TL;DR
Med vedtak nr. 585 av 6. august 2026, offentliggjort 30. september, ila det italienske tilsynet Garante La Patria S.p.A., et vaktselskap i Bologna, 39 000 euro i gebyr. Tre brudd: avslag på innsyn i GPS-data uten begrunnelse og uten opplysning om retten til å klage eller gå til domstolene; ingen informasjon om posisjonssporing av firmabilen, selv om avtalen med fagforeningene viste til den; uriktig informasjon som beskrev behandling av særlige kategorier som aldri fant sted. Beløpet tar hensyn til rettelser gjort under saksbehandlingen.
Faktum
Klagen kom fra en tidligere ansatt. Selskapet hadde gitt ham en bil med satellittsporing og sa ham opp etter en disiplinærsak. For å forsvare seg ba han blant annet om innsyn i og kopi av GPS-dataene. Et tilstrekkelig svar kom aldri.
De tre bruddene
- INNSYN. En behandlingsansvarlig som mener den ikke kan etterkomme en anmodning, må likevel oppgi grunnene for avslaget og retten til å klage til tilsynsmyndigheten eller bringe saken inn for domstolene (artikkel 12 nr. 4). Det skjedde ikke her.
- INGEN INFORMASJON. Posisjonsdata er personopplysninger, men de ansatte hadde ikke fått noen informasjon om behandlingen. Avtalen med de ansattes representanter, inngått etter artikkel 4 i den italienske arbeidstakerloven, viste nettopp til den plikten.
- URIKTIG INFORMASJON. Dokumentene som ble utlevert, beskrev behandling av særlige kategorier personopplysninger som selskapet i realiteten ikke utførte.
Også et nei har en form
Innsynsretten forsvinner ikke fordi det pågår en tvist med den ansatte, og den behandlingsansvarlige må ikke alltid si ja. Den må derimot svare innen fristen og, ved avslag, forklare hvorfor og opplyse om klage og domstolsprøving. Taushet, eller et generelt avslag, er allerede et brudd.
Hvorfor beløpet er moderat
Ved utmålingen la Garante vekt på at selskapet gjennomførte korrigerende tiltak under saksbehandlingen: det ga de ansatte tilstrekkelig informasjon om posisjonssporingen og fjernet henvisningene til behandling av særlige kategorier som det ikke utførte. Rettelser visker ikke ut bruddet, men teller på beløpet.
Hva det betyr for personvernombudet
Fire kontroller
Én: hvert GPS-system i firmabiler skal stå i behandlingsprotokollen og i en egen personvernerklæring, ikke bare i avtalen med fagforeningene eller i tillatelsen fra arbeidstilsynet. To: rutinen for de registrertes rettigheter trenger også en mal for avslag, med begrunnelse, klage og domstolsprøving. Tre: anmodninger som kommer under en tvist, behandles som alle andre, med samme frist. Fire: les personvernerklæringene på nytt og fjern det som ikke stemmer; å beskrive behandlinger som ikke finnes, er en unøyaktighet, ikke forsiktighet.
Saken viser at arbeidsrett og GDPR går på parallelle spor: avtalen med fagforeningene gjør systemet lovlig etter arbeidsretten, men GDPR krever fortsatt åpenhet overfor hver ansatt og presise svar når vedkommende bruker rettighetene sine.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
