Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia - 238

DOCTR INE
envois de messages à des tiers. Le
maintien de ces adresses se justifiait,
selon la défenderesse, par la volonté,
d'une part, de ne pas perdre des
messages professionnels importants
et, d'autre part, de pallier l'absence
de transmission de dossiers. Quant
à la consultation des archives des
e-mails, celle-ci était faite à des fins
exclusivement professionnelles.
La chambre contentieuse a considéré
que l'absence de suppression des
adresses de messagerie du plaignant
est constitutive de manquements
aux principes du RGPD, à savoir les
principes de licéité, de finalité, de
minimisation et de conservation
proportionnée des données. Selon
l'autorité de contrôle, il incombait
au responsable du traitement « de
bloquer la messagerie électronique »
du titulaire de celle-ci au plus tard
le jour effectif de son départ. Ce
blocage aurait dû intervenir après
information de la personne et après
y avoir fait
insérer un « message
automatique » avertissant tout
correspondant ultérieur du fait que
la personne concernée n'exerce
plus ses fonctions au sein de l'entreprise,
et ce « pendant une période
raisonnable (a priori 1 mois) ». L'APD
ajoute qu'en fonction du contexte et,
en particulier du degré de responsabilité
exercée par la personne
concernée, « un délai plus long peut
être admis ne pouvant
dépasser 3 mois ».
idéalement
Une telle façon de procéder est, selon
l'autorité, à privilégier « par rapport
au transfert automatique des mails
à une autre adresse électronique de
l'entreprise comme cela avait été mis
en place par la défenderesse ».
Au-delà de cette période, l'APD
précise que la messagerie électronique
doit être supprimée, car « la
finalité de traitement de cette donnée
à caractère personnel [l'adresse électronique]
est alors sans objet ». Elle
ajoute que si l'adresse peut en effet
rester active un certain délai aux fins
d'assurer « le bon fonctionnement de
l'entreprise et la continuité des prestations
», au-delà de ce délai « plus
aucune base de légitimité ne permet
que le traitement se poursuive ». Or,
à défaut d'intérêt légitime, « plus
aucune base de licéité ne permettait
de fonder la poursuite du traitement
de cette donnée ».
Par conséquent, si l'employeur
souhaite récupérer tout ou partie
du contenu de la messagerie, il doit
le faire avant que la messagerie
ne soit bloquée. C'est d'ailleurs ce
qu'indiquait le Comité des ministres
du Conseil de l'Europe dans une
recommandation CM/Rec (2015)5, à
laquelle fait référence l'autorité belge
de contrôle : « Lorsqu'un employé
quitte son emploi, l'employeur devrait
prendre des mesures techniques et
organisationnelles afin que la messagerie
électronique de l'employé soit
désactivée automatiquement. Si le
contenu de la messagerie devait être
récupéré pour la bonne marche de
l'organisation, l'employeur devrait
prendre des mesures
appropriées
afin de récupérer son contenu avant
le départ de l'employé et si possible
en sa présence. » Cette récupération
du contenu de la messagerie
pour assurer la bonne marche de
l'entreprise devrait se faire, selon
l'APD, « avant le départ du salarié et
en sa présence ». Quant au salarié,
la Chambre contentieuse estime
qu'il doit être mis en mesure « de
reprendre ou d'effacer ses communications
électroniques d'ordre privé
avant son départ », étant précisé qu'en
cas de situation litigieuse, « l'intervention
d'une personne de confiance
est recommandée ».
En l'espèce, la Chambre contentieuse
a prononcé à l'encontre de
l'organisme un ordre de mise en
conformité par l'adoption d'une politique
réglant la question de la clôture
des messageries électroniques, ainsi
qu'une amende administrative d'un
montant de 15 000 euros.
Quelles
recommandations ?
L'employeur doit fixer les règles
dans la charte informatique en
précisant le sort de la messagerie
électronique à compter du départ
du salarié : blocage et insertion d'un
message
automatique
avertissant
tout correspondant ultérieur du fait
que le salarié a quitté ses fonctions.
La charte doit également indiquer
que le salarié peut, avant son départ
effectif, récupérer ou effacer ses
courriels d'ordre privé, étant précisé
que l'employeur peut se réserver la
possibilité de conserver, pendant
une durée à définir dans le cadre d'un
archivage intermédiaire, le contenu
restant, et ce pour la bonne marche
de l'entreprise. En cas de situation
conflictuelle entre les parties, il est
recommandé d'organiser ces opérations
sous le contrôle d'un huissier
de justice.
Alexandre FIÉVÉE
Avocat associé
Cabinet DERRIENNIC
Notes
(1)
Cnil, « Référentiel relatif aux traitements
de données à caractère personnel mis en
œuvre aux fins de gestion du personnel »,
21 novembre 2019.
(2)
Autorité de protection des données belge, chambre
contentieuse, 64/2020, 29 septembre 2020.

238
Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?
Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info
EXPERTISES JUIN 2021
Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2021 - N°469 - Le mensuel du droit de l'informatique et du multimédia
