L'Autorité de protection des données (APD) a publié une décision de sanction à l'encontre d'une société, comprenant le prononcé d'une amende de 176 946,61 €, pour des manquements liés à la gestion de la boîte de messagerie professionnelle d'une ancienne consultante après son départ. Cette affaire débute par une plainte de la consultante, qui a constaté que sa boîte de messagerie était toujours active près d'un an après la fin de sa mission.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : La société a continué de traiter les données de la boîte de messagerie après le 1er juin 2023, soit plus d'un mois après le départ de la consultante, sans disposer d'une base juridique valable. L'autorité a estimé que l'intérêt légitime de l'employeur pour assurer la continuité des activités ne justifiait pas une conservation au-delà de cette période et que la nécessité de répondre à une demande d'accès ultérieure ne pouvait légitimer le manquement initial à l'obligation de suppression.

* Obligation de transparence et d'information (articles 12 et 13 du RGPD) : La société n'a pas informé la consultante de la poursuite du traitement de ses données après son départ. De plus, les messages d'absence mis en place n'étaient pas jugés conformes pour informer les correspondants externes que leurs communications n'étaient plus traitées par la plaignante, manquant ainsi à l'obligation de transparence envers les tiers.

* Droit d'accès (article 15 du RGPD) : La réponse de la société à la demande d'accès de la plaignante a été jugée non conforme. Les modalités proposées, impliquant un accès sur site avec filtrage par un tiers, ont été communiquées de manière peu claire et la société a restreint de manière injustifiée l'accès à certains courriels, entravant ainsi l'exercice effectif de ce droit.

* Obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées (article 24 du RGPD) et de responsabilité (article 5, paragraphe 2 du RGPD) : Les procédures de la société pour la gestion des départs étaient inadéquates, reposant sur un processus manuel non vérifié et datant de 2016. L'absence d'automatisation et de contrôle a conduit à ce que la boîte de messagerie ne soit pas supprimée malgré sa présence sur une liste de suppression, démontrant un manquement à l'obligation de garantir et de pouvoir démontrer la conformité.

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : La société n'a pas été en mesure de fournir des journaux d'accès prouvant que la confidentialité de la boîte de messagerie avait été préservée après le départ de la consultante. L'autorité a conclu que l'entreprise n'a pas suffisamment démontré que l'intégrité et la confidentialité des données personnelles étaient garanties.

En conséquence, l’autorité a imposé une amende de 176 946,61 € à la société. Ce montant résulte d'une réduction de 95 % appliquée à un montant de départ de 3 538 932,15 €, tenant compte de plusieurs circonstances atténuantes.
En outre, l’autorité a ordonné à la société de se mettre en conformité dans un délai de 30 jours, notamment en octroyant un accès complet aux données à la plaignante, en supprimant ensuite la boîte de messagerie, en fournissant les journaux d'accès et en adaptant ses procédures de gestion des départs.