Giurisprudenza codice della strada e circolazione stradale
Sezione curata da Palumbo Salvatore e Molteni Claudio

Cassazione Civile, Sezione prima, ordinanza n. 9374 del 17 aprile 2026

Corte di Cassazione Civile, Sezione I, ordinanza numero 9374 del 17/04/2026
Circolazione stradale - Art. 83 e 88 del Codice della Strada e D.Lgs. n. 196/2003 - Codice in materia di protezione dei dati personali - Sistema di geolocalizzazione sui veicoli adibiti al trasporto merci - Omessa notificazione al Garante - Rilevanza della localizzazione anche di soli oggetti - In tema di trattamento di dati personali, l’utilizzo di sistemi GPS idonei a rilevare la posizione geografica di veicoli, a prescindere dall’identificazione automatica del conducente, integra l’obbligo di notificazione essendo sufficiente la potenziale riferibilità indiretta dei dati alla persona ne consegue che l’idoneità del sistema a consentire, anche tramite dati ulteriori o operazioni deduttive, l’identificazione del lavoratore rende irrilevante la modalità tecnica di gestione o l’assenza di identificazione immediata, imponendo comunque l’adempimento dell’obbligo di notifica.

RITENUTO IN FATTO

La società di trasporto (Soggetto 1) Srl è stata sanzionata dal Garante per la protezione dei dati personali con verbale n. (Omissis) del 19 dicembre 2017, per la violazione dell'art. 163 del Codice privacy, per aver effettuato il trattamento di dati personali di cui all'art. 37, comma 1, lett. a), in relazione all'uso di un sistema di geolocalizzazione installato sui propri mezzi di trasporto di merci su strada (trattamenti di dati che indicano la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica), omettendo di effettuare la notificazione al Garante secondo le modalità indicate dal Codice. Il Tribunale di (Omissis) ha annullato il provvedimento sul rilievo che il sistema di geolocalizzazione era stato gestito solo ed esclusivamente da altra società e non dalla (Soggetto 1) Srl.

Con ordinanza 26969/2023, questa Corte di Cassazione ha accolto il ricorso proposto dal Garante, cassando la sentenza del Tribunale di (Omissis) con rinvio, ed enunciando il seguente principio di diritto "ai fini dell'art. 28 del codice privacy, titolare del trattamento dei dati personali, in caso di persona giuridica, associazione o ente, è l'entità nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza; ne consegue che, in caso di impresa esercente l'attività di trasporto di merci su strada per conto terzi, la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione dei clienti è condizione sufficiente ai fini della attribuzione a tale impresa della qualificazione di soggetto titolare del trattamento dei dati".

Riassunta la causa da parte della società oggi intimata, il Tribunale di (Omissis) ha ritenuto infondata nel merito la contestazione, rilevando che "fermo il principio di diritto enunciato dalla Suprema Corte, osserva questo giudicante che, nel caso di specie, il sistema utilizzato da (Soggetto 1) Srl non appare idoneo a consentire l'identificazione di persone. Il sistema GPS viene impiegato, invero, in modo tale che non è possibile procedere alla detta identificazione in modo automatico, ma può semmai consentire di individuare la collocazione di un veicolo in un dato luogo ed in un dato momento. Al fine di potere essere considerato un sistema di geolocalizzazione soggetto all'obbligo della notifica, è necessario che esso consenta di risalire all'identità degli interessati, anche indirettamente attraverso codici. Nel caso qui in disamina, si osserva che l'eventuale identificazione dell'utilizzatore del veicolo avverrebbe, in ogni caso, non già per l'operatività di sistemi automatici ma, appunto, attraverso un'ulteriore attività deduttiva e/o presuntiva, senza che tale identificazione sia accompagnata dalla certezza dell'identità del soggetto così identificato".

Il Garante ha proposto ricorso per cassazione affidandosi ad un motivo. Non si è costituita la controparte.

CONSIDERATO IN DIRITTO

1. - Con l'unico motivo di ricorso si lamenta la violazione e falsa applicazione dell'art. 37, comma 1, lettera a) del D.Lgs. n. 196/2003, determinata dall'esclusione della sussistenza dell'obbligo di notifica in capo al trattamento di dati personali in caso di utilizzazione da parte del titolare di un sistema di geolocalizzazione di autoveicoli condotti da propri dipendenti. Parte ricorrente rileva che è pacifico, come ha riconosciuto anche il Tribunale di (Omissis), che il sistema utilizzato da (Soggetto 1) Srl è un sistema di geolocalizzazione che consente l'individuazione di un veicolo, in un dato luogo ed in un dato momento. Ciò è sufficiente a far ritenere l'applicabilità, nel caso di specie, dell'obbligo di notifica, ex art. 37, comma 1, lettera a), attualmente non più in vigore, ma vigente all'epoca della condotta contestata alla controparte, in forza del quale è imposto al titolare di notificare il trattamento dei dati personali cui intenda procedere, se il trattamento riguarda "dati genetici biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica". Deduce che la circostanza che il sistema di geolocalizzazione utilizzato dalla controparte non consenta di risalire direttamente all'identità degli interessati è assolutamente irrilevante, posto che esso è comunque idoneo a consentire la geolocalizzazione di veicoli ed indirettamente del conducente degli stessi, come risulta anche dal verbale del 25 ottobre 2017, redatto dalla Guardia di Finanza Nucleo speciale Privacy, alla pagina 3 "I verbalizzanti hanno chiesto alla parte in che modo si può risalire all'autista di un determinato automezzo soggetto a geolocalizzazione. Parte detta operazione è possibile sia collegando i dati relativi all'assegnazione dell'automezzo ad un determinato autista, sia dalla lettura del cronotachigrafo da cui si evince, tra le altre informazioni, il nome dell'autista e della targa dell'automezzo."

2. - Il motivo è fondato.

L'art. 37 del D.Lgs. 196/2003 (Notificazione del trattamento) vigente ratione temporis nel testo (oggi abrogato) precedente le modifiche apportate dal D.Lgs.n. 101 del 10 agosto 2018, così prevede al comma 1, lett. a) "1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica".

Risulta quindi evidente dall'uso della disgiuntiva "o" e "od" che è la notifica deve farsi sia nel caso in cui il sistema di geolocalizzazione consenta di indicare la posizione geografica di persone sia nel caso in cui consenta di indicare la posizione di oggetti.

Questa Corte, in un caso analogo ha ritenuto erronea la decisione dello stesso Tribunale che ha escluso la violazione dell'obbligo di notificazione al Garante ex art.37, comma 1, lett. a) del D.Lgs. n. 169/2003 con la medesima motivazione, rilevando che è la possibilità che la localizzazione dell'automezzo mediante una rete di comunicazione elettronica consenta al datore di lavoro di risalire all'identità del lavoratore anche indirettamente ciò che risulta dirimente e impone l'assolvimento dell'obbligo di notificazione, mentre la circostanza che ciò avvenga perché un terzo ha predisposto il sistema di geolocalizzazione, oppure mediante l'utilizzo di codici in maniera automatizzata ne costituisce modalità esecutiva, che non esclude, né è incompatibile con la sussistenza di altre modalità anche indirette che rendano ugualmente possibile l'identificazione del lavoratore in questione (Cass. 16/02/2026, n. 3462).

Nella specie il Tribunale di (Omissis) ha accertato nel merito che con il sistema usato dalla società si individua la collocazione di un veicolo in un dato luogo in un dato momento, ma non ne ha tratto le corrette conseguenze in punto di diritto dal momento che ha ritenuto necessario per l'applicazione dell'articolo 37 che ciò consentisse l'identificazione automatica della persona; requisito non richiesto dall'art. 37 citato per il quale basta ai fini dell'obbligo di notifica che il trattamento riguardi dati che indicano la posizione geografica di persone od oggetti.

Ne consegue la cassazione della sentenza impugnata e, non essendo necessari ulteriori accertamenti in fatto, la causa può essere decisa nel merito con il rigetto dell'opposizione originariamente proposta.

Le spese seguono la soccombenza e vanno poste a carico dell'intimata nella misura liquidata in dispositivo sia per le fasi di merito che per le fasi di legittimità.

P.Q.M.

Accoglie il ricorso e, decidendo nel merito, rigetta l'originaria opposizione della società (Soggetto 1) Srl che condanna alle spese di tutti i gradi di giudizio, che liquida nel compenso di Euro 2.000,00 per il primo giudizio di merito, di Euro 3.000,00 per il primo giudizio di legittimità, di Euro 2.000,00 per il giudizio di merito in riassunzione, di Euro 3.000,00 per il presente giudizio di legittimità, per ogni fase con le corrispondenti spese prenotate a debito.

In caso di diffusione del presente provvedimento omettere le generalità e gli altri titoli identificativi a norma dell'art. 52 D.Lgs. 196/2003.

Così deciso in Roma il 4 marzo 2026.

Depositato in Cancelleria il 14 aprile 2026.

DISCLAMER: Il testo della presente sentenza o odinanza non riveste carattere di ufficialità e non sostituisce in alcun modo la versione pubblicata dagli organismi ufficiali. Vietata la riproduzione, anche parziale, del presente contenuto senza la preventiva autorizzazione degli amministratori del portale.