che si trovavano nel veicolo.

Il titolare ha affermato che il tracciamento GPS non rappresenta un trattamento di dati e che le persone potrebbero essere identificate solo in casi eccezionali (reati penali, tutela delle persone e delle cose, incidenti stradali, sinistro, ecc.). L’applicazione GPS non ha potuto accedere ai dati personali degli utenti che hanno utilizzato il veicolo, perché sono stati conservati in un registro separato. I dati sono stati elaborati su richiesta e monitorati da un appaltatore esterno.

La corrispettiva Autorità slovena Garante della protezione dei dati personali, ha verificato che effettivamente il controllore ha effettuato il tracciamento GPS di otto veicoli aziendali, che i veicoli sono stati utilizzati dai dipendenti come veicoli per le consegne e veicoli per la consegna di passeggeri e che il tracciamento è stato effettuato da uno speciale trasmettitore a bordo del veicolo e monitorato da un’applicazione che registrava continuamente la distanza percorsa. Inoltre ha verificato che gli individui erano identificabili.

È stato creato un record speciale contenente una grande quantità di dati sulla posizione dei dipendenti. I dati sono stati elaborati in modo continuo, sistematico e automatico in modo che il datore di lavoro, il titolare del trattamento, potesse determinare in qualsiasi momento dove si trovava una persona che viaggiava con uno dei veicoli, dati consultabili anche retrospettivamente. Il datore di lavoro potrebbe facilmente determinare il dipendente che stava utilizzando il veicolo aziendale e al quale sono attribuibili i dati sull’ubicazione.

L’Autorità slovena ha dunque confermato che garantire la sicurezza della proprietà può essere un legittimo interesse del titolare del trattamento, ma il modo in cui vengono raccolti i dati a tal fine deve necessariamente essere appropriato e risultare necessario. Si è riscontrato che il tracciamento GPS è stato effettuato anche mentre il veicolo e la proprietà al suo interno erano sotto costante e diretta supervisione di un dipendente.

L’Autorità ha deciso dunque che nel caso specifico il tracciamento GPS poteva essere utilizzato solo in modo tale che il conducente potesse accendere il GPS nel momento in cui il veicolo, l’attrezzatura e i documenti fossero a rischio e spegnerlo dopo il ritorno al veicolo, quando i beni tutelati erano nuovamente sotto la supervisione diretta di un dipendente.

Per quanto riguarda la sicurezza delle persone in caso di incidenti stradali, l’Autorità slovena ha deciso che il tracciamento GPS costante era sproporzionato. Il luogo dell’incidente è solitamente noto e potrebbe anche essere segnalato dallo stesso conducente. Il responsabile del trattamento deve dunque utilizzare una misura meno intrusiva sulla privacy delle informazioni personali.

L’Autorità ha dunque ordinato al responsabile del trattamento di interrompere l’elaborazione dei dati dei dipendenti raccolti dal tracciamento GPS continuo, sistematico e automatico.