L'autorité italienne a publié une décision de sanction à l'encontre de la société Anticimex s.r.l., comprenant le prononcé d'une amende de 40 000 €, pour des manquements liés à la gestion de la demande de droit d'accès d'un ancien salarié et à la surveillance de sa messagerie électronique professionnelle. Cette affaire débute par une plainte déposée par un ancien salarié, signalant l'absence de réponse de la société à sa demande d'exercice du droit d'accès à ses données personnelles.

L’enquête menée par l’autorité a permis de constater :
* Droit d'accès de la personne concernée (article 15 du RGPD) et obligation de fournir des informations (article 12 paragraphe 3 du RGPD) : La société n'a pas répondu à la demande de droit d'accès de l'ancien salarié dans les délais légaux. Elle n'a fourni une réponse, d'ailleurs partielle, qu'environ quatre mois après la demande et suite à l'intervention de l'autorité, prétextant que la demande visait principalement des documents commerciaux. L'autorité a rappelé que le responsable du traitement doit répondre à toute demande, sans en évaluer les motifs, quitte à motiver un refus.

* Limitation des finalités, minimisation et conservation limitée (article 5 paragraphe 1 points a, b, c et e du RGPD) : La société a conservé la boîte de messagerie de l'ancien salarié active pendant 15 mois après la fin de son contrat, en dérogation à ses propres procédures. Durant cette période, elle a procédé à une analyse forensique et à une lecture systématique de sa correspondance par son supérieur hiérarchique afin de collecter des preuves dans le cadre d'un litige. L'autorité a jugé ce traitement contraire aux principes de limitation des finalités, de minimisation des données et de limitation de la conservation des données.

* Licéité du traitement dans le cadre des relations de travail (article 88 du RGPD et article 114 du Code italien) : Le contrôle de la messagerie de l'ancien salarié, ainsi que les politiques internes de l'entreprise autorisant la consultation des courriels et des appareils des employés, constituent un contrôle à distance de l'activité des travailleurs. Ce traitement a été jugé illicite car il a été mis en œuvre sans respecter les garanties prévues par le droit national du travail, en violation du principe de licéité énoncé à l'article 5 paragraphe 1 point a du RGPD.

* Obligation d'information (article 13 du RGPD) : L'information fournie aux salariés sur le traitement de leurs données était incomplète et générique. Elle n'indiquait ni les durées de conservation spécifiques pour la messagerie électronique, ni les modalités précises des éventuels contrôles, ni les raisons légitimes qui pourraient les justifier, en violation du principe de transparence.

En conséquence, l’autorité a imposé une amende de 40 000 € à Anticimex s.r.l. En outre, l’autorité a ordonné à la société de se conformer à une interdiction d'accéder au contenu de la messagerie électronique de ses salariés et de mettre ses documents d'information en conformité avec la réglementation dans un délai de 60 jours.