L'Autorité de protection des données (APD) a publié une décision de sanction à l'encontre de la société Y.NV, comprenant le prononcé d'une amende de 8 500 €, pour des manquements en lien avec la conservation et la gestion de la boîte de messagerie d'un ancien salarié. Cette affaire débute par la plainte de ce dernier, signalant que son compte de messagerie professionnel était toujours actif après la fin de son contrat de travail en juin 2021 et que sa demande de suppression était restée sans réponse.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : La société a maintenu active la boîte de messagerie du plaignant et y a accédé pendant au moins 21 mois après la fin de son contrat de travail, se fondant sur un intérêt légitime prévu dans son règlement intérieur autorisant une conservation jusqu'à 3 ans. L'autorité a jugé cette base juridique invalide, considérant que la conservation généralisée d'une boîte de messagerie n'était ni nécessaire ni proportionnée pour satisfaire aux obligations légales de l'entreprise, qui aurait dû mettre en place un système d'archivage approprié avant le départ du salarié. Le consentement de l'employé a également été écarté en raison du déséquilibre de la relation de travail.

* Droit à l'effacement (article 17 du RGPD) : Le défendeur n'a pas donné suite à la demande de suppression formulée par le plaignant le 20 janvier 2023. L'autorité a rappelé que les données étant traitées de manière illicite, l'obligation d'effacement s'appliquait et que l'entreprise n'avait pas respecté ses obligations en la matière.

* Responsabilité du responsable du traitement et protection des données dès la conception et par défaut (article 5, paragraphe 2, article 24 et article 25 du RGPD) : L'autorité a estimé que la politique de l'entreprise consistant à conserver systématiquement les boîtes de messagerie des anciens employés jusqu'à 3 ans, sans base juridique valable, démontrait un manquement à l'obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et être en mesure de démontrer la conformité au RGPD.

En conséquence, l’autorité a imposé une amende de 8 500 € à la société Y.NV.
En outre, l’autorité a ordonné à la société de supprimer définitivement la boîte de messagerie et l'adresse électronique du plaignant et de fournir la preuve de cette suppression dans un délai de 30 jours, et lui a adressé une réprimande.