A partire dal 1° gennaio 2026, le imprese iscritte all’Albo Gestori Ambientali in categoria 5, che effettuano trasporto di rifiuti speciali pericolosi, saranno obbligate a dotare i propri veicoli di sistemi di geolocalizzazione, come previsto dall’art. 16 del Decreto Ministeriale 59/2023. L’obbligo, che deve essere attestato entro il 31 dicembre 2025 tramite apposita autodichiarazione sul portale AGEST, rientra nell’ambito del sistema RENTRI (Registro Elettronico Nazionale per la Tracciabilità dei Rifiuti).

Oltre agli adempimenti tecnici e amministrativi, questa misura solleva importanti implicazioni in materia di protezione dei dati personali, che le imprese devono attentamente considerare.

GEOLOCALIZZAZIONE E TRATTAMENTO DATI: UN TRATTAMENTO AD ALTO RISCHIO

Il sistema di geolocalizzazione previsto dalla normativa consente di monitorare in tempo reale il percorso effettuato da ciascun veicolo, associando la posizione al numero di targa e al telaio, con la possibilità di ricostruire interamente gli spostamenti. Questo significa che, nel caso in cui i veicoli siano condotti da dipendenti o collaboratori, si configura un trattamento di dati personali che rientra nell’ambito di applicazione del Regolamento (UE) 2016/679 (GDPR).

La geolocalizzazione continua e sistematica di lavoratori rientra tra i trattamenti ad alto rischio, secondo quanto indicato dal Garante Privacy, e quindi richiede la preventiva redazione di una Valutazione d’Impatto sulla Protezione dei Dati (DPIA), ai sensi dell’art. 35 del GDPR.

DPIA: UN OBBLIGO PER EVITARE SANZIONI

L’obbligo di predisporre una DPIA non è solo un adempimento formale: rappresenta uno strumento fondamentale per valutare e mitigare i rischi connessi alla raccolta, registrazione e conservazione dei dati di geolocalizzazione, che possono rivelare abitudini, spostamenti e comportamenti del personale.

La DPIA dovrà tenere conto di:

• finalità specifiche del trattamento (tracciamento per adempimenti RENTRI);
• base giuridica (obbligo normativo);
• durata e modalità di conservazione dei dati;
• soggetti autorizzati al trattamento e misure di sicurezza adottate;
• modalità di informativa ai dipendenti;
• eventuale coinvolgimento dei rappresentanti sindacali e rispetto dell’art. 4 dello Statuto dei Lavoratori.

LE INDICAZIONI DEL GARANTE PRIVACY

Il Garante per la protezione dei dati personali, nel suo parere preventivo sul DM 59/2023, ha sottolineato l’importanza di esplicitare l’obbligo di rispetto del GDPR all’interno del testo normativo, richiedendo di menzionare espressamente tale aspetto all’art. 16. È quindi chiaro che le imprese non possono limitarsi a installare i dispositivi, ma devono adottare tutte le misure necessarie per assicurare la compliance alla normativa privacy.

COME METTERSI IN REGOLA?

Per evitare sanzioni e responsabilità, le imprese devono:

• valutare l’impatto della geolocalizzazione sotto il profilo privacy;
• redigere una DPIA accurata e aggiornata;
• aggiornare il registro dei trattamenti e la documentazione privacy;
• informare correttamente i lavoratori;
• adottare misure tecniche e organizzative adeguate.

Non farti cogliere impreparato: affidati a professionisti della privacy per evitare errori, ritardi e sanzioni. Contattaci per redigere la tua DPIA, aggiornare la documentazione e garantire la piena conformità normativa: commerciale@iconsulentiprivacy.it o allo 0541 1798723