L'essentiel pour le DPO
Ce n'est pas l'accès lui-même qui a été reproché, mais l'infrastructure qui l'a rendu possible : sauvegardes de la messagerie pendant toute la relation de travail plus cinq ans, journaux pendant six mois, information lacunaire. Qui conserve tout peut toujours tout reconstituer, et pour l'autorité cette capacité constitue déjà une surveillance à distance.
Les faits
La procédure est née des plaintes de deux anciens salariés de Piaggio & C. Spa. Pendant la relation de travail, la société avait accédé à leurs boîtes de messagerie professionnelles et acquis au total 112 courriels, dans le but déclaré de vérifier des comportements prétendument illicites.
Le détail qui a le plus pesé est chronologique. Dans certains cas, les courriels acquis remontaient à environ deux ans avant que la société ne conçoive son soupçon. Il ne s'agissait donc pas d'une vérification ciblée sur un fait précis, mais d'une recherche rétrospective dans une archive qui existait déjà, constituée avant et indépendamment de tout soupçon.
Cette archive résultait de deux choix de conservation : la sauvegarde des données de messagerie pendant toute la durée de la relation de travail et jusqu'à cinq ans après sa cessation, et la conservation des journaux d'accès correspondants pendant six mois. L'autorité a jugé les deux durées excessives.
Pourquoi cela devient une surveillance à distance
Le raisonnement de l'autorité est celui désormais établi en matière d'outils de travail : lorsque la collecte et la conservation sont systématiques et prolongées, les traitements deviennent aptes à reconstituer l'activité du salarié. À ce stade, l'intention de l'employeur ne compte plus, seule compte la capacité objective du système. Et cette capacité appelle les garanties du Statut des travailleurs italien, qui n'avaient pas été mises en oeuvre.
C'est la raison pour laquelle la frontière entre outil de travail et outil de contrôle ne se trace pas sur le papier mais dans la configuration technique. Un client de messagerie est un outil de travail ; le même client avec une conservation illimitée des sauvegardes et des journaux gardés pendant des mois devient un système de contrôle, sans que personne n'ait jamais pris cette décision.
Les autres manquements
- Durées de conservation excessives tant pour les courriels professionnels que pour les journaux d'accès, en violation du principe de limitation de la conservation.
- Insuffisance de l'information donnée aux salariés sur les finalités et les bases légales du traitement : l'information n'expliquait pas correctement ce qui était conservé, pendant combien de temps et à quelles conditions cela restait accessible.
- Absence de réponse aux demandes d'exercice des droits des anciens salariés, en particulier celles visant à confirmer la désactivation de leurs comptes.
L'autorité a déclaré illicite le traitement des données personnelles de messagerie professionnelle, a interdit à Piaggio l'accès aux données collectées et conservées sur ses systèmes et a prononcé la sanction administrative de 460 000 euros.
Ce qu'il faut vérifier chez vos clients, concrètement
1) Combien de temps les sauvegardes de messagerie survivent-elles après la fin de la relation de travail ? Si la réponse est « je ne sais pas » ou « toujours », le problème existe déjà. 2) Combien de temps les journaux d'accès aux boîtes sont-ils conservés ? 3) L'information aux salariés indique-t-elle, en termes compréhensibles, ce qui est conservé et pendant combien de temps ? 4) Existe-t-il une procédure écrite de désactivation des comptes au départ, avec confirmation à la personne concernée ? 5) Existe-t-il une procédure formelle d'accès exceptionnel à la boîte d'un salarié, avec conditions, autorisation et trace écrite ? Les trois premières sont des questions pour la DSI, pas pour les ressources humaines.
Le point pour qui suit plusieurs clients
La gestion de la messagerie professionnelle est probablement l'obligation la plus négligée parmi celles à fort risque de sanction, parce qu'elle se situe entre deux fonctions : la DSI décide de la conservation technique, les ressources humaines rédigent l'information, et les deux ne sont presque jamais confrontées. Le registre des traitements est le bon endroit pour faire émerger ce point, car il oblige à écrire la durée de conservation à côté de la finalité. Si un registre ne comporte pas le traitement « messagerie des salariés », ou le comporte avec une durée générique, ce client a le même problème que Piaggio, à plus petite échelle.
Source officielle:Autorité italienne de protection des données - Lettre d'information n° 550 du 29 juillet 2026 ; décision du 18 juin 2026 [doc-web 10272529]Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
