意大利Garante对安保公司La Patria罚款3.9万欧元：未回应前员工公司车辆GPS数据的访问请求，且未就定位数据处理履行告知义务、隐私声明误载特殊类别数据

欧洲隐私机构Europrivacy发布意大利数据保护局（Garante）对La Patria S.p.A.的处罚决定摘要。该公司为一家安保与安防技术企业，案件源于一名前员工提起的投诉：该前员工称公司未回应其两次关于纪律处分程序相关文件的访问请求，其中包括通过安装于公司配车上的GPS系统所收集的数据。该员工请求访问这些材料，用以在随后导致其被解雇的纪律程序中为自己辩护。

Garante认定，公司未充分回应员工的访问请求，违反GDPR第15条（数据主体的访问权），该条要求控制者提供所处理个人数据的副本。监管机构同时澄清了一项对实务有普遍意义的规则：数据主体无须明确援引GDPR，其请求即可构成访问权的行使；若控制者决定不予响应，必须告知数据主体理由，以及其可提出投诉或寻求司法救济的途径。这一口径显著降低了员工行使权利的形式门槛。

关于GPS数据，Garante认定公司未就通过公司车辆GPS系统收集的定位数据处理向员工提供适当告知，违反第13条（直接向数据主体收集信息时的告知义务）。监管机构指出，此类数据构成个人数据，因为车辆位置可间接关联到驾驶该车的员工。此外，公司隐私声明中错误地提及处理了包括哲学信仰与性生活信息在内的特殊类别个人数据，而公司实际并未处理该类数据，这一不实陈述本身即构成第13条项下的告知瑕疵。

处罚结果为合计3.9万欧元行政罚款：其中2.2万欧元对应访问权行使相关违规，1.7万欧元对应向员工提供信息的违规。在确定罚金时，Garante考虑了公司在程序进行期间已采取措施使处理活动合规这一情节——公司已向员工提供关于定位数据处理的适当告知，并从隐私声明中删除了对特殊类别数据的错误引用。由于违规行为已停止且公司已采取补救措施，监管机构未附加进一步的纠正性措施。

本案对雇佣场景数据合规有三点可复制的结论：其一，车载GPS与考勤、门禁等定位类数据属于“可间接关联到个人”的个人数据，需履行完整告知义务，不能以“设备属于公司资产”为由省略；其二，员工在劳动争议中提出的文件访问请求属于数据主体权利行使，企业不得以内部程序为由拖延或不予回应，且不响应必须附理由与救济指引；其三，隐私声明务必与实际处理活动一致，“抄模板”式罗列特殊类别数据会形成独立的合规瑕疵。