Gestion des e-mails professionnels après la fin du contrat de travail : limites selon l’Autorité de protection des données

L’Autorité de protection des données a de nouveau exprimé son point de vue sur la gestion de la messagerie électronique professionnelle par les employeurs après la cessation de la relation de travail, en fournissant des indications pratiques précieuses aux entreprises et aux responsables des ressources humaines.

L’affaire trouve son origine dans une plainte déposée auprès de l’Autorité par un ancien dirigeant qui, à la suite d’une lettre de contestation disciplinaire et du licenciement subséquent, s’est vu refuser l’accès à sa boîte de messagerie professionnelle, restée active. En exerçant les droits prévus par la réglementation, il a demandé à l’entreprise la désactivation du compte, le transfert des messages reçus pendant la période d’inactivité vers son adresse personnelle, ainsi que l’activation d’une réponse automatique pour informer les expéditeurs de sa nouvelle adresse e-mail. Toutefois, ces demandes, correctement formulées conformément au RGPD, n’ont pas été satisfaites.

L’Autorité réaffirme un principe fondamental : les demandes d’exercice des droits prévus par la réglementation en matière de protection des données doivent toujours être traitées dans les délais légaux, même lorsqu’elles s’inscrivent dans un contexte de contentieux du travail. Le fait que la demande soit formulée de manière « non technique » ou que la relation soit conflictuelle ne dispense pas l’employeur de son obligation de répondre dans un délai de 30 jours.

En revenant sur la question de la gestion du compte de messagerie professionnelle d’un ancien salarié, il convient de souligner l’importance du rappel à une orientation jurisprudentielle constante – tant nationale qu’européenne – selon laquelle la protection de la vie privée et de la correspondance s’étend également au cadre professionnel.

Le compte de messagerie peut en effet contenir des données personnelles et des communications relevant du champ de protection de l’article 8 de la CEDH, même lorsqu’il est utilisé à des fins professionnelles.

Il s’ensuit que l’accès, le transfert ou la conservation des messages après la cessation de la relation de travail constituent des traitements de données à caractère personnel qui doivent respecter les principes de :

• licéité ;
• minimisation ;
• limitation de la conservation.

L’Autorité précise que les exigences de continuité de l’activité ne justifient pas automatiquement le maintien actif de la boîte e-mail d’un ancien salarié.

La bonne pratique consiste plutôt à :

• désactiver rapidement le compte ;
• activer des réponses automatiques à destination des tiers ;
• éviter l’accès au contenu des communications, sauf dans des cas exceptionnels et dûment motivés.

Dans le cas examiné, l’Autorité a constaté plusieurs violations du RGPD et a infligé une amende administrative de 40 000 euros, tout en ordonnant des mesures correctrices ainsi que la publication de la décision.

Cette décision constitue un avertissement important : la gestion des outils numériques professionnels après la fin de la relation de travail nécessite des procédures claires, à jour et pleinement conformes à la réglementation en matière de protection des données.