La Autoridad Italiana de Protección de Datos, el Garante, ha multado a La Patria S.p.A. con 39.000 EUR por no responder adecuadamente a las solicitudes de un exempleado para acceder a sus propios datos personales. El caso, publicado por el Comité Europeo de Protección de Datos, tiene como fecha de resolución definitiva el 6 de agosto de 2026 y cita los artículos 12, 13 y 15 del GDPR.

La Patria S.p.A. se describe en la resolución como una empresa de seguridad y seguridad tecnológica. La ironía de que un proveedor de seguridad sea multado por no saber dónde estaban los datos de sus propios empleados, o por no querer decirlo, no ha pasado desapercibida. Es también un recordatorio útil de que vender seguridad y practicarla siguen siendo dos habilidades distintas.

La investigación comenzó con una denuncia de un exempleado. Según el resumen del EDPB, había presentado dos solicitudes para acceder a la documentación vinculada a los procedimientos disciplinarios abiertos contra él. Dicha documentación incluía datos recopilados mediante un sistema GPS instalado en el vehículo de empresa que tenía asignado. Quería el material para poder defenderse. Los procedimientos concluyeron posteriormente con su despido y la empresa nunca respondió adecuadamente a ninguna de las dos solicitudes.

El Garante concluyó que la empresa no había respondido adecuadamente a las solicitudes de acceso. Dos aspectos de la resolución tienen relevancia mucho más allá de Italia.

Primero, la autoridad de control aclaró que el interesado no necesita citar expresamente el GDPR para que una solicitud cuente como ejercicio del derecho de acceso. Un empleado que pide a Recursos Humanos «los documentos que están usando en mi contra» está formulando una solicitud en virtud del artículo 15, independientemente de que las palabras «artículo 15» o «GDPR» aparezcan en algún lugar del correo electrónico. Las organizaciones que solo activan su proceso de solicitud de acceso cuando una petición llega a un formulario web específico, con las palabras clave incluidas, están aplicando un proceso que no se ajusta a la ley.

Segundo, cuando un responsable del tratamiento decide no atender una solicitud, debe informar al interesado de los motivos. El silencio no es una denegación lícita. Un responsable puede tener razones legítimas para limitar o rechazar el acceso, pero tiene que decirlo y tiene que explicar por qué. El resumen no profundiza en cuáles podrían ser esos motivos en este caso concreto.

Las referencias legales citadas son el artículo 12 (información transparente, comunicación y modalidades para el ejercicio de los derechos del interesado), el artículo 13 (información que debe facilitarse cuando los datos personales se recaban del interesado) y el artículo 15 (derecho de acceso del interesado). La resolución queda registrada como sanción administrativa bajo las palabras clave «Derechos de los interesados» y «Multas».

El resumen publicado no cubre varios aspectos. No indica si el Garante examinó la licitud del seguimiento por GPS en sí, al margen del tratamiento de las solicitudes de acceso. No describe ninguna respuesta o declaración de La Patria, ni si la empresa tiene intención de recurrir. Tampoco desglosa cómo se calculó la cifra de 39.000 EUR. Quien busque esos detalles deberá esperar a la resolución íntegra en italiano o a información adicional. El aviso del EDPB está disponible en edpb.europa.eu.

Para los equipos de identidad y acceso, este caso tiene menos que ver con la legislación de privacidad y más con la fontanería. Los datos telemáticos de un vehículo de flota son datos personales sobre un empleado identificable, lo que significa que pertenecen al mismo inventario que los registros de Recursos Humanos, los registros de control de acceso y la telemetría de endpoints. Si el equipo encargado de atender las solicitudes de acceso de interesados no puede averiguar qué sistema almacena el rastro GPS de una persona determinada, ni quién tiene acceso para extraerlo, la organización no puede responder a una solicitud aunque quiera hacerlo. Eso es un problema de gobernanza de identidades antes de ser un problema legal.

Es también una historia positiva en cierto sentido. 39.000 EUR es una lección barata comparada con lo que puede costar un despido mal gestionado sumado a la intervención de un regulador, y la solución es bien conocida: saber qué se recopila, saber dónde reside y responder a la persona que pregunta.

Los profesionales deberían verificar tres cosas esta semana. Primero, confirmar que el proceso de solicitud de acceso admite peticiones en lenguaje llano a través de Recursos Humanos, el departamento legal y los responsables directos, no solo mediante un formulario con la marca GDPR, porque el Garante ha declarado sin ambigüedades que las palabras clave no son necesarias. Segundo, verificar que la telemática vehicular, el GPS y los sistemas de monitorización similares figuran en el inventario de datos con un propietario designado, un plazo de retención y un proceso documentado para extraer los registros de un empleado concreto. Tercero, asegurarse de que cualquier decisión de retener datos en un contexto disciplinario quede registrada por escrito con los motivos y se comunique al empleado, porque una solicitud sin respuesta es ahora, de forma fehaciente, una infracción sancionable.