La conservation des métadonnées de messagerie électronique des employés, même pour une durée limitée à 21 jours, ne relève pas de l'exception des "outils utilisés par le travailleur" si les finalités dépassent la simple garantie de fonctionnement du service et visent, par exemple, l'analyse d'incidents de sécurité. Un tel traitement requiert alors le respect des garanties procédurales prévues par le droit du travail (accord syndical ou autorisation administrative), conformément à l'article 88 du RGPD et au droit national.

Faits et contexte

L'Autorité de protection des données personnelles italienne (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la municipalité de Chivasso pour des manquements en lien avec la conservation et le traitement des métadonnées de la messagerie électronique de ses employés.

L'affaire trouve son origine dans la plainte d'un employé concernant la politique interne de la municipalité qui prévoyait l'enregistrement des fichiers journaux de la messagerie électronique sans définir de durée de conservation.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre de la municipalité :

• Obligation de respecter les règles spécifiques au contexte de l'emploi (article 88 du RGPD) : L'autorité a estimé que la collecte et la conservation généralisées des métadonnées de messagerie, même pour une durée de 21 jours, ne pouvaient être qualifiées d'activité liée à un "outil utilisé par le travailleur pour exécuter sa prestation de travail" au sens du droit national (art. 4, paragraphe 2, de la loi n° 300/1970). En effet, les finalités déclarées par la municipalité, telles que l'analyse des incidents de sécurité, dépassaient la simple nécessité de garantir le fonctionnement du service. Par conséquent, ce traitement relevait du régime général de contrôle à distance (art. 4, paragraphe 1, de la loi n° 300/1970), qui impose des garanties procédurales spécifiques (accord collectif ou autorisation administrative), lesquelles n'ont pas été mises en œuvre par la municipalité.
• Obligation de licéité du traitement (article 6 du RGPD) : Le non-respect des garanties prévues par le droit national en matière de surveillance des employés, comme l'exige l'article 88 du RGPD, a rendu le traitement des métadonnées illicite. L'autorité a rappelé que l'observation de l'article 4 de la loi n° 300/1970 constitue une condition de licéité pour de tels traitements dans le contexte de l'emploi en Italie.
• Obligation de transparence et de loyauté (article 5, paragraphe 1, point a) du RGPD) : La politique interne initiale de la municipalité ne précisait aucune durée de conservation pour les métadonnées, manquant ainsi à son obligation de transparence. De plus, les justifications fournies ultérieurement, qualifiées d'"imprécises techniquement" par la municipalité elle-même, ont été jugées non conformes au principe de loyauté, car elles ne reflétaient pas la nature réelle du traitement.
• Obligation d'information des personnes concernées (article 13 du RGPD) : L'information fournie aux employés était incomplète car elle n'indiquait pas la durée de conservation des métadonnées de messagerie électronique, une information pourtant essentielle. La mise à jour ultérieure de cette information sur l'intranet n'a pas suffi à corriger le manquement initial.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende à la municipalité de Chivasso.

Enseignements

Cette décision rappelle que :

• La qualification d'"outil de travail" pour la messagerie électronique ne s'étend pas automatiquement à la collecte généralisée de ses métadonnées à des fins de sécurité qui dépassent le strict fonctionnement technique du service.
• Une durée de conservation des métadonnées limitée (par exemple, 21 jours) n'est licite sans garanties procédurales spécifiques que si la finalité se cantonne à assurer le fonctionnement et la sécurité de base du système, et non à des fins plus larges comme l'analyse d'incidents.
• L'information fournie aux employés sur le traitement de leurs données, notamment les durées de conservation, doit être complète et transparente dès le départ ; une correction ultérieure ne remédie pas au manquement initial.