L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre d'ITAS Mutua, comprenant le prononcé d'une amende de 50 000 €, pour des manquements en lien avec la gestion des données de ses salariés, notamment concernant le droit d'accès et la conservation des courriels. Cette affaire débute par une plainte d'un ancien salarié qui estimait que son ancien employeur n'avait pas répondu de manière appropriée à sa demande d'accès à ses données personnelles, en particulier aux courriels de son compte professionnel.

L’enquête menée par l’autorité a permis de constater :

* Obligation de fournir l'accès aux données (articles 12 et 15 du RGPD) : La société a examiné et filtré les courriels du plaignant avant de lui en donner l'accès, limitant la communication aux seuls messages jugés "strictement personnels". L'autorité a jugé cette pratique illicite, rappelant que les communications professionnelles sur un compte individualisé constituent des données personnelles de l'employé. La société n'a pas non plus démontré en quoi l'accès intégral aux courriels, que l'employé avait déjà reçus ou envoyés, aurait concrètement porté atteinte aux droits de tiers ou à des secrets d'affaires.

* Obligation de licéité, loyauté, transparence, limitation des finalités, minimisation et limitation de la conservation (article 5 et 13 du RGPD) : La société conservait une sauvegarde des courriels de ses employés pendant cinq ans et les journaux de navigation internet pendant douze mois. L'autorité a constaté que les employés n'étaient pas correctement informés de ces traitements, les politiques internes étant génériques et contradictoires. De plus, ces durées de conservation ont été jugées excessives et disproportionnées au regard des finalités invoquées (continuité de l'activité, sécurité), violant ainsi les principes de minimisation et de limitation de la conservation.

* Obligation de traitement des données dans le contexte des relations de travail (article 88 du RGPD et article 114 du Code de la protection des données italien) : Les politiques internes de la société prévoyaient la possibilité pour l'employeur d'accéder aux courriels et aux journaux de navigation des employés. L'autorité a considéré que ces systèmes constituaient des outils permettant un contrôle à distance de l'activité des travailleurs. En l'absence de l'accord collectif ou de l'autorisation de l'inspection du travail requis par le droit national, ce traitement est illicite, même si la société affirme n'avoir jamais effectué de contrôle effectif.

En conséquence, l’autorité a imposé une amende de 50 000 € à ITAS Mutua.
En outre, l’autorité a ordonné à la société de fournir au plaignant un accès intégral à ses courriels et de mettre ses politiques et traitements en conformité avec le RGPD.