La Corte di Cassazione, con l’ordinanza n. 3462 del 16 febbraio 2026 (Pres. Acierno, Rel. Tricomi), ha chiarito un aspetto fondamentale del Codice della Privacy nella versione in vigore prima del GDPR (D.Lgs. 196/2003).

L’obbligo di notifica al Garante per la protezione dei dati personali, previsto dall’articolo 37, comma 1, lettera a), si applica ai sistemi di geolocalizzazione installati sui veicoli aziendali anche quando i dati GPS non sono automaticamente collegati al nome del dipendente. È sufficiente che il datore di lavoro sia in grado di identificare indirettamente il dipendente attraverso deduzioni logiche basate su elementi accessori, come l’assegnazione di un veicolo specifico o i dati del tachigrafo.

Il giudice di merito aveva ritenuto necessaria “l’identificazione automatica tramite codici”; la Cassazione, invece, ha chiarito che, ai fini dell’obbligo di notifica, ciò che conta è il rischio concreto di profilazione indiretta, poiché anche tale ipotesi costituisce trattamento di dati personali e richiede il rispetto degli obblighi previsti dal Codice della Privacy.