L'Autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de Based s.r.l., comprenant le prononcé d'une amende de 12 000 €, pour des manquements liés à la gestion des droits d'un ancien collaborateur sur sa messagerie professionnelle et à l'obligation d'information. Cette affaire débute par la plainte d'un ancien collaborateur qui, après la fin de son contrat le 31 décembre 2023, a reçu une réponse jugée inadaptée à ses demandes d'accès et de suppression de son compte de messagerie professionnel formulées le 2 janvier 2024.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et transparence et droit d'accès (article 5, paragraphe 1, point a), 12 et 15 du RGPD) : La société n'a pas donné suite à la demande d'accès de l'ancien collaborateur à son compte de messagerie après la fin de leur relation contractuelle. Elle a qualifié les données de "données personnelles présumées" et a estimé que le compte ne devait contenir que des informations professionnelles. L'autorité a jugé que la demande était valide et que la correspondance électronique, même dans un contexte professionnel, est protégée et contient des données personnelles. Le refus de fournir l'accès constitue une violation, d'autant que le compte a finalement été supprimé le 3 janvier 2025, rendant l'accès définitivement impossible.

* Droit à l'effacement (article 12 et 17 du RGPD) : La société n'a pas fourni de réponse appropriée à la demande de suppression du compte. Bien que le compte ait été désactivé entre le 5 et le 10 janvier 2024, il n'a été définitivement supprimé qu'un an plus tard. La société a justifié ce délai par la nécessité de conserver les données à des fins de défense judiciaire, mais a omis d'informer le plaignant des motifs de ce report, en violation des obligations de communication.

* Obligation d'information (article 13 du RGPD) : La société a reconnu ne pas avoir fourni au collaborateur d'information spécifique sur le traitement de ses données personnelles, notamment concernant l'utilisation de la messagerie professionnelle. Elle a estimé à tort que les dispositions du contrat de collaboration étaient suffisantes. L'autorité a conclu que ces clauses ne remplissaient pas les exigences de l'obligation d'information.

En conséquence, l’autorité a imposé une amende de 12 000 € à Based s.r.l.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.