A Autoridade Italiana de Proteção de Dados, o Garante, multou a La Patria S.p.A. em EUR 39.000 por não responder adequadamente às solicitações de um ex-funcionário para acessar seus próprios dados pessoais. O caso, publicado pelo Comitê Europeu para a Proteção de Dados (EDPB), tem data de decisão final de 6 de agosto de 2026 e cita os Artigos 12, 13 e 15 do GDPR.

A La Patria S.p.A. é descrita na decisão como uma empresa de segurança e segurança tecnológica. A ironia de um fornecedor de segurança ser multado por não saber onde estavam os dados de seus próprios funcionários, ou por não querer informar, não passou despercebida. É também um lembrete útil de que vender segurança e praticá-la continuam sendo duas habilidades distintas.

A investigação começou com uma reclamação de um ex-funcionário. De acordo com o resumo do EDPB, ele havia feito duas solicitações para acessar documentação relacionada a processos disciplinares instaurados contra ele. Essa documentação incluía dados coletados por meio de um sistema GPS instalado no veículo da empresa que lhe havia sido atribuído. Ele queria o material para se defender. O processo culminou em sua demissão e a empresa nunca respondeu adequadamente a nenhuma das solicitações.

O Garante concluiu que a empresa havia deixado de responder adequadamente às solicitações de acesso. Dois pontos da decisão têm relevância muito além da Itália.

Primeiro, a autoridade de proteção de dados esclareceu que o titular dos dados não precisa citar expressamente o GDPR para que uma solicitação seja considerada um exercício do direito de acesso. Um funcionário que pede ao RH "os documentos que estão sendo usados contra mim" está exercendo o Artigo 15, independentemente de as palavras "Artigo 15" ou "GDPR" aparecerem em qualquer parte do e-mail. Organizações que só acionam seu processo de atendimento a solicitações de titulares quando a requisição chega por um formulário específico, com as palavras exatas previstas, operam um processo que não está alinhado com a lei.

Segundo, quando um controlador decide não atender a uma solicitação, deve informar o titular dos dados sobre os motivos. O silêncio não é uma recusa legítima. Um controlador pode ter fundamentos legítimos para limitar ou negar o acesso, mas precisa dizê-lo e explicar o porquê. O resumo não aprofunda quais seriam esses fundamentos neste caso específico.

As referências legais listadas são o Artigo 12 (informações transparentes, comunicação e modalidades para o exercício dos direitos dos titulares de dados), o Artigo 13 (informações a serem fornecidas quando os dados pessoais são coletados do titular) e o Artigo 15 (direito de acesso pelo titular dos dados). A decisão está registrada como multa administrativa sob as palavras-chave "Direitos dos titulares de dados" e "Multas".

Diversas questões não são abordadas pelo resumo publicado. Ele não informa se o Garante examinou a licitude do próprio rastreamento por GPS, em contraposição ao tratamento das solicitações de acesso. Também não descreve nenhuma resposta ou declaração da La Patria, nem se a empresa pretende recorrer. Não detalha como o valor de EUR 39.000 foi calculado. Quem buscar essas informações precisará aguardar a decisão completa em italiano ou coberturas jornalísticas futuras. O aviso do EDPB está disponível em edpb.europa.eu.

Para as equipes de identidade e acesso, o caso é menos sobre direito de privacidade e mais sobre infraestrutura. Dados de telemetria de um veículo de frota são dados pessoais de um funcionário identificável, o que significa que pertencem ao mesmo inventário que registros de RH, logs de crachá e telemetria de endpoints. Se a equipe responsável por atender DSARs não consegue identificar em qual sistema está o histórico de GPS de determinada pessoa, ou quem tem acesso para extraí-lo, a organização não consegue responder a uma solicitação mesmo quando deseja fazê-lo. Isso é um problema de governança de identidade antes de ser um problema jurídico.

É também uma história com um aspecto positivo. EUR 39.000 é uma lição barata em comparação com o que uma demissão mal conduzida somada a uma reguladora pode custar, e a solução é bem conhecida: saiba o que você coleta, saiba onde está armazenado e responda a quem pergunta.

Profissionais da área devem verificar três pontos esta semana. Primeiro, confirme que o processo de atendimento a solicitações de acesso aceita pedidos em linguagem comum via RH, jurídico e gestores diretos, e não apenas por meio de um formulário com a marca GDPR, pois o Garante deixou claro que as palavras mágicas não são exigidas. Segundo, verifique se a telemetria de veículos, os sistemas de GPS e outros sistemas de monitoramento similares constam do inventário de dados com um responsável nomeado, uma configuração de retenção e um caminho documentado para extrair os registros de um funcionário específico. Terceiro, certifique-se de que qualquer decisão de reter dados em um contexto disciplinar esteja registrada com os respectivos fundamentos e comunicada ao funcionário, pois uma solicitação sem resposta é agora, de forma documentada, passível de multa.