GPS ve služebním autě: zaměstnavatel musí vyřídit žádost o údaje

Italská bezpečnostní firma neodpověděla řádně na žádosti pracovníka, který potřeboval podklady pro obranu v pracovním sporu. Dozor zároveň zjistil chybějící informace o geolokaci a nepřesné popisy zpracování.

Zpráva zveřejněná 9. října 2026 na webu EDPB popisuje pokutu 39 000 eur pro La Patria S.p.A., společnost z Boloně působící v oblasti ostrahy a technologické bezpečnosti. Garante rozhodl již 6. srpna 2026 v rozhodnutí č. 585. Případ se týkal bývalého zaměstnance, který žádal o přístup k dokumentaci použité v disciplinárním řízení, včetně údajů z GPS ve svěřeném služebním automobilu. Řízení nakonec vedlo k jeho propuštění.

Pracovník potřeboval dokumentaci k vlastní obraně. Podle zveřejněného shrnutí firma neposkytla odpovídající odpověď na dvě žádosti. Garante připomněl, že žádost nemusí výslovně odkazovat na GDPR, aby představovala výkon práva na přístup. Posuzuje se její obsah: jestliže člověk požaduje údaje o sobě, nemůže správce podmínit vyřízení tím, že použije přesnou právní formulaci.

Ani rozhodnutí žádosti nevyhovět nezbavuje správce povinnosti odpovědět. Musí sdělit důvody a informovat člověka o možnosti podat stížnost dozorovému úřadu nebo využít soudní ochranu. V tomto případě taková komunikace chyběla. Pracovněprávní konflikt přitom nevytváří obecnou výjimku z práv subjektu údajů. Samotné rozhodnutí Garante nerozhoduje o oprávněnosti propuštění; předmětem je vyřízení žádostí a informování o zpracování.

Dalším zjištěním byla nedostatečná informační povinnost u GPS. Poloha vozidla může být propojena s konkrétním řidičem, a proto představuje osobní údaj, i když sledovací zařízení formálně identifikuje automobil. Garante také upozornil, že povinnost informovat pracovníky byla připomenuta i v dohodě se zástupci zaměstnanců podle italského pracovního práva. Taková dohoda nenahrazuje odpovídající informaci adresovanou samotným zaměstnancům.

Firma měla navíc v informačních dokumentech popisy zpracování zvláštních kategorií údajů, včetně filozofického přesvědčení a sexuálního života, ačkoli takové údaje ve skutečnosti nezpracovávala. Obecná šablona tak neposkytovala přesný obraz skutečného provozu. Transparentnost neznamená vyjmenovat všechny myslitelné typy údajů; člověk potřebuje vědět, co se v jeho případě opravdu děje.

Sankce se podle shrnutí skládala z 22 000 eur za porušení související s právem na přístup a 17 000 eur za nedostatky v informování. Garante konstatoval porušení článků 12, 13 a 15 GDPR. Během šetření společnost upravila informace o geolokaci a odstranila nesprávné odkazy na zvláštní kategorie údajů. Protože nedostatky napravila, dozor podle zveřejněné zprávy neuložil další nápravná opatření.

Pro zaměstnavatele je praktickým krokem propojit proces vyřizování žádostí s personálními a provozními systémy. Údaje o člověku mohou být uložené v evidenci vozidel, docházce i podkladech disciplinárního řízení; žádost nemá zůstat pouze u právního nebo personálního oddělení. Současně je vhodné porovnat informační dokumenty s reálnou konfigurací GPS. Italské pracovněprávní požadavky nelze automaticky přenést do českého prostředí, závěry o transparentnosti a přístupu však vycházejí ze společného rámce GDPR.