L'autorité italienne de protection des données, le Garante, a condamné La Patria S.p.A. à une amende de 39 000 EUR pour ne pas avoir répondu adéquatement aux demandes d'un ancien employé souhaitant accéder à ses propres données personnelles. L'affaire, publiée par le Comité européen de la protection des données, porte une date de décision finale au 6 août 2026 et cite les articles 12, 13 et 15 du RGPD.

La Patria S.p.A. est décrite dans la décision comme une entreprise de sécurité et de sécurité technologique. L'ironie qu'un fournisseur de sécurité soit sanctionné pour ne pas savoir où se trouvaient les données de ses propres employés, ou pour ne pas vouloir le dire, n'est pas passée inaperçue. C'est aussi un rappel utile que vendre de la sécurité et la pratiquer demeurent deux compétences bien distinctes.

L'enquête a débuté à la suite d'une plainte d'un ancien employé. Selon le résumé du CEPD, il avait présenté deux demandes d'accès à des documents liés à des procédures disciplinaires engagées contre lui. Ces documents comprenaient des données collectées par un système GPS installé sur le véhicule de fonction qui lui avait été attribué. Il souhaitait obtenir ces éléments afin de se défendre. La procédure a finalement abouti à son licenciement, et l'entreprise n'a jamais répondu adéquatement à l'une ou l'autre des demandes.

Le Garante a conclu que l'entreprise avait manqué à son obligation de répondre adéquatement aux demandes d'accès. Deux points de la décision dépassent largement le cadre de l'Italie.

Premièrement, l'autorité de protection des données a précisé qu'une personne concernée n'a pas besoin de citer expressément le RGPD pour qu'une demande soit considérée comme un exercice du droit d'accès. Un employé qui demande aux RH « les documents que vous utilisez contre moi » formule une demande au titre de l'article 15, que les mots « article 15 » ou « RGPD » apparaissent ou non dans le courriel. Les organisations qui ne déclenchent leur processus de demande d'accès aux données personnelles que lorsqu'une demande arrive via un formulaire web dédié, avec les termes consacrés, appliquent un processus qui ne correspond pas à la loi.

Deuxièmement, lorsqu'un responsable du traitement décide de ne pas donner suite à une demande, il doit en informer la personne concernée en indiquant les motifs. Le silence ne constitue pas un refus licite. Un responsable du traitement peut disposer de motifs légitimes pour limiter ou refuser l'accès, mais il doit le dire et l'expliquer. Le résumé ne précise pas davantage quels auraient pu être ces motifs dans ce cas précis.

Les références juridiques citées sont l'article 12 (informations transparentes, communication et modalités d'exercice des droits des personnes concernées), l'article 13 (informations à fournir lorsque les données personnelles sont collectées auprès de la personne concernée) et l'article 15 (droit d'accès de la personne concernée). La décision est enregistrée comme une amende administrative sous les mots-clés « Droits des personnes concernées » et « Amendes ».

Plusieurs éléments ne sont pas couverts par le résumé publié. Il n'indique pas si le Garante a examiné la licéité du suivi GPS lui-même, par opposition au traitement des demandes d'accès. Il ne décrit pas non plus la réponse ou la position de La Patria, ni si l'entreprise entend faire appel. Il n'explique pas comment le montant de 39 000 EUR a été calculé. Quiconque cherche ces précisions devra attendre la décision italienne complète ou des reportages complémentaires. L'avis du CEPD est disponible à l'adresse edpb.europa.eu.

Pour les équipes d'identité et d'accès, il s'agit moins de droit à la vie privée que de plomberie. Les données télématiques d'un véhicule de flotte constituent des données personnelles sur un employé identifiable, ce qui signifie qu'elles appartiennent au même inventaire que les dossiers RH, les journaux de contrôle d'accès et la télémétrie des postes de travail. Si une équipe chargée des demandes d'accès aux données personnelles ne peut pas déterminer quel système conserve la trace GPS d'une personne donnée, ni qui dispose des accès pour l'extraire, l'organisation sera incapable de répondre à une demande, même lorsqu'elle le souhaite. Il s'agit d'un problème de gouvernance des identités avant d'être un problème juridique.

C'est également une histoire positive à un certain égard. Une amende de 39 000 EUR est une leçon peu coûteuse comparée à ce qu'un licenciement mal géré, combiné à une intervention du régulateur, peut coûter, et la correction est bien connue : savoir ce que vous collectez, savoir où cela se trouve, et répondre à la personne qui le demande.

Les praticiens devraient vérifier trois choses cette semaine. Premièrement, confirmez que le processus de demande d'accès accepte les requêtes formulées en langage courant, via les RH, le service juridique et les gestionnaires directs, et pas uniquement par l'intermédiaire d'un formulaire estampillé RGPD, car le Garante a maintenant clairement établi que les termes consacrés ne sont pas requis. Deuxièmement, vérifiez que la télématique des véhicules, le GPS et les systèmes de surveillance similaires figurent dans l'inventaire des données avec un responsable désigné, un paramètre de conservation et une procédure documentée permettant d'extraire les enregistrements d'un seul employé. Troisièmement, assurez-vous que toute décision de retenir des données dans un contexte disciplinaire est consignée par écrit avec les motifs et transmise à l'employé, car une demande sans réponse est désormais, officiellement, passible d'une amende.