L'Autorité de protection des données personnelles a publié une décision de sanction à l'encontre de Vodafone (comprenant le prononcé d'une amende de 20 000 €) et d'une personne physique (amende de 2 000 €) pour des manquements en lien avec l'obligation d'information et le droit d'accès. Cette affaire débute par la plainte d'une ancienne employée, signalant que la société n'avait pas pleinement répondu à sa demande d'accès et dissimulait des communications électroniques la concernant, pertinentes dans le cadre d'une procédure judiciaire.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'information lorsque les données n'ont pas été collectées auprès de la personne concernée (article 14 du RGPD) : Un ancien supérieur hiérarchique de la plaignante, qualifié de responsable du traitement par l'autorité, a conservé des courriels professionnels de la plaignante après son départ de l'entreprise en 2017. En 2022, il a transmis une partie de ces courriels à Vodafone pour les utiliser dans une procédure judiciaire, sans en informer au préalable la plaignante. L'autorité a également retenu un manquement à une obligation d'information similaire au titre de la législation antérieure au RGPD pour la collecte initiale des données en 2017.

* Obligation d'information (loi 2472/1997) : L'autorité a sanctionné Vodafone pour un manquement à ses obligations d'information en 2017, en vertu de la législation nationale applicable avant le RGPD. Il est également relevé que la société a répondu de manière inexacte à la demande d'accès de la plaignante en 2020, en affirmant que les données avaient été supprimées, alors que des courriels ont été ultérieurement produits dans un cadre judiciaire, créant une impression erronée et la privant de moyens de preuve.

En conséquence, l’autorité a imposé une amende de 20 000 € à Vodafone – ΠΑΝΑΦΟΝ Α.Ε.Ε.Τ. et de 2 000 € à la personne physique concernée.