L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre de la société LTL S.p.A., comprenant le prononcé d'une amende de 40 000 €, pour des manquements en lien avec la gestion du compte de messagerie d'un ancien dirigeant et le non-respect de ses droits. Cette affaire débute par une plainte d'un ancien administrateur délégué, signalant que son compte de messagerie professionnel était resté actif après la cessation de son contrat de travail le 2 août 2023 et que la société n'avait pas répondu à sa demande d'exercice de droits du 22 septembre 2023.

L’enquête menée par l’autorité a permis de constater :
* Obligation de donner suite aux demandes d'exercice des droits (article 12, paragraphe 3, du RGPD et article 15 du RGPD) : La société n'a fourni aucune réponse à la demande de l'ancien dirigeant visant à accéder à sa messagerie et à la faire désactiver. L'autorité a écarté les arguments de la société, qui invoquait son inexpérience et le contexte d'un litige prud'homal, soulignant que la demande mentionnait explicitement le RGPD. De plus, la tentative de limiter l'accès aux seuls courriels personnels a été jugée illégitime, l'autorité rappelant que la protection de la vie privée s'étend à la sphère professionnelle.

* Respect des principes de licéité, de minimisation des données et de limitation de la conservation (article 5, paragraphe 1, points a), c) et e) du RGPD) : Après la fin du contrat de travail, la société a maintenu le compte de messagerie actif pendant environ deux mois et a mis en place un transfert automatique de tous les courriels entrants vers un autre compte d'entreprise. L'autorité a jugé que cette pratique, justifiée par la continuité de l'activité et des besoins de défense en justice, était contraire aux principes du RGPD. La procédure appropriée aurait consisté à désactiver le compte et à mettre en place une réponse automatique informant les tiers, plutôt que de permettre un accès direct à la correspondance.

En conséquence, l’autorité a imposé une amende de 40 000 € à LTL S.p.A.

En outre, l’autorité a ordonné à la société de donner accès au plaignant au contenu de sa messagerie et de procéder à la suppression des données, sauf si leur conservation est nécessaire à la défense de ses droits en justice.