A autoridade de proteção de dados (DPA) emitiu uma reprimenda a um controlador por manter a caixa de e-mail profissional de um ex-funcionário ativa por um período excessivo após o término do contrato de trabalho. Segundo a DPA, um período de três meses seria o adequado, mas o controlador manteve o e-mail ativo por mais de cinco meses, violando os princípios de minimização e limitação de dados previstos no GDPR.

O ex-funcionário, responsável pela gestão de 30 edifícios residenciais, foi demitido sem aviso prévio em outubro de 2020. Após a demissão, o controlador manteve o e-mail do funcionário ativo, alegando a necessidade de garantir a continuidade das atividades. O ex-funcionário solicitou o encerramento da caixa de e-mail e a eliminação dos dados, conforme o Artigo 17 do GDPR, mas não obteve resposta, levando-o a registrar uma queixa junto à DPA em dezembro de 2020.

A DPA considerou que manter o e-mail ativo por mais de três meses após a demissão é excessivo e viola os princípios de limitação de propósito e minimização de dados do GDPR. Embora o controlador tenha um interesse legítimo em garantir a continuidade do serviço, o impacto prolongado sobre os direitos do ex-funcionário foi considerado desproporcional. Além disso, o controlador violou o Artigo 12(4) em conjunto com o Artigo 17(1) do GDPR por não responder à solicitação de exclusão dos dados. Com base nisso, a DPA emitiu uma reprimenda ao controlador.

Com informações GDPRHub

Este post foi traduzido e resumido a partir de sua versão original com o uso do ChatGPT versão 4o, com revisão humana.