Ordinanza ingiunzione o revoca n. 585 del 06/08/2026

Sanzione a La Patria S.p.A. per accesso ai dati e informative sul trattamento dei lavoratori

Il provvedimento del 6 agosto 2026 riguarda il reclamo presentato da un lavoratore nei confronti di La Patria S.p.A. in relazione a un procedimento disciplinare, al sistema GPS installato sui veicoli aziendali e alle informative privacy rivolte al personale. Il Garante ha accertato violazioni degli artt. 12, 13 e 15 del GDPR e ha irrogato una sanzione amministrativa complessiva di 39.000 euro.

Origine del procedimento e attività istruttoria

Il reclamante ha presentato reclamo il 26 luglio 2023 ai sensi dell’art. 77 GDPR e degli artt. 142 e seguenti del Codice privacy. Le doglianze riguardavano, in particolare, il mancato riscontro a due richieste di accesso formulate il 14 e il 25 giugno 2022, la documentazione relativa a una contestazione disciplinare, i dati di localizzazione del veicolo aziendale e un’attività investigativa commissionata dalla Società.

L’Ufficio ha richiesto informazioni alla Società ai sensi dell’art. 157 del Codice. La Patria ha riferito che il lavoratore era stato licenziato per giusta causa il 4 luglio 2022, che il licenziamento era stato successivamente ritenuto illegittimo dal Tribunale e che il contenzioso era ancora pendente. La Società ha inoltre descritto il funzionamento del sistema GPS, l’accordo sindacale del 10 giugno 2019, le informative consegnate ai lavoratori e il trattamento dei log tecnici di rete.

Il 19 marzo 2025 è stata notificata la contestazione delle presunte violazioni degli artt. 5, par. 1, lett. a), 6, 12, 13, 15 e 88 GDPR, nonché dell’art. 114 del Codice, con riferimento alle istanze di accesso, all’informativa sul GPS, alle informazioni sui dati appartenenti a categorie particolari e ai log della navigazione Internet. La Società ha presentato scritti difensivi il 17 aprile 2025.

Istanze di accesso presentate nel procedimento disciplinare

Le richieste del 14 giugno 2022 e del 25 giugno 2022 erano contenute nelle memorie difensive del lavoratore e chiedevano di prendere visione e ottenere copia della documentazione relativa alle contestazioni disciplinari, compresa la rilevazione GPS del veicolo aziendale.

La Società aveva sostenuto che le richieste dovessero essere interpretate esclusivamente come istanze formulate nell’ambito dell’art. 7 della legge n. 300/1970 e del diritto di difesa nel procedimento disciplinare, non come esercizio del diritto di accesso ex art. 15 GDPR. Aveva inoltre rilevato che le richieste non citavano il Regolamento e che la produzione della documentazione avrebbe potuto comportare un’elaborazione ulteriore dei dati GPS.

Il Garante ha respinto tale impostazione. In base alle Linee guida EDPB 1/2022 sul diritto di accesso, adottate il 28 marzo 2023 e modificate il 30 maggio 2024, il GDPR non impone requisiti formali per la presentazione della richiesta. L’interessato non deve quindi utilizzare una formula specifica né citare espressamente l’art. 15 GDPR, purché dal contenuto emerga l’oggetto della richiesta.

Il titolare non può valutare autonomamente l’utilità della richiesta né esigere che l’interessato dimostri un danno o una finalità specifica. Deve dare seguito alla richiesta, salvo che sia evidente che essa è fondata esclusivamente su una disciplina diversa da quella in materia di protezione dei dati personali. Qualora ritenga di non poter adempiere, deve comunicare i motivi del diniego e informare l’interessato della possibilità di proporre reclamo al Garante o ricorso giudiziario, come previsto dall’art. 12, par. 4, GDPR.

Nel caso concreto, la Società non ha fornito né i dati e documenti richiesti né un riscontro motivato. Si è limitata a richiamare, nella lettera di licenziamento, l’assenza di un obbligo datoriale di mettere a disposizione le fonti di prova prima dell’irrogazione del provvedimento disciplinare. Tale condotta è stata ritenuta lesiva del diritto di accesso previsto dall’art. 15 GDPR e degli obblighi di agevolazione e risposta sanciti dall’art. 12 GDPR.

Trattamento dei dati di geolocalizzazione

La Società utilizzava dispositivi GPS installati sui veicoli aziendali per finalità operative, logistiche e di sicurezza, sulla base dell’accordo sindacale del 10 giugno 2019 stipulato nell’ambito della procedura prevista dall’art. 4, comma 1, della legge n. 300/1970.

La Patria aveva sostenuto che il sistema rilevasse dati tecnici del veicolo senza identificare direttamente la guardia giurata che si trovava a bordo. Il Garante ha tuttavia rilevato che la posizione del veicolo utilizzato dal lavoratore può fornire informazioni indirettamente riferibili al lavoratore stesso. In particolare, la Società ha riconosciuto la possibilità di risalire, in caso di emergenza, al dipendente presente sul veicolo.

Ne consegue che il trattamento comportava dati personali e richiedeva la comunicazione agli interessati delle informazioni previste dall’art. 13 GDPR. L’accordo sindacale richiamato dalla Società prevedeva inoltre l’impegno a fornire al personale una specifica informativa entro trenta giorni dalla sottoscrizione dell’accordo.

La Società ha ammesso di non avere predisposto, al tempo dei fatti, un’informativa specifica sul trattamento GPS, attribuendo l’omissione a un errore interpretativo e sostenendo che i lavoratori fossero comunque consapevoli della presenza del sistema satellitare. Il Garante ha ritenuto tale consapevolezza di fatto non sostitutiva dell’adempimento formale e sostanziale previsto dall’art. 13 GDPR.

La successiva comunicazione inviata ai lavoratori è stata considerata ai fini della quantificazione della sanzione, ma non ha eliminato la violazione già consumata.

Informative non coerenti sulle categorie particolari di dati

Nelle informative del 8 aprile 2019, 1 settembre 2021 e 14 dicembre 2022 la Società aveva indicato che, nell’ambito dei trattamenti effettuati, avrebbe potuto venire a conoscenza di informazioni relative a convinzioni filosofiche o di altro genere e alla vita sessuale dei dipendenti.

La Società ha dichiarato che tali dati non erano mai stati raccolti, registrati, elaborati o archiviati e che i relativi riferimenti erano stati inseriti in via prudenziale. Il Garante ha ritenuto che questa impostazione non fosse conforme agli artt. 12 e 13 GDPR. L’informativa deve descrivere in modo conciso, trasparente, intelligibile e facilmente accessibile operazioni di trattamento effettivamente svolte e conformi alla normativa; non può contenere una descrizione astratta o ipotetica di trattamenti inesistenti.

Il Garante ha inoltre richiamato l’art. 9 GDPR, che stabilisce il divieto generale di trattamento delle categorie particolari di dati, salvo le specifiche eccezioni previste dal paragrafo 2, tra cui quella della lett. b) relativa agli obblighi e ai diritti in materia di diritto del lavoro e sicurezza sociale, purché ricorrano le condizioni e le garanzie previste dalla legge.

La Società ha prodotto una bozza aggiornata dell’informativa, dichiarando di avere eliminato i riferimenti ai dati particolari non trattati. Il Garante ha considerato tale iniziativa quale elemento attenuante, senza però ritenere superata la violazione già realizzata.

Contestazione sui log della navigazione Internet

La contestazione iniziale riguardava il presunto trattamento dei log della navigazione Internet dei lavoratori in violazione degli artt. 5, par. 1, lett. a), 6 e 88 GDPR e degli artt. 113 e 114 del Codice.

Nel corso del procedimento la Società ha chiarito che non erano attivi sistemi di logging o analisi dei siti visitati dai dipendenti e che non venivano registrati URL o contenuti delle pagine web, né effettuati controlli comportamentali o della produttività. I log esaminati erano stati qualificati come log tecnici generati automaticamente dai dispositivi di rete per finalità di sicurezza perimetrale e integrità delle infrastrutture IT, accessibili solo in caso di incidenti o malfunzionamenti critici.

Alla luce di tali dichiarazioni, il Garante ha ritenuto non provato il trattamento individualizzato della navigazione dei lavoratori e ha archiviato la contestazione relativa agli artt. 5, 6 e 88 GDPR e agli artt. 113 e 114 del Codice.

Il Garante ha comunque ricordato che eventuali informative future relative a dati di navigazione, dati o metadati della posta elettronica individualizzata e contenuti dei messaggi aziendali devono descrivere esclusivamente trattamenti di per sé leciti. L’inserimento di un trattamento nell’informativa non rende lecito un trattamento che non rispetti la disciplina applicabile.

Violazioni accertate e misure correttive

Il Garante ha dichiarato illecito il trattamento effettuato dalla Società per la violazione degli artt. 12, 13 e 15 GDPR. Le violazioni riguardano:

• il mancato riscontro alle due istanze di accesso del 14 e 25 giugno 2022;
• l’omessa informativa sul trattamento dei dati di geolocalizzazione dei veicoli aziendali;
• l’informativa non corretta e non coerente con i trattamenti effettivamente svolti in relazione alle categorie particolari di dati.

La violazione non è stata considerata minore, alla luce della pluralità e della natura degli obblighi violati, con richiamo al considerando 148 GDPR.

Non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché gli effetti della condotta erano esauriti. Il reclamante aveva ottenuto la relazione investigativa nel giudizio davanti all’autorità giudiziaria e la Società aveva dichiarato di essersi attivata per fornire l’informativa sul GPS e rimuovere i riferimenti errati ai dati particolari.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato gli artt. 58, par. 2, lett. i), e 83 GDPR e l’art. 166 del Codice, determinando la sanzione complessiva in 39.000 euro. Le condotte sono state valutate separatamente.

Per il mancato esercizio del diritto di accesso, la sanzione è stata fissata in 22.000 euro per la violazione degli artt. 12 e 15 GDPR. Il Garante ha considerato:

• la natura della violazione, consistente nel mancato riscontro a richieste di accesso ai dati;
• la colpa della Società;
• il livello medio di gravità, secondo le Linee guida EDPB 4/2022 sul calcolo delle sanzioni, punto 60;
• l’adozione dichiarata di un protocollo interno per le richieste con profili simultaneamente giuslavoristici e privacy;
• l’assenza di precedenti violazioni pertinenti;
• il grado ordinario di cooperazione;
• l’origine della contestazione nel reclamo dell’interessato;
• le condizioni economiche della Società, determinate sulla base dei ricavi risultanti dal bilancio 2024.

Per l’informativa sul GPS e sui dati particolari, la sanzione è stata fissata in 17.000 euro per la violazione degli artt. 12 e 13 GDPR. Sono stati considerati:

• la mancata informativa sul trattamento dei dati di geolocalizzazione;
• l’indicazione di categorie particolari di dati non trattate;
• la colpa della Società;
• il livello medio di gravità;
• la successiva comunicazione ai lavoratori sul trattamento GPS;
• l’eliminazione dichiarata dei riferimenti non corretti;
• l’assenza di precedenti pertinenti;
• la cooperazione ordinaria;
• l’origine della contestazione nel reclamo;
• il fatto attenuante che i dati relativi alle convinzioni filosofiche e alla vita sessuale non erano stati concretamente trattati;
• le condizioni economiche della Società.

La quantificazione è stata effettuata secondo i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Dispositivo, pagamento e impugnazione

Il Garante ha ordinato a La Patria S.p.A. il pagamento di 39.000 euro a titolo di sanzione amministrativa pecuniaria. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve essere effettuato entro trenta giorni dalla notificazione del provvedimento, secondo le modalità indicate nell’allegato, con possibile esecuzione ai sensi dell’art. 27 della legge n. 689/1981.

È stata fatta salva la possibilità di definire la controversia mediante il pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso, ai sensi dell’art. 166, comma 8, del Codice.

Il provvedimento e l’ordinanza ingiunzione sono stati disposti per la pubblicazione sul sito del Garante ai sensi dell’art. 154-bis, comma 3, e dell’art. 166, comma 7, del Codice, dell’art. 37 e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019. Le violazioni e le misure adottate devono inoltre essere annotate nel registro interno dell’Autorità.

Ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, è possibile proporre opposizione davanti all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.