L’autorité italienne de protection des données personnelles (GPDP) a publié une décision de sanction à l’encontre d’Esselunga S.p.A. (comprenant le prononcé d’une amende de 5 000 €) pour des manquements relatifs au droit d’accès aux données personnelles. Cette affaire débute par une plainte déposée le 21 octobre 2024 par un salarié, qui avait exercé son droit d’accès en envoyant une demande écrite le 8 septembre 2024, sollicitant la communication des enregistrements de ses présences au travail sur une période étendue, sans recevoir de réponse écrite de la part de la société.

L’enquête menée par l’autorité a permis de constater :

* Obligation de transparence et d’information de l’intéressé (article 12 du RGPD) : Esselunga n’a pas fourni de réponse écrite à la demande d’accès dans le délai légal d’un mois, se limitant à un contact téléphonique non documenté, ce qui ne satisfait pas aux exigences de forme et de preuve prévues par le RGPD. La société a reconnu une erreur de gestion interne et n’a pas informé l’intéressé d’une éventuelle prolongation du délai.

* Droit d’accès de la personne concernée (article 15 du RGPD) : la société a tardé à fournir les données demandées, ne les communiquant qu’après l’intervention de l’autorité, soit le 10 décembre 2024, soit plus de deux mois après la demande initiale. La demande, claire et précise, avait été adressée à une adresse électronique officielle, et la société a admis avoir pris connaissance de la requête.

En conséquence, l’autorité a imposé une amende de 5 000 € à Esselunga S.p.A. pour ces violations des articles 12 et 15 du RGPD.

En outre, l’autorité a ordonné la publication de la décision sur son site internet et l’inscription des violations et mesures adoptées dans son registre interne.