La suppression prématurée de données par un employeur, en dépit de l'avertissement d'un salarié quant à l'existence de prétentions juridiques, constitue une violation de multiples principes du RGPD, notamment le droit d'accès et l'obligation de conservation des données nécessaires à la défense de droits en justice.

Faits et contexte

L'autorité hellénique de protection des données a publié une décision de sanction à l'encontre de la société SERVICE 800 TELEPERFORMANCE SOCIÉTÉ ANONYME UNIPERSONNELLE DE PRESTATION DE SERVICES (TELEPERFORMANCE GREECE), comprenant le prononcé d'une amende totale de 100 000 €, pour des manquements liés à la gestion d'une demande de droit d'accès et à la suppression de données d'un ancien salarié dans un contexte pré-litigieux.

L'affaire trouve son origine dans deux plaintes d'un ancien salarié reprochant à son ex-employeur de ne pas avoir satisfait sa demande d'accès, notamment en ayant supprimé des courriels professionnels essentiels à ses démarches juridiques, et ce, malgré sa demande explicite de ne pas les effacer.

Motifs de la décision

L'autorité a retenu plusieurs manquements au RGPD, en se fondant sur l'analyse des faits et des arguments des parties :

• Obligation de licéité, loyauté, transparence, intégrité, et respect du droit d'accès et de l'exception à l'effacement (articles 5, paragraphe 1, points a) et f), 15 et 17, paragraphe 3, point e) du RGPD) : L'autorité a constaté que l'entreprise avait supprimé les courriels et le compte professionnel du plaignant le 4 juin 2025, soit avant la fin de son contrat (30 juin 2025) et après que celui-ci eut explicitement demandé, le 7 mai 2025, la conservation des données liées à ses signalements internes pour violence psychologique. En agissant ainsi alors que des prétentions juridiques étaient en cours, l'entreprise a non seulement rendu impossible la satisfaction complète de la demande d'accès du 16 juin 2025, mais a également violé l'obligation de conserver les données nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.
• Obligation de transparence et de respect des modalités d'exercice des droits (article 12, paragraphe 3, du RGPD) : L'entreprise a notifié au plaignant une prolongation de deux mois du délai de réponse à sa demande d'accès. Cependant, elle n'a pas fourni les motifs justifiant cette prolongation, comme l'exige pourtant cette disposition, manquant ainsi à son obligation de traiter la demande de manière transparente.
• Obligation d'information (articles 13 et 5, paragraphe 1, point a) du RGPD) : L'autorité a relevé que l'entreprise n'avait pas correctement informé le plaignant de la durée de conservation de ses données, le lien hypertexte fourni à cet effet dans la documentation n'étant pas fonctionnel. Ce manquement contrevient au principe de transparence et aux exigences spécifiques d'information des personnes concernées.
• Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a estimé que l'entreprise n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la disponibilité et l'accès aux données. L'application d'une politique générale de suppression sans prévoir de procédure d'exception pour suspendre l'effacement en cas de litige ou de demande de conservation motivée constitue une défaillance organisationnelle.
• Principe de responsabilité (article 5, paragraphe 2, du RGPD) : En commettant l'ensemble des violations précitées, l'entreprise a failli à son obligation générale de responsabilité, qui lui impose de s'assurer du respect du RGPD et d'être en mesure de le démontrer.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 100 000 € à SERVICE 800 TELEPERFORMANCE SOCIÉTÉ ANONYME UNIPERSONNELLE DE PRESTATION DE SERVICES (TELEPERFORMANCE GREECE), décomposée en une amende de 60 000 € pour les violations des articles 5, paragraphe 1, points a) et f), 15 et 17, paragraphe 3, point e), et une amende de 40 000 € pour les violations des articles 5, paragraphe 2, 12, paragraphe 3, 13 et 32 du RGPD.

Enseignements

Cette décision rappelle que :

• Une politique de suppression automatique des données des salariés quittant l'entreprise doit impérativement prévoir un mécanisme de suspension ("legal hold") dès lors que le responsable du traitement est informé de l'existence de prétentions juridiques ou d'un litige potentiel nécessitant la conservation de ces données comme preuves.
• Un responsable du traitement ne peut se prévaloir de l'impossibilité de répondre à une demande d'accès lorsque cette impossibilité résulte de la suppression de données qu'il a lui-même effectuée après avoir été averti de leur nécessité pour l'exercice de droits en justice.
• La justification de la prolongation du délai de réponse à une demande d'exercice de droits, prévue à l'article 12, paragraphe 3, du RGPD, n'est pas une simple formalité mais une obligation de transparence dont le non-respect constitue un manquement distinct.