| Garante per la protezione dei dati personali TRASPORTO PUBBLICO:GEOLOCALIZZAZIONE E SICUREZZA DEI PASSEGGERI
IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale; Esaminata la richiesta di verificapreliminare presentata da Air Pullman S.p.A. ai sensi dell'art. 17 del Codicein materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196); Visti gli atti d'ufficio; Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000; Relatore il dott. Mauro Paissan; PREMESSO 1. Trattamento di dati mediante sistemidi localizzazione satellitare e di sistemi di registrazione di eventi di guida 1.1.Air Pullman S.p.A., societ che gestisce linee di trasporto pubblico, hapresentato una richiesta di verifica preliminare ai sensi dell'art. 17 delCodice, relativa al trattamento di dati personali dei conducenti dei veicoli indotazione –nonch di quelli a disposizione delle societ controllate"Air Pullman Noleggi s.r.l." e "Saco s.r.l."–conseguente all'utilizzo di un sistema satellitare di localizzazione basato sutecnologia Gps (Global Positioning System). Tale sistema, comprensivo dellagestione di una banca dati e del portale messi a disposizione della societ ditrasporto, verrebbe fornito da Digigroup s.r.l. (di seguito, denominata "fornitoredel servizio"). Unitamente ai trattamenti effettuatimediante il sistema, la cui installazione presupposto per partecipare a garerelative all'affidamento di servizi di trasporto pubblico locale, verrebberotrattate, con l'ausilio del fornitore del servizio, ulteriori informazionirelative allo "stile di guida"del conducente e ad alcuni parametri (quali la pressione nei serbatoi freni ainizio e fine frenata e la velocit del veicolo, anche durante la frenata)rilevati in occasione di eventuali sinistri mediante un dispositivo diregistrazione e trasmissione dei dati ("event data recorder Nel complesso, la societ sarebbe ingrado di: a. localizzare geograficamente ipropri veicoli su una mappa cartografica e di conoscerne velocit e direzione; b. verificare l'osservanza, da partedei conducenti, della normativa in tema di circolazione stradale e delleprescrizioni aziendali; c. valutare la sicurezza e il "comfort d. analizzare il consumo dicarburante (e l'efficienza energetica) nella fase di marcia; e. ricostruire la dinamica dieventuali sinistri; f. riscontrare anomalietecnico-meccaniche dei veicoli. 1.2. Secondo quanto prospettato dallasociet, il trattamento di dati personali riferiti ai conducenti per mezzo diun codice identificativo appositamente cifrato, associati a quelli necessariper la localizzazione del veicolo (posizione in tempo reale del veicolo, data eora di transito, velocit sostenuta e direzione percorsa), servirebbe a "garantirela sicurezza dei passeggeri e del mezzo rintracciandone sul percorso la posizione,per ogni necessit di intervento che assicuri l'espletamento del servizio afavore dei passeggeri e la possibilit di assistenza ai medesimi Le predette informazioni, acquisiteautomaticamente dal sistema di bordo secondo criteri concordati previamente conil fornitore del servizio (all'accensione e allo spegnimento del veicolo; ognicinque minuti con veicolo fermo o in movimento; ogni cinque km con veicolo inmovimento; all'inizio e al termine di ogni fermata: cfr. allegato A allamenzionata richiesta), confluirebbero in una banca dati gestita dal fornitoremedesimo. Gli stessi dati, unitamente al servizioper la loro elaborazione (come, ad esempio, il tracciato del percorsoeffettuato), sarebbero resi fruibili all'azienda dal fornitore attraverso unportale ad accesso riservato, denominato "i-Nets 1.3. Con riferimento alle funzionalitcorrelate alla sicurezza stradale e al consumo energetico, la societ intendeacquisire i dati identificativi dei conducenti associati a informazionirelative alle loro "condotte di guida". Le informazioni (riferite, in particolare, ai tempi dipermanenza oltre il numero massimo di giri motore consentito, al superamentodelle velocit massime, al "comfort di guida Le medesime informazioni sarebberoutilizzate esclusivamente per finalit connesse al "rispetto delleprescrizioni normative di marcia su strada pubblica 1.4. La sicurezza dei dati personalisarebbe monitorata e implementata costantemente mediante accorgimenti tecniciatti a garantire la loro protezione (cfr. richiesta di verifica preliminare,cit., p. 9). In particolare, l'accesso al portale "i-Nets 2. Protezione dei dati personali,localizzazione e registrazione della condotta di guida Con esclusionedelle funzionalit del sistema utilizzato dalla societ per la telediagnosticadel veicolo (punto 1.1. lett. f), in relazione al quale la societ hadichiarato che verranno trattate informazioni riconducibili non agli autisti,ma al solo veicolo: cfr. verbale di riunione, cit.), il caso sottoposto averifica preliminare riguarda un trattamento di dati personali riferiti aiconducenti, con particolare riferimento alla localizzazione. I dati relativi all'ubicazione deiveicoli, infatti, se associati a codici identificativi dei conducenti,costituiscono anche informazioni personali riconducibili agli interessati (art.4, comma 1, lett. b), del Codice). Ci, anche nel caso in cui i dati dilocalizzazione del veicolo non siano associati immediatamente dal sistemainformativo al nominativo dei conducenti (o a codici ad essi attribuiti),atteso che la societ sarebbe comunque in condizione di risalire in ognimomento al conducente assegnatario di ciascun veicolo (cfr., in proposito,Parere n. 5/2005 sull'uso di dati relativi all'ubicazione al fine di fornireservizi a valore aggiunto del Gruppo di lavoro ex art. 29, direttiva n.95/46/Ce, WP115, p. 10; v. altres Parere n. 4/2007 sul concetto di datipersonali del Gruppo di lavoro ex art. 29, direttiva n. 95/46/Ce, WP136, p.11). Anche gli ulteriori dati trattati per iltramite del fornitore del servizio, quali quelli relativi allo "stiledi guida" o registrati mediantela "black box", devonoritenersi dati personali, essendo riconducibili (anche in un secondo momento,ad esempio in occasione di sinistro) ad azioni poste in essere dai conducenti. A tali trattamenti trova pertantoapplicazione la disciplina contenuta nel Codice. Per tutte le finalit indicate nelpresente provvedimento, il trattamento dovr quindi avvenire con modalitcomunque rispettose, in concreto, dei diritti e delle libert fondamentali,nonch della dignit degli interessati (art. 2, primo comma, del Codice) edovr essere svolto, in ogni caso, in conformit all'art. 11, comma 1, lett. a)del medesimo Codice, con le garanzie e procedure espressamente previste atutela dei lavoratori dall'art. 4 della legge n. 300/1970. 3. Rapporto tra societ di trasportopubblico locale (titolare del trattamento) e fornitore del servizio
L'esternalizzazionedelle attivit finalizzate all'esecuzione del servizio sopra descritto, graziea un apposito contratto di collaborazione, asseconda legittime esigenzeorganizzative in base alle quali la societ di trasporto, "titolare deltrattamento", si avvale delfornitore del servizio che viene a rivestire, ai sensi dell'art. 29 del Codice,il ruolo di "responsabile del trattamento Il fornitore del servizio, chiamato aoperare in base a un apposito incarico, non gode di spazi di autonomia inordine alle finalit perseguibili (salva la necessaria autonomia dal punto divista tecnico per fornire il servizio richiesto), atteso che il poteredecisionale in relazione alle medesime finalit rimane in capo alla societ ditrasporto (cfr. in tal senso gi il parere del Pertanto, l'accordo con la societ ditrasporto deve permettere di delimitare gli obiettivi da raggiungere, diorientare al loro esclusivo perseguimento le operazioni di trattamento dei datieffettuate dal fornitore del servizio e di individuare analiticamente i datipertinenti e non eccedenti da trattare (artt. 4, comma 1, lett. g) e 29 delCodice). L'attivit del fornitore del servizio deve essere vincolata dalleistruzioni impartite dal titolare, che devono a loro volta tener conto delleprescrizioni stabilite dal Garante con il presente provvedimento. 4. Liceit, finalit e pertinenza deltrattamento rispetto alla localizzazione La finalit del trattamentodichiarata dalla societ in relazione al funzionamento del sistema Gps risultalecita. Il sistema di localizzazione del veicolo (e indirettamente delconducente) preordinato a rendere pi efficiente il servizio di trasportopubblico locale (con una migliore allocazione dei mezzi in dotazione, specie incaso di sopravvenienze), consentendo di fornire un'informazione tempestiva avantaggio della societ che gestisce il servizio di trasporto (oltre che,eventualmente, dell'utenza), anche per l'eventuale attivit di reportistica neiconfronti dell'ente pubblico affidante e per il monitoraggio del servizio (cfr.artt. 14, comma 3, lett. f), 18, comma 3-quater, lett. a) e 19, comma 3, lett.c) d.lg. 19 novembre 1997, n. 422, Conferimento alle regioni ed agli entilocali di funzioni e compiti in materia di trasporto pubblico locale). Leinformazioni verranno utilizzate anche per incrementare le condizioni disicurezza del conducente e delle persone trasportate (cfr. nota della societdel 12 marzo 2008). Per tali finalit verranno trattati idati relativi alla localizzazione dei veicoli, ivi compresa la loro direzione evelocit media tenuta negli intervalli spazio-temporali sopra indicati (punto1.2.). Risulta conforme al principio dinecessit (art. 3 del Codice) l'adozione di opportuni accorgimenti al fine dinon rendere conoscibile al fornitore del servizio i dati identificativi deiconducenti, attribuendo a questi ultimi, come dichiarato dalla societ, codicicifrati (v. punto 1.2.). Per quanto riguarda le predette finalit,funzionali al perseguimento di esigenze organizzative e produttive e a unincremento della sicurezza del lavoro, la societ, assolti gli obblighiprevisti dall'art. 4 della legge 20 maggio 1970, n. 300, potr avvalersi delsistema di localizzazione e trattare i dati personali necessari al suofunzionamento (nello stesso senso v. il decreto del Ministero del lavoro edelle politiche sociali, Direzione generale della tutela delle condizioni dilavoro, Divisione IV, 24 giugno 2004, in tema di installazione di impianti dicontrollo satellitare su autovetture di pronto intervento di un'impresaerogatrice di gas, nonch la risposta a una istanza di interpello del medesimoMinistero, Direzione generale per l'attivit ispettiva, prot. n. 25/I/0006585del 28 novembre 2006, in materia di localizzazione mediante computer palmariassegnati in dotazione a informatori scientifici del farmaco). 5. Liceit e finalit rispettoall'osservanza delle prescrizioni normative in materia di circolazione e alladefinizione dello "stile di guida"
5.1. In termini generali,del pari lecito risulta il trattamento di dati personali riferiti agli autistiin relazione alla "condotta di guida" osservata (sintetizzata in forma di indici medi) per finalitconnesse al "rispetto delle prescrizioni normative di marcia su stradapubblica" (cfr. richiesta diverifica preliminare cit., p. 4). Al riguardo, deve infatti rilevarsi che lasicurezza stradale, specie nell'ambito del trasporto professionale, costituisceper l'ordinamento un obiettivo di primaria rilevanza, come confermato dallastessa disciplina comunitaria (ad esempio, in tema di cronotachigrafo digitale:cfr. regg. Ce nn. 3821/85, 2135/98 e 561/2006) e nazionale (si pensi alla"Carta di qualificazione del conducente Nel rispetto delle specifichedisposizioni di legge in materia (in particolare, il d.lg. n. 285/1992 "Nuovocodice della strada" esuccessive modifiche e integrazioni), la societ potr quindi trattare leinformazioni relative alle "condotte di guida 5.2. Con riguardo al trattamento delleinformazioni relative alla "condotta di guida La societ dovr selezionare attentamentei dati pertinenti e non eccedenti ai fini del calcolo degli indici medi cheintende utilizzare per riconoscere trattamenti economici premiali ai dipendenti(v. sopra punto 1.3.), tenendo presenti nel trattamento dei dati i limiti dilegge in materia (in particolare, per quanto riguarda il divieto operante perle imprese di trasporto di "retribuire i conducenti salariati oconcedere loro premi o maggiorazioni di salario in base alle distanze percorse[...], se queste retribuzioni siano di natura tale da mettere in pericolo lasicurezza stradale": art. 10reg. Ce n. 561/2006 del 15 marzo 2006). Il trattamento, previo espletamento, daparte della societ di trasporto, degli adempimenti richiesti dal menzionatoart. 4, dovr essere altres svolto nel rispetto degli ulteriori adempimentiformulati al successivo punto 7. Infatti, l'acquisizione di elementi voltialla ricostruzione di un sinistro, oltre che a incrementare, in prospettiva,gli standard di sicurezza dei soggetti trasportati (e, in primo luogo, dellostesso conducente), pu rivelarsi utile ai fini dell'accertamento di condottenon conformi alla disciplina in materia di sicurezza stradale e perl'accertamento di eventuali responsabilit in capo ai conducenti medesimi. La societ, anche alla luce dellespecifiche previsioni contrattuali in materia (cfr., in particolare, artt. 73 e74 del vigente Ccnl degli autoferrotranvieri, che pongono in capo all'autistaspecifiche responsabilit in ordine al rispetto della circolazione stradale el'eventuale risarcimento dei danni imputabili), potr trattare le informazionirelative ai conducenti inerenti alla tracciabilit degli eventuali sinistri; lastessa societ, al fine di garantire la liceit e correttezza del trattamento(art. 11, comma 1, lett. a), del Codice), dovr tuttavia provvedere alpreventivo espletamento delle procedure richieste dall'art. 4, secondo comma,della legge n. 300/1970; dovr essere inoltre garantito il rispetto degliulteriori adempimenti formulati al successivo punto 7. a) ai lavoratori dovranno essereforniti gli elementi prescritti dall'art. 13 del Codice unitamente a compiutiragguagli sulla natura dei dati trattati e sulle caratteristiche del sistema,tenuto conto delle diverse finalit perseguite (in proposito, cfr. gi Provv.1 marzo 2007, Linee guida del Garante per posta elettronica e internet, doc.web n. b) l'accesso ai dati riferiti aiconducenti, concernenti la localizzazione o inerenti alle "condotte diguida", dovr essere consentitoai soli incaricati della societ che possono prenderne legittimamenteconoscenza in ragione delle mansioni svolte (ad esempio, in relazione allacircolazione dei veicoli, il personale incaricato di coordinare il servizio ditrasporto pubblico nei diversi turni di lavoro; nel caso degli indici mediutili a misurare la "condotta di guida c) i dati personali non potrannoessere conservati per un tempo superiore a quello necessario al conseguimentodelle finalit indicate (art. 11, comma 1. lett. e), del Codice). Inparticolare, le informazioni relative alla localizzazione, opportunamenteanonimizzate, potranno essere trattate per le attivit di monitoraggio epianificazione del servizio di trasporto pubblico solo se in forma aggregata(artt. 3 e 11, comma 1, lett. e), del Codice); d) la societ dovrdesignare il fornitore del servizio oggetto della verifica preliminare qualeresponsabile del trattamento ai sensi dell'art. 29 del Codice (v. sopra, punto3); e) infine, con specifico riferimentoai dati relativi alla localizzazione, la societ dovr notificare iltrattamento nel rispetto di quanto previsto dagli artt. 37 e ss. del Codice. TUTTO CI PREMESSO ILGARANTE a conclusione della verifica preliminarerelativa all'utilizzo di un sistema di localizzazione satellitare che AirPullman S.p.A. e le societ controllate "Air Pullman Noleggis.r.l." e "Sacos.r.l." intendono installareper finalit connesse alla gestione di linee di trasporto, prende atto deltrattamento di dati personali oggetto di dichiarazioni della societ che potressere svolto, fermo restando che: 1. agli interessati, unitamente aglielementi da fornire ai sensi dell'art. 13 del Codice, dovranno essere forniticompiuti ragguagli sulla natura dei dati trattati e sulle caratteristiche delsistema, tenuto conto delle diverse finalit perseguite (punto 7); 2. l'accesso ai dati trattati dovressere consentito ai soli incaricati della societ che, in ragione dellemansioni svolte, possono prenderne legittimamente conoscenza (punto 7); 3. i dati dovranno essere conservatiper il tempo necessario al conseguimento delle finalit perseguite. Inparticolare, le informazioni relative alla localizzazione, opportunamenteanonimizzate, dovranno essere trattate per le attivit di monitoraggio epianificazione del servizio di trasporto pubblico solo in forma aggregata(punto 7); 4. per la finalit richiamata alpunto 5.2, il trattamento dei dati dovr avvenire tenuto conto dei limiti dilegge in materia, in particolare dell'art. 10 reg. Ce n. 561/2006 del 15 marzo2006; 5. siano previamente espletate leprocedure previste dall'art. 4, secondo comma, della legge n. 300/1970; 6. la societ dovr notificare alGarante il trattamento, con specifico riferimento ai dati relativi allalocalizzazione, e designare il fornitore del servizio quale responsabile deltrattamento ai sensi dell'art. 29 del Codice.
|