Kort sagt
Ved vedtak nr. 382 av 28. mai 2026 fastslo det italienske datatilsynet at behandlingen hos en ligurisk helsevirksomhet var ulovlig: den sporet kjøretøyene sine ved å registrere posisjonen hvert 60. sekund. Gebyr på 6000 euro, med adgang til å avslutte saken ved å betale halvparten innen 30 dager. Det hele startet med en sjåfør som ble suspendert etter en disiplinærsak bygget på disse dataene.
Hvordan saken kom til tilsynet
En sjåfør i virksomheten klaget over at det var ført disiplinærsak mot ham, avsluttet med suspensjon, på grunnlag av data fra satellittsporingssystemet montert i tjenestebilen. Han anførte at innsamlingen hadde skjedd uten lovlighetsvilkårene i artikkel 4 i lov 300/1970 og uten pliktig informasjon, og påpekte også at kjøretøyet manglet klistremerker som varslet om sporingen.
Én detalj tar noen få linjer i vedtaket og ville fortjent en egen artikkel: for å begrunne kjøringen sin i disiplinærsaken sendte arbeidstakeren arbeidsgiveren — på dennes anmodning — en legeerklæring med angivelse av lidelsene han hadde, og kopier av kvitteringer for kjøp av visse legemidler. Et system laget for flåtestyring endte dermed med å samle inn helseopplysninger. Senere kom tilsvarende klager fra andre ansatte, som ble behandlet samlet.
Arbeidsgiveren hadde gjort formalitetene, og det holdt ikke
Dette er ikke tilfellet der arbeidsgiveren ikke hadde gjort noe. Det forelå en avtale med de tillitsvalgte og fagforeningene, endelig undertegnet 3. juli 2018, et reglement for bruk av kjøretøyene publisert på intranettet, og egne retningslinjer for bruk av GPS vedtatt ved beslutning nr. 88 av 8. februar 2019, tilgjengelige i åpenhetsdelen. Steget etter artikkel 4 var altså tatt.
Det holdt ikke fordi spørsmålet ikke gjaldt tillatelsen til å installere, men hvordan systemet var satt opp.
Hvorfor seksti sekunder er for ofte
Tilsynet bemerker at et så kort registreringsintervall — også hensyntatt trafikkreglene og de faktiske trafikkforholdene — gjorde det mulig å rekonstruere de ansattes forflytninger på en i det vesentlige sammenhengende måte, noe som ga inngripende behandlinger. Systemet ga dessuten sanntidstilgang til kjøretøyets posisjon, og lot ikke sjåførene slå av enheten selv i pauser eller nødssituasjoner.
Dette er ikke nytt: vedtaket viser uttrykkelig til avgjørelsen av 19. juli 2018, nr. 427, om kjøretøy brukt til transport av spesial- og farlig avfall, der et intervall på 120 sekunder allerede ble ansett uforholdsmessig. Seksti er halvparten.
Argumentet som ikke bar
Arbeidsgiveren hadde anført at personalet transporterer farlige eller lett bedervelige materialer — legemidler, biologiske prøver — og at overvåkingen skulle sikre integriteten og sikkerheten til disse. Tilsynet fant ikke i saksdokumentene noen faktisk sammenheng mellom en så tett oppfølging av sjåføren og de påberopte fordelene for det transporterte godset. En slik sammenheng hadde det derimot anerkjent i en radikalt annen kontekst — politivirksomhet og håndtering av kritiske situasjoner og nødssituasjoner — i vedtak nr. 181 av 29. mars 2018. Forskjellen er ikke bransjen: det er om det korte intervallet faktisk oppnår noe som lar seg dokumentere.
Kriteriet å ta med seg
Vedtaket minner om vilkårene som gjør kjøretøysporing akseptabel i arbeidsforholdet: aktivere systemet bare når det er strengt nødvendig for formålene; som hovedregel tillate deaktivering i pauser og utenfor arbeidstid; som hovedregel behandle i pseudonymisert form, med opplysninger som ikke identifiserer direkte; lagre data bare når det er nødvendig og med lagringstider som står i forhold til formålene, og som hovedregel utelukke sporing av kjørte ruter. Det vises også til notatet fra det nasjonale arbeidstilsynet med operative anvisninger om tillatelser etter artikkel 4.
Under saksbehandlingen økte arbeidsgiveren intervallet til 15 minutter. Tilsynet omtalte det som en merkbar endring i lys av forholdsmessighet, ansvarlighet og vern av arbeidstakernes verdighet, og tok hensyn til det ved utmålingen.
Bestemmelsene som ble brutt
Tilsynet erklærte behandlingen ulovlig som følge av brudd på artikkel 5 nr. 1 bokstav a, b og c, artikkel 6, 25, 35 og 88 i forordningen, samt artikkel 113 og 114 i den italienske loven. Artikkel 35 er verdt et stopp: blant bruddene er den manglende vurderingen av personvernkonsekvenser. Et system som følger ansatte minutt for minutt er nettopp tilfellet der vurderingen måtte komme først, ikke diskuteres etterpå.
Official source:Garante per la protezione dei dati personali — vedtak nr. 382 av 28. mai 2026 (doc. web 10259916)Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
