TL;DR
Con il provvedimento n. 585 del 6 agosto 2026, comunicato il 30 settembre, il Garante ha inflitto 39.000 euro a La Patria S.p.A., società di vigilanza di Bologna. Tre violazioni: diniego dell'accesso ai dati GPS senza motivazione e senza indicare la possibilità di reclamo o ricorso; nessuna informativa sulla geolocalizzazione dell'auto aziendale, nonostante l'accordo sindacale la richiamasse; informativa inesatta, che descriveva trattamenti di dati particolari mai svolti. L'importo tiene conto delle correzioni fatte durante l'istruttoria.
I fatti
Il reclamo arriva da un ex lavoratore. La società gli aveva assegnato un'auto con un sistema di localizzazione satellitare e, dopo una contestazione disciplinare, lo aveva licenziato. Per difendersi aveva chiesto di vedere e ricevere copia, tra l'altro, dei dati raccolti dal GPS. La risposta adeguata non è mai arrivata.
Le tre violazioni
- ACCESSO. Il titolare che ritiene di non poter dare seguito a una richiesta deve comunque comunicare i motivi del diniego e l'esistenza del diritto di proporre reclamo al Garante o ricorso giurisdizionale (art. 12, par. 4). Qui non è successo.
- INFORMATIVA ASSENTE. I dati di geolocalizzazione sono dati personali, ma i dipendenti non avevano ricevuto alcuna informativa su quel trattamento. Eppure l'accordo con le rappresentanze sindacali, firmato ai sensi dell'art. 4 dello Statuto dei lavoratori, richiamava proprio quell'obbligo.
- INFORMATIVA INESATTA. I documenti consegnati descrivevano trattamenti di categorie particolari di dati che la società in realtà non effettuava.
Anche il no ha una forma
Il diritto di accesso non sparisce perché è in corso una lite con il dipendente, e il titolare non è obbligato a dire sempre sì. È obbligato però a rispondere entro i termini e, se rifiuta, a spiegare perché e a indicare reclamo e ricorso. Il silenzio, o un rifiuto generico, è già una violazione.
Perché l'importo è contenuto
Nel quantificare la sanzione il Garante ha considerato che la società, durante l'istruttoria, ha adottato le misure correttive: ha consegnato ai dipendenti un'informativa adeguata sulla geolocalizzazione e ha tolto i riferimenti a trattamenti di dati particolari che non svolgeva. Le correzioni non cancellano la violazione, ma pesano sull'importo.
Che cosa vuol dire per il DPO
Quattro controlli
Uno: ogni sistema GPS su veicoli aziendali deve comparire nel registro e in un'informativa specifica, non solo nell'accordo sindacale o nell'autorizzazione dell'Ispettorato. Due: la procedura per i diritti degli interessati deve prevedere anche il modello di diniego, con motivi, reclamo e ricorso. Tre: le richieste che arrivano durante un contenzioso vanno trattate come tutte le altre, con la stessa scadenza. Quattro: rileggere le informative e togliere ciò che non corrisponde al vero; descrivere trattamenti inesistenti è un'inesattezza, non una prudenza.
Il caso mostra come l'accordo dell'art. 4 dello Statuto e il GDPR viaggino su binari paralleli: il primo rende lecito l'impianto sul piano del diritto del lavoro, il secondo chiede comunque trasparenza verso ogni lavoratore e risposte puntuali quando esercita i propri diritti.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
