Une société a été sanctionnée pour avoir maintenu actifs et redirigé les comptes de messagerie d'anciens salariés après leur départ, l'autorité jugeant ce traitement illicite en l'absence de base juridique valable et rappelant que le consentement ne constitue généralement pas une base juridique appropriée dans le contexte d'une relation de travail en raison du déséquilibre des pouvoirs.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de Top Secret Investigations et Sécurité s.r.l. pour des manquements en lien avec la gestion des comptes de messagerie d'anciens salariés après la rupture de leur contrat de travail.

L'affaire trouve son origine dans la plainte de deux anciens salariés concernant le maintien de leurs comptes de messagerie après leur départ, la redirection des messages reçus et le défaut d'information adéquate sur ce traitement.

Motifs de la décision

L'autorité a d'abord rejeté l'argument de la société selon lequel la procédure était viciée pour dépassement du délai de 120 jours. Elle a rappelé, en s'appuyant sur la jurisprudence de la Cour de cassation italienne, que ce délai ne court qu'à compter de la fin de la phase d'instruction, c'est-à-dire lorsque l'autorité a non seulement collecté mais aussi pleinement évalué les éléments permettant de caractériser une violation.

Sur le fond, les manquements suivants ont été retenus :

• Obligation de licéité, de minimisation et de limitation de la conservation (article 5, paragraphe 1, lettres a), c) et e) du RGPD) : L'autorité a constaté que la société avait maintenu actifs les comptes de messagerie individualisés des plaignants et redirigé les courriels entrants pendant environ huit mois après la cessation de leur contrat de travail. Elle a jugé que le consentement des anciens salariés, invoqué par la société, ne pouvait constituer une base juridique valide en raison du déséquilibre inhérent à la relation de travail, citant le considérant 43 du RGPD, le Parere 2/2017 du Groupe de travail "Article 29" (WP 249) et les Lignes directrices sur le consentement du Comité européen de la protection des données (WP 259). En l'absence de toute autre finalité légitime démontrée, ce traitement a été jugé contraire aux principes de licéité, de minimisation des données et de limitation de la conservation.
• Obligation de transparence et d'information (article 13 du RGPD) : L'autorité a estimé que les informations fournies aux salariés au moment de leur embauche, ainsi que le règlement interne affiché dans les locaux, n'étaient pas suffisamment clairs et complets pour informer les personnes concernées du traitement de leurs données après la fin de la relation de travail, notamment concernant la gestion de leur compte de messagerie.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à Top Secret Investigations et Sécurité s.r.l.

En outre, l'autorité a ordonné à la société de mettre ses procédures de traitement des données personnelles des salariés en conformité avec le RGPD, en particulier en ce qui concerne la gestion des comptes de messagerie après la fin du contrat de travail.

Enseignements

Cette décision rappelle que :

• Le maintien d'un compte de messagerie d'un ancien salarié, même avec un système de redirection, constitue un traitement de données personnelles qui doit reposer sur une base juridique valable et respecter les principes du RGPD.
• Le consentement ne constitue généralement pas une base juridique appropriée pour les traitements de données des salariés en raison du déséquilibre de la relation contractuelle.
• Les procédures de désactivation des comptes de messagerie d'anciens salariés doivent être clairement définies et limitées dans le temps ; une pratique acceptable consiste à mettre en place une réponse automatique pour une durée limitée, informant les expéditeurs de la cessation de fonction de la personne et fournissant une adresse de contact alternative, sans permettre la consultation des messages entrants.