TL;DR
Decyzją nr 585 z 6 sierpnia 2026 r., ogłoszoną 30 września, włoski Garante nałożył 39 000 euro na La Patria S.p.A., firmę ochroniarską z Bolonii. Trzy naruszenia: odmowa dostępu do danych GPS bez uzasadnienia i bez informacji o prawie do skargi lub środka prawnego przed sądem; brak informacji o geolokalizacji samochodu służbowego, choć porozumienie ze związkami zawodowymi o niej przypominało; nieprawdziwa klauzula, opisująca przetwarzanie danych szczególnych kategorii, którego nigdy nie było. Wysokość kary uwzględnia poprawki wprowadzone w toku postępowania.
Stan faktyczny
Skargę złożył były pracownik. Spółka przydzieliła mu samochód z lokalizacją satelitarną, a po postępowaniu dyscyplinarnym go zwolniła. Aby się bronić, zażądał wglądu i kopii m.in. danych zebranych przez GPS. Właściwej odpowiedzi nigdy nie otrzymał.
Trzy naruszenia
- DOSTĘP. Administrator, który uważa, że nie może spełnić żądania, musi mimo to podać przyczyny odmowy oraz poinformować o możliwości wniesienia skargi do organu nadzorczego lub skorzystania ze środka ochrony prawnej przed sądem (art. 12 ust. 4). Tak się nie stało.
- BRAK INFORMACJI. Dane geolokalizacyjne są danymi osobowymi, a pracownicy nie otrzymali żadnej informacji o tym przetwarzaniu. Tymczasem porozumienie z przedstawicielami związków zawodowych, zawarte na podstawie art. 4 włoskiego Statutu pracowników, wprost przypominało o tym obowiązku.
- NIEPRAWDZIWA INFORMACJA. Przekazane dokumenty opisywały przetwarzanie szczególnych kategorii danych, którego spółka w rzeczywistości nie prowadziła.
Odmowa też ma swoją formę
Prawo dostępu nie znika dlatego, że trwa spór z pracownikiem, a administrator nie musi zawsze się zgadzać. Musi jednak odpowiedzieć w terminie, a w razie odmowy wyjaśnić jej przyczyny i wskazać skargę oraz drogę sądową. Milczenie lub ogólnikowa odmowa to już naruszenie.
Dlaczego kwota jest umiarkowana
Ustalając wysokość kary, Garante wziął pod uwagę działania naprawcze podjęte w toku postępowania: spółka przekazała pracownikom właściwą informację o geolokalizacji i usunęła wzmianki o przetwarzaniu danych szczególnych kategorii, którego nie prowadziła. Poprawki nie usuwają naruszenia, ale wpływają na kwotę.
Co to oznacza dla IOD
Cztery kontrole
Po pierwsze: każdy system GPS w pojazdach służbowych musi znaleźć się w rejestrze czynności i w odrębnej klauzuli informacyjnej, a nie tylko w porozumieniu ze związkami czy w zezwoleniu inspekcji pracy. Po drugie: procedura realizacji praw powinna zawierać także wzór odmowy, z uzasadnieniem, skargą i drogą sądową. Po trzecie: żądania złożone w trakcie sporu obsługuje się jak wszystkie inne, w tym samym terminie. Po czwarte: przeczytać klauzule ponownie i usunąć to, co nieprawdziwe; opisywanie nieistniejącego przetwarzania to nieścisłość, a nie ostrożność.
Sprawa pokazuje, że prawo pracy i RODO biegną równoległymi torami: porozumienie ze związkami czyni system legalnym w świetle prawa pracy, ale RODO nadal wymaga przejrzystości wobec każdego pracownika i precyzyjnych odpowiedzi, gdy korzysta ze swoich praw.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
