L'autorité italienne a sanctionné une société de sécurité pour ne pas avoir répondu à la demande d'accès d'un ancien salarié à ses données de géolocalisation, considérant à tort que la demande relevait exclusivement du droit du travail, et pour ne pas avoir fourni d'information spécifique sur ce traitement.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de la société La Patria S.p.A. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements liés à la gestion des demandes de droit d'accès d'un ancien salarié et au traitement de ses données de géolocalisation.

L'affaire trouve son origine dans la plainte d'un ancien salarié, licencié pour faute, concernant l'absence de réponse à ses demandes d'accès à des données de géolocalisation et leur utilisation dans un litige prud'homal.

Motifs de la décision

• Obligation de répondre à une demande d'accès (article 15 du RGPD) et de faciliter l'exercice des droits (article 12 du RGPD) : L'autorité a constaté que la société n'avait pas répondu à deux demandes de l'ancien salarié visant à obtenir copie de ses données de géolocalisation. La société a soutenu que ces demandes s'inscrivaient dans le cadre d'une procédure disciplinaire relevant du droit du travail et non du RGPD. L'autorité a rejeté cet argument, considérant que la demande de communication de données personnelles constitue un exercice du droit d'accès, peu importe le contexte juridique dans lequel elle est formulée ou l'absence de référence explicite au RGPD.
• Obligation d'information et de transparence (article 13 du RGPD et article 5, paragraphe 1, point a) du RGPD) : La société n'avait pas fourni d'information spécifique aux salariés sur le traitement de leurs données de géolocalisation via les dispositifs GPS des véhicules, estimant à tort que cela ne constituait pas un traitement de données personnelles. L'autorité a rappelé que même si un accord syndical autorise l'installation de tels dispositifs, l'obligation d'informer individuellement chaque salarié demeure. De plus, les informations générales fournies aux employés étaient jugées non conformes, car elles mentionnaient le traitement de catégories particulières de données (convictions philosophiques, vie sexuelle) qui n'étaient en réalité pas traitées, ce qui est contraire au principe de loyauté.
• Obligation de disposer d'une base juridique appropriée pour le traitement dans le contexte de l'emploi (article 6 du RGPD et article 88 du RGPD) : L'autorité a estimé que le traitement des journaux de navigation internet des salariés n'était pas conforme. Bien que la société ait invoqué son intérêt légitime à garantir la sécurité de ses systèmes, l'autorité a considéré que cette base juridique était insuffisante au regard des règles plus spécifiques applicables en droit du travail italien (article 114 du Code italien), qui encadrent strictement les dispositifs susceptibles d'entraîner un contrôle à distance des salariés.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à La Patria S.p.A.

Enseignements

Cette décision rappelle que :

• Une demande d'accès à des données personnelles formulée par un salarié dans le cadre d'un litige prud'homal doit être traitée comme une demande d'exercice de droits au titre du RGPD, indépendamment de sa qualification par le demandeur.
• L'existence d'un accord syndical autorisant la mise en place d'un dispositif de contrôle (comme la géolocalisation) ne dispense pas l'employeur de son obligation d'information individuelle et transparente envers chaque salarié concerné, conformément à l'article 13 du RGPD.
• La mention dans une politique de confidentialité de traitements de données (notamment de catégories particulières) qui ne sont pas réellement effectués est contraire au principe de loyauté et de transparence et peut constituer un manquement.