TL;DR
Genom beslut nr 585 av den 6 augusti 2026, offentliggjort den 30 september, påförde italienska Garante La Patria S.p.A., ett vaktbolag i Bologna, en avgift på 39 000 euro. Tre överträdelser: avslag på begäran om tillgång till GPS-data utan motivering och utan upplysning om rätten att klaga eller vända sig till domstol; ingen information om positioneringen av tjänstebilen, trots att avtalet med facket hänvisade till den; felaktig information som beskrev behandling av känsliga uppgifter som aldrig ägt rum. Beloppet tar hänsyn till rättelser under utredningen.
Omständigheterna
Klagomålet kommer från en tidigare anställd. Bolaget hade gett honom en bil med satellitpositionering och sagt upp honom efter ett disciplinärende. För att försvara sig begärde han bland annat att få se och få en kopia av GPS-uppgifterna. Något adekvat svar kom aldrig.
De tre överträdelserna
- TILLGÅNG. En personuppgiftsansvarig som anser sig inte kunna tillmötesgå en begäran måste ändå ange skälen för avslaget och möjligheten att lämna klagomål till tillsynsmyndigheten eller begära rättslig prövning (artikel 12.4). Det skedde inte här.
- INGEN INFORMATION. Positionsuppgifter är personuppgifter, men de anställda hade inte fått någon information om behandlingen. Avtalet med arbetstagarrepresentanterna, slutet enligt artikel 4 i den italienska arbetstagarstadgan, hänvisade just till den skyldigheten.
- FELAKTIG INFORMATION. De utlämnade dokumenten beskrev behandling av särskilda kategorier av personuppgifter som bolaget i själva verket inte utförde.
Även ett nej har en form
Rätten till tillgång försvinner inte för att det pågår en tvist med den anställde, och den personuppgiftsansvarige måste inte alltid säga ja. Den måste däremot svara inom tidsfristen och vid avslag förklara varför och upplysa om klagomål och rättslig prövning. Tystnad, eller ett allmänt hållet avslag, är redan en överträdelse.
Varför beloppet är måttligt
Vid bestämningen av avgiften beaktade Garante att bolaget vidtog rättelser under utredningen: det gav de anställda adekvat information om positioneringen och tog bort hänvisningarna till behandling av känsliga uppgifter som det inte utförde. Rättelser suddar inte ut överträdelsen, men påverkar beloppet.
Vad det betyder för dataskyddsombudet
Fyra kontroller
Ett: varje GPS-system i tjänstefordon ska finnas i registret över behandlingar och i en egen information, inte bara i avtalet med facket eller i arbetsmiljömyndighetens tillstånd. Två: rutinen för de registrerades rättigheter behöver också en mall för avslag, med skäl, klagomål och rättslig prövning. Tre: begäranden som kommer under en tvist hanteras som alla andra, med samma tidsfrist. Fyra: läs om informationstexterna och stryk det som inte stämmer; att beskriva behandlingar som inte finns är en felaktighet, inte försiktighet.
Fallet visar att arbetsrätt och GDPR går på parallella spår: avtalet med facket gör systemet tillåtet arbetsrättsligt, men GDPR kräver fortfarande öppenhet mot varje anställd och exakta svar när denne utövar sina rättigheter.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
