L'autorité italienne de protection des données (Garante) a déclaré illicite le traitement d'une société pour avoir tardivement répondu à une demande d'accès d'une ancienne salariée, jugeant ses arguments de défense irrecevables, notamment la qualification erronée de la demande et sa prétendue absence de responsabilité après la fin du contrat de travail.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision à l'encontre de Union Facility s.r.l. pour des manquements en lien avec la gestion d'une demande d'exercice de droits.

L'affaire trouve son origine dans la plainte d'une ancienne salariée n'ayant reçu aucune réponse à sa demande d'accès à ses données personnelles, formulée le 28 juillet 2023.

Motifs de la décision

• Obligation de répondre aux demandes d'exercice de droits dans les délais (article 12, paragraphe 3, du RGPD) et de garantir le droit d'accès (article 15 du RGPD) : L'autorité a constaté que la société n'avait pas répondu dans le délai d'un mois à la demande de la plaignante. Elle a rejeté l'argument de la société selon lequel la demande, visant à obtenir des attestations de formation, ne constituait pas une demande d'accès au sens du RGPD. L'autorité a rappelé que la demande citait expressément l'article 15 du RGPD et sollicitait l'ensemble des informations prévues par cette disposition. De plus, elle a souligné que les attestations de formation contiennent bien des données à caractère personnel (décisions n° 246 du 24/04/2024 et n° 571 du 11/09/2025). L'argument selon lequel la responsabilité du traitement cesse avec la fin du contrat de travail a également été jugé infondé, la société restant responsable tant qu'elle traite les données. La réponse n'ayant été fournie que le 5 avril 2024, après l'intervention de l'autorité, la violation a été confirmée.

Décision de l'autorité

En conséquence, l'autorité a déclaré illicite le traitement mis en œuvre par Union Facility s.r.l. pour violation des articles 12, paragraphe 3, et 15 du RGPD.

En outre, l'autorité a ordonné la publication de la présente décision sur son site internet.

Enseignements

Cette décision rappelle que :

• La responsabilité d'un employeur en tant que responsable du traitement ne s'éteint pas à la fin de la relation de travail ; elle perdure tant que les données de l'ancien salarié sont traitées.
• Une demande d'exercice de droits citant explicitement une disposition du RGPD doit être traitée comme telle, même si le responsable du traitement estime que l'intention de la personne concernée se limite à l'obtention d'un document spécifique.
• Les documents relatifs à la formation professionnelle d'un salarié, tels que les attestations, contiennent des données à caractère personnel et entrent dans le champ du droit d'accès.
• Le point de départ du délai de contestation d'une violation par une autorité de contrôle est le moment où celle-ci a pleinement connaissance des faits constitutifs de l'infraction, ce qui peut nécessiter des investigations complémentaires après une première réponse du responsable du traitement.