Droit d'accès : 39 000 euros d'amende en Italie pour La Patria, restée muette face à la demande GPS d'un salarié

Le Garante italien a infligé, par une décision n° 585 du 6 août 2026, une amende de 39 000 euros à La Patria S.p.A., société de vigilance basée à Bologne. Elle n'avait pas répondu à deux demandes d'accès d'un salarié qui voulait voir, entre autres, les relevés GPS de sa voiture de service pour se défendre dans une procédure disciplinaire. Pour un DPO, la leçon est opérationnelle : une demande d'accès n'a pas besoin de citer le RGPD pour en être une.

Ce que le Garante reproche à La Patria

Le dossier part de la réclamation d'un ancien salarié, garde assermentée, déposée le 26 juillet 2023. Le 14 juin 2022, dans un mémoire en défense face à une procédure disciplinaire, il avait demandé à « consulter et obtenir copie » de toute la documentation liée aux griefs, « y compris l'enregistrement du dispositif GPS » installé sur le véhicule qui lui était attribué. Il a renouvelé sa demande d'accès le 25 juin 2022, puis a été licencié le 4 juillet 2022, sans avoir reçu de réponse.

Le Garante retient trois manquements :

• Droit d'accès (articles 12 et 15) : aucune réponse aux deux demandes, pas même pour en expliquer le refus. Sanction : 22 000 euros.
• Information sur la géolocalisation (articles 12 et 13) : aucune information spécifique des salariés sur le GPS des véhicules, alors que l'accord conclu avec les représentants syndicaux prévoyait de la remettre sous 30 jours.
• Notices inexactes (articles 12 et 13) : les notices de 2019, 2021 et 2022 annonçaient le traitement de données sur les « convictions philosophiques » et la « vie sexuelle » des salariés, que la société dit n'avoir jamais traitées.

Ces deux derniers points ont coûté 17 000 euros. Un quatrième grief, sur les journaux de navigation internet des salariés, a été classé : le Garante a pris acte des explications de la société, selon lesquelles elle n'effectue pas ce traitement.

Pourquoi c'est important

La société soutenait que les demandes, formulées par des avocats dans un cadre disciplinaire et qualifiées d'« accès aux pièces », relevaient du droit du travail et non du RGPD. Le Garante écarte l'argument : « au vu de la teneur des demandes, leur objet est clair ». Il s'appuie sur les lignes directrices 01/2022 de l'EDPB sur le droit d'accès de l'article 15, selon lesquelles le RGPD n'impose aucune exigence de forme à la personne qui exerce ce droit, ni l'obligation de motiver sa demande.

Le second rappel tient à l'article 12, paragraphe 4 : un responsable de traitement qui refuse de donner suite doit en donner les motifs et signaler la possibilité d'une réclamation ou d'un recours. Ici, la société s'était bornée à écrire, dans la lettre de licenciement, que l'employeur n'était pas tenu de donner accès aux sources de preuve avant la sanction.

Sur le GPS, l'argument de la société était que le système ne rattachait pas automatiquement les positions à un conducteur. Le Garante répond que la localisation du véhicule fournit des informations « indirectement rattachées » au salarié qui le conduit, donc des données personnelles soumises à l'article 13. La société avait d'ailleurs reconnu pouvoir remonter, en cas d'urgence, jusqu'à l'agent à bord. Le Garante avait déjà sanctionné de 120 000 euros un suivi de véhicules de salariés sans base légale.

Enfin, une notice qui liste des données sensibles « par prudence », selon les termes de la société, n'est pas conforme pour autant : pour le Garante, l'information doit décrire les traitements réellement mis en œuvre.

Ce que ça change pour les organisations

• Former RH et juristes à reconnaître une demande d'accès, même rédigée en termes de droit du travail ou de procédure : la méthode est détaillée dans notre guide sur l'exercice du droit d'accès.
• Mettre en place un circuit pour les demandes qui mêlent contentieux social et données personnelles, avec le DPO dans la boucle. La Patria a déclaré avoir décidé d'adopter un tel protocole en cours de procédure, et le Garante en a tenu compte dans le calcul de l'amende.
• Prévoir une réponse écrite même en cas de refus, avec ses motifs et les voies de recours.
• Relire les notices salariés : chaque outil de suivi (GPS, télématique) doit y figurer, et aucune catégorie de données non traitée ne doit y apparaître.

Ce que Leto en pense

Le montant est modeste, mais le raisonnement est utile. La décision qualifie la violation de non mineure et la juge de gravité moyenne, au sens des lignes directrices 04/2022 de l'EDPB sur le calcul des amendes. Le point faible n'était pas juridique mais organisationnel : la demande est arrivée par un canal, la procédure disciplinaire, que l'entreprise n'a pas rattaché au RGPD. Tenir un registre unique des demandes de droits, quel que soit le service qui les reçoit, évite ce type d'angle mort. Si vous voulez voir comment Leto centralise ces demandes, demandez une démo.

Sources

• Garante per la protezione dei dati personali, « Provvedimento del 6 agosto 2026 », n° 585, doc. web 10297306
• Garante per la protezione dei dati personali, « Garante: sanzione di 39mila euro a società di vigilanza di Bologna », newsletter n° 552, 30 septembre 2026
• EDPB, « Italian DPA fines security company EUR 39 000 for violations concerning employees' data », 9 octobre 2026