L'Autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la société Pianeta s.r.l., comprenant le prononcé d'une amende de 34 000 €, pour des manquements liés à l'utilisation de données issues d'un programme de fidélité à des fins disciplinaires et au non-respect des droits d'une employée. Cette affaire débute par une plainte d'une ancienne employée, signalant le traitement illicite des données de sa carte de fidélité dans le cadre de la procédure disciplinaire ayant conduit à son licenciement, ainsi que l'absence de réponse à sa demande d'exercice de droits.

L’enquête menée par l’autorité a permis de constater :
* Obligations de licéité, de limitation des finalités et de respect des rôles (articles 5, paragraphe 1, points a et b, 6 et 28, paragraphe 3 du RGPD) : La société, agissant en qualité de sous-traitant pour le programme de fidélité Conad, a utilisé les données collectées dans ce cadre pour une finalité propre et distincte : engager une procédure disciplinaire contre une employée. En déterminant elle-même cette nouvelle finalité, incompatible avec celles initialement définies par le responsable de traitement (Conad Adriatico Soc. Coop.), elle a violé ses obligations de sous-traitant et est devenue responsable de ce traitement spécifique. L'autorité a conclu que ce traitement a été effectué sans base juridique appropriée, écartant la législation du travail invoquée par la société.

* Obligation d'information (articles 13 et 14 du RGPD) : L'employée n'a pas été informée au préalable que les données relatives à sa carte de fidélité pourraient être utilisées à des fins disciplinaires. L'autorité a rejeté l'argument de la société selon lequel la lettre de contestation disciplinaire valait information au sens de l'article 14 du RGPD, considérant que cette information doit être fournie avant le traitement ou, au plus tard, lors de la première communication, et non par l'acte qui matérialise le traitement contesté.

* Obligation de répondre aux demandes d'exercice de droits (articles 12, 15 et 17 du RGPD) : La société n'a fourni aucune réponse à la seconde demande d'exercice de droits (accès et effacement) formulée par l'ancienne employée le 15 février 2023. L'autorité a rappelé que même en cas de refus de donner suite à une demande, le responsable du traitement a l'obligation d'en informer la personne concernée en motivant sa décision, ce qui n'a pas été fait.

En conséquence, l’autorité a imposé une amende de 34 000 € à Pianeta s.r.l.

En outre, l’autorité a ordonné à la société l'interdiction d'effectuer tout traitement ultérieur des données personnelles de la plaignante issues de l'utilisation de la carte de fidélité dans le contexte de la relation de travail.