L'autorité italienne de protection des données (Garante) a sanctionné une entreprise pour avoir ouvert le casier personnel d'un ancien salarié en son absence et détruit son contenu, considérant que les objets personnels constituent des données personnelles et que leur manipulation constitue un traitement soumis au RGPD.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la société Cosmint S.p.A., comprenant le prononcé d'une amende de 6 600 €, pour des manquements en lien avec l'ouverture du casier personnel d'un ancien salarié et la destruction de son contenu.

L'affaire trouve son origine dans la plainte d'un ancien salarié en contrat de travail temporaire, qui reprochait à l'entreprise l'ouverture de son casier en son absence après la fin de son contrat.

Motifs de la décision

L'autorité a d'abord rejeté l'argument de l'entreprise selon lequel le RGPD ne serait pas applicable. Elle a estimé que les objets contenus dans un casier (vêtements, produits d'hygiène, etc.) constituent des informations concernant une personne physique identifiée et relèvent donc de la définition de "donnée personnelle" de l'article 4, point 1, du RGPD. De même, les opérations d'ouverture, d'inspection, d'enregistrement vidéo et de destruction constituent un "traitement" au sens de l'article 4, point 2, du RGPD. L'autorité s'est appuyée sur la jurisprudence de la Cour de Justice de l'Union européenne (affaires C-740/22, C-175/20, C-579/21, C-25/17) pour retenir une interprétation large de ces notions. Sur le fond, les manquements suivants ont été retenus :

• Obligation de licéité du traitement (article 6 du RGPD) : Le traitement a été réalisé sans base juridique valable. L'autorité a écarté l'intérêt légitime invoqué par l'entreprise (nécessité de libérer le casier pour un nouvel employé), considérant que le traitement n'était pas nécessaire. En effet, l'entreprise a procédé à l'ouverture la veille d'un rendez-vous convenu avec le plaignant pour vider le casier. L'autorité a rappelé que le titulaire doit vérifier si son intérêt légitime ne peut être atteint par des moyens moins préjudiciables pour les droits de la personne concernée, qui ne pouvait raisonnablement s'attendre à une telle action.
• Obligation de loyauté, de transparence et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD) : L'entreprise a agi de manière déloyale en ouvrant le casier sans en informer préalablement le salarié et en détruisant ses effets personnels. Cette action a été jugée disproportionnée par rapport à l'objectif poursuivi, portant une atteinte injustifiée à la vie privée et à la dignité du plaignant. La destruction des biens, dont certains étaient d'usage "strictement personnel/intime", n'était ni nécessaire ni proportionnée.
• Obligation d'information (article 13 du RGPD) : L'entreprise n'avait mis en place aucune politique interne ni fourni aucune information écrite aux salariés sur les règles d'utilisation des casiers et les procédures applicables à la fin du contrat de travail. Les instructions orales mentionnées par l'entreprise ont été jugées insuffisantes pour satisfaire à l'exigence de transparence, surtout dans un contexte de rotation importante du personnel.
• Obligation de coopération avec l'autorité de contrôle (article 157 du Code italien de la protection des données) : L'entreprise n'a pas répondu à la première demande d'informations de l'autorité, ce qui constitue une violation distincte de ses obligations de coopération.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6 600 € à Cosmint S.p.A.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme / précise / rappelle que :

• Les objets contenus dans un casier personnel (vêtements, produits d'hygiène, médicaments) sont susceptibles de révéler des informations sur une personne physique identifiée et doivent être considérés comme des données personnelles au sens du RGPD.
• L'ouverture d'un casier, l'inspection de son contenu, son enregistrement vidéo et sa destruction constituent des opérations de traitement de données personnelles soumises aux règles du RGPD.
• L'utilisation des casiers mis à disposition des salariés doit faire l'objet d'une politique interne claire et communiquée au préalable, précisant les règles d'usage et les procédures applicables en cas de cessation du contrat de travail.
• L'intérêt légitime d'une entreprise à libérer un casier pour un nouvel employé ne peut justifier une ouverture forcée en l'absence du salarié si des alternatives moins intrusives, comme le respect d'un rendez-vous fixé, sont possibles.
• La destruction immédiate des effets personnels d'un ancien salarié est une mesure disproportionnée qui porte atteinte à sa dignité et à sa vie privée.