TL;DR
Par la décision n° 585 du 6 août 2026, rendue publique le 30 septembre, le Garante italien a infligé 39 000 euros à La Patria S.p.A., société de sécurité de Bologne. Trois manquements : refus d'accès aux données GPS sans motifs et sans mention du droit de réclamation ou de recours ; aucune information sur la géolocalisation du véhicule de service, alors que l'accord syndical y renvoyait ; information inexacte, décrivant des traitements de données sensibles jamais réalisés. Le montant tient compte des corrections apportées pendant l'instruction.
Les faits
La plainte vient d'un ancien salarié. La société lui avait attribué un véhicule équipé d'une géolocalisation par satellite puis, après une procédure disciplinaire, l'avait licencié. Pour se défendre, il avait demandé à consulter et à recevoir une copie, notamment, des données collectées par le GPS. Aucune réponse adéquate n'est venue.
Les trois manquements
- ACCÈS. Le responsable qui estime ne pas pouvoir donner suite à une demande doit tout de même indiquer les motifs du refus et la possibilité d'introduire une réclamation auprès de l'autorité ou un recours juridictionnel (article 12, paragraphe 4). Cela n'a pas été fait.
- AUCUNE INFORMATION. Les données de géolocalisation sont des données personnelles, mais les salariés n'avaient reçu aucune information sur ce traitement. L'accord conclu avec les représentants syndicaux en application de l'article 4 du Statut des travailleurs italien rappelait pourtant cette obligation.
- INFORMATION INEXACTE. Les documents remis décrivaient des traitements de catégories particulières de données que la société n'effectuait pas.
Le refus aussi a sa forme
Le droit d'accès ne disparaît pas parce qu'un litige oppose l'employeur au salarié, et le responsable n'est pas tenu de toujours accepter. Il est tenu de répondre dans les délais et, s'il refuse, d'expliquer pourquoi et d'indiquer réclamation et recours. Le silence, ou un refus générique, constitue déjà un manquement.
Pourquoi le montant reste modéré
Pour fixer l'amende, le Garante a pris en compte les mesures correctrices adoptées pendant l'instruction : la société a remis aux salariés une information adaptée sur la géolocalisation et retiré les mentions de traitements de données sensibles qu'elle ne réalisait pas. Les corrections n'effacent pas le manquement, mais pèsent sur le montant.
Ce que cela signifie pour le DPO
Quatre vérifications
Un : tout système GPS sur des véhicules de service doit figurer au registre et dans une information spécifique, pas seulement dans l'accord syndical ou l'autorisation de l'inspection du travail. Deux : la procédure relative aux droits doit prévoir aussi un modèle de refus, avec motifs, réclamation et recours. Trois : les demandes formulées en cours de contentieux se traitent comme les autres, dans le même délai. Quatre : relire les mentions d'information et supprimer ce qui est inexact ; décrire des traitements inexistants est une inexactitude, pas une prudence.
L'affaire montre que droit du travail et RGPD avancent sur des voies parallèles : l'accord syndical rend le dispositif licite au regard du droit du travail, mais le RGPD exige toujours la transparence envers chaque salarié et des réponses précises lorsqu'il exerce ses droits.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
