L'autorité italienne de protection des données a sanctionné une société pour avoir tardivement répondu à une demande d'accès et pour sa politique de gestion des messageries électroniques des salariés après la cessation de leur contrat de travail.

Faits et contexte

L'autorité italienne de protection des données (Garante per la Protezione dei Dati Personali - GPDP) a publié une décision de sanction à l'encontre de la société Techpartner s.r.l., pour des manquements liés à la gestion d'une demande d'exercice de droits et au traitement des messageries électroniques des salariés. Le montant de l'amende n'a pas été publié.

L'affaire trouve son origine dans la plainte d'un ancien salarié du 11 octobre 2023, concernant une réponse jugée non satisfaisante à sa demande d'accès à ses données personnelles, ainsi que d'autres allégations qui n'ont pas été retenues par l'autorité.

Motifs de la décision

• Obligation de répondre à une demande d'accès dans les délais (article 12, paragraphe 3, du RGPD et article 15 du RGPD) : La société n'a pas fourni les données demandées par le plaignant dans le délai d'un mois. Elle a justifié ce retard par la difficulté à identifier la demande d'accès au sein d'une correspondance plus large relative au droit du travail, et par des difficultés à retrouver des documents antérieurs à 2020 suite à une fusion. L'autorité a rejeté ces arguments, soulignant que la demande faisait explicitement référence à la législation sur la protection des données et aux Lignes directrices 1/2022 du Comité Européen de la Protection des Données (CEPD) sur le droit d'accès. De plus, la complexité de la recherche aurait dû conduire la société à informer le plaignant d'une prolongation du délai de deux mois, comme le permet l'article 12, paragraphe 3, du RGPD, ce qu'elle n'a pas fait.
• Obligation de licéité, de minimisation et de limitation de la conservation (article 5, paragraphe 1, points a), c) et e) du RGPD) : L'enquête a révélé que le règlement interne de la société prévoyait de maintenir active la messagerie d'un salarié jusqu'à 6 mois après son départ et de pouvoir en lire le contenu pour assurer la continuité de l'activité. L'autorité a jugé cette pratique contraire aux principes de licéité, de minimisation et de limitation de la conservation, en rappelant que la correspondance électronique est protégée par des garanties de secret. Elle a précisé que la continuité de l'activité doit être assurée par des systèmes de gestion documentaire adéquats et non par la conservation des messageries, qui ne présentent pas les garanties requises en matière d'authenticité, d'intégrité et de fiabilité. La procédure conforme consiste à désactiver le compte et à mettre en place un message de réponse automatique informant les tiers d'une adresse alternative, sans permettre à l'employeur de visualiser les messages entrants.

Décision de l'autorité

En conséquence, l'autorité a imposé une sanction à Techpartner s.r.l., avec une amende à hauteur de 25 500€.

Enseignements

Cette décision rappelle que :

• Une demande d'exercice de droits est valide et doit être traitée dans les délais, même si elle est intégrée au sein d'une communication plus large portant sur d'autres sujets, dès lors qu'elle est clairement identifiable.
• Des difficultés organisationnelles internes, comme une fusion d'entreprises, ne justifient pas un retard dans la réponse à une demande d'accès ; le responsable du traitement doit utiliser les mécanismes de prolongation de délai prévus par le RGPD en informant la personne concernée.
• La continuité de l'activité de l'entreprise ne peut justifier la conservation et la consultation de la messagerie électronique d'un ancien salarié ; des systèmes de gestion documentaire doivent être mis en place pour archiver les informations professionnelles pertinentes pendant la relation de travail.