L'autorité italienne sanctionne une municipalité pour avoir accédé à la messagerie d'un employé en absence prolongée, jugeant que l'employeur aurait dû mettre en œuvre des mesures techniques et organisationnelles préventives pour assurer la continuité de service sans porter atteinte à la confidentialité de la correspondance du salarié.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la municipalité de Terralba pour des manquements en lien avec l'accès à la messagerie professionnelle d'un employé absent.

L'affaire trouve son origine dans la plainte d'un employé qui, à son retour d'une longue absence pour maladie, a constaté que la municipalité avait accédé à son ordinateur en modifiant son mot de passe pour des motifs de continuité de service.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD, estimant que la municipalité n'avait pas mis en place les garanties nécessaires pour protéger les données de ses employés dans un tel contexte.

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : L'autorité a jugé que l'accès forcé à la messagerie de l'employé, même motivé par la nécessité d'assurer la continuité administrative, était illicite. Elle rappelle que la correspondance électronique bénéficie de garanties de secret, y compris dans le contexte professionnel, et que l'employeur ne peut y accéder en dehors d'un cadre juridique prédéfini et transparent. La municipalité n'a pas démontré l'existence d'une base juridique valable pour une telle intrusion, en violation des principes fondamentaux du traitement.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) et de responsabilité du responsable du traitement (article 24 du RGPD) : L'autorité a souligné que l'employeur aurait dû mettre en place des mesures techniques et organisationnelles pour gérer l'absence d'un employé sans avoir à accéder à sa messagerie individuelle. L'existence de dossiers partagés, invoquée par la municipalité, s'est avérée insuffisante. Le GPDP a estimé que des solutions alternatives, comme des systèmes de délégation ou des boîtes aux lettres fonctionnelles, auraient dû être prévues dès la conception pour garantir la continuité des activités tout en respectant les droits des personnes concernées.
• Obligation de respecter les règles spécifiques au contexte de l'emploi (article 88 du RGPD) : L'autorité a rappelé que le traitement des données des employés doit se conformer aux dispositions nationales plus spécifiques qui protègent la dignité, les intérêts légitimes et les droits fondamentaux des travailleurs. En l'espèce, l'accès à la messagerie a été considéré comme non conforme à ces garanties, notamment celles prévues par l'article 113 du Code italien de protection des données, qui interdit la collecte de données non pertinentes pour l'activité professionnelle.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende à la municipalité de Terralba. Le montant n'est pas précisé dans l'extrait de la décision.

Enseignements

Cette décision rappelle que :

• La nécessité d'assurer la continuité de l'activité ne constitue pas une base juridique suffisante pour justifier un accès indiscriminé à la messagerie d'un employé absent.
• Les employeurs doivent mettre en œuvre, dès la conception, des mesures organisationnelles et techniques (telles que des politiques de gestion des absences, des boîtes aux lettres fonctionnelles ou des systèmes de délégation clairs) pour éviter d'avoir à accéder aux comptes individuels des salariés.
• L'information préalable et transparente des employés sur les conditions et modalités d'un éventuel accès à leurs outils professionnels est une condition essentielle de la licéité d'un tel traitement.