Autorité de protec­tion des données belge, déci­sion 14/​2023 de la Chambre Contentieuse du 17 février 2023

Le 17 février dernier, la Chambre Contentieuse de l’Autorité de protec­tion des données belge (Gegenvensbeschermingsautoriteit) a rendu une déci­sion portant sur la publi­ca­tion du renvoi d’une employée, la plai­gnante, par son ex-employeur. Ce dernier a mentionné dans la section concer­nant les chan­ge­ments de person­nel de l’intranet de l’entreprise la rupture de contrat immé­diat de la plai­gnante. L’information était acces­sible par l’intégralité du person­nel, soit envi­ron 430 personnes.

Outre la mention de « rupture immé­diate », il figure que celle-ci a eu lieu de l’initiative de l’employeur. Ce dernier point est contesté. La plai­gnante indique que ces deux mentions peuvent lais­ser penser que la fin des rela­tions contrac­tuelles serait due à une faute grave de sa part, ce qui n’est pas le cas.

Cette déci­sion s’inscrit dans une procé­dure préa­lable à la déci­sion de fond. Elle a pour but d’informer le respon­sable du trai­te­ment présumé sur une possible viola­tion du RGPD.

Dans sa déci­sion, la Chambre Contentieuse fait une analyse en deux temps. Elle porte d’une part sur l’annonce même du départ et de la rupture du contrat entre la plai­gnante et son ex-employeur. D’autre part, elle se concentre sur la mention de la partie à l’initiative de laquelle la rupture du contrat a eu lieu et son carac­tère immédiat.

Tout d’abord, la Chambre Contentieuse examine si l’art. 6 par. 1 let. b RGPD peut consti­tuer une base de licéité pour le trai­te­ment liti­gieux. Cet article concerne les trai­te­ments néces­saires à l’exécution d’un contrat.

L’Autorité consi­dère qu’il est appro­prié dans le cadre de la poli­tique du person­nel, d’informer les colla­bo­ra­teurs de tels mouve­ments. Mettre à la dispo­si­tion du person­nel des infor­ma­tions sur les employés faci­lite les échanges entre collègues.

Partant, ce trai­te­ment s’inscrit dans le cadre de la fin des rela­tions de travail. Il peut être consi­déré comme faisant partie de l’exécution du contrat et se baser vala­ble­ment sur l’art. 6 par. 1 let. b RGPD. Cependant, il n’existe aucun lien entre la mention de la partie à l’initiative de la rupture, la mention du carac­tère immé­diat et la substance du contrat. Ces mentions ne se justi­fient pas au regard de l’art. 6 par. 1 let. b RGPD.

La Chambre Contentieuse prend une autre approche pour analy­ser ces deux mentions. Elle relève, tout d’abord, que l’ex-employeur est une auto­rité publique. De ce fait, elle analyse si celle-ci pouvait vala­ble­ment se baser sur l’art. 6 par. 1 let. e RGPD pour son trai­te­ment de données. Cet article prévoit que le trai­te­ment est licite s’il

« est néces­saire à l’exé­cu­tion d’une mission d’in­té­rêt public ou rele­vant de l’exer­cice de l’au­to­rité publique dont est investi le respon­sable du traitement ». 

L’Autorité belge commence par exami­ner le carac­tère « néces­saire » du trai­te­ment. Elle rappelle la juris­pru­dence de la CJUE expli­quant que la néces­sité est une notion auto­nome du droit commu­nau­taire qui ne saurait avoir un contenu variable en fonc­tion des États membres (CJUE, arrêt C‑524/​06 du 16 décembre 2008, par. 52).

Dans la même affaire (Conclusions de l’Avocat géné­ral Maduro, C‑524/​06, par. 27), l’avocat géné­ral Maduro expli­cite que

« le concept de néces­sité (…) en tant que partie inté­grante du critère de propor­tion­na­lité (…) signi­fie que l’autorité qui adopte une mesure qui porte atteinte à un droit fonda­men­tal en vue de réali­ser un objec­tif justi­fié doit démon­trer que cette mesure est la moins restric­tive permet­tant d’atteindre cet objectif ».

La Chambre Contentieuse rajoute que le trai­te­ment ne saurait être quali­fié de « néces­saire », s’il existe des alter­na­tives réalistes et moins intru­sives (CJUE, arrêt C‑92/​09 et C‑93/​09 du 9 novembre 2010). De surcroît, le Groupe de l’Article 29 avait aussi conclu que l’adjectif « néces­saire » n’avait pas la même souplesse que le terme « normal », « utile », « admis­sible », « raison­nable » ou encore « oppor­tun » (Avis 06/​2014 du 9 avril 2014, p. 12).

En l’espèce, l’Autorité belge constate, après examen de l’extrait de l’intranet, que les chan­ge­ments de person­nels de l’entreprise indiquent systé­ma­ti­que­ment, en plus de la date d’entrée et de fin de service des employés, la mention de la partie à l’initiative de laquelle il est mis fin au contrat. Il s’agit donc d’une procé­dure « standard ».

Pour l’évaluation du carac­tère néces­saire à la réali­sa­tion de la mission d’intérêt public pour­suivi, elle relève que le même résul­tat (infor­mer le person­nel du départ de l’employée) aurait pu être atteint par d’autres moyens. En effet, la simple mention de la rupture du contrat ainsi que la date d’effet auraient suffi. Partant, il n’est pas satis­fait au critère de néces­sité dans le cadre de la mission d’intérêt public. L’art. 6 par. 1 let. e RGPD ne peut alors pas consti­tuer une base de licéité pour une telle publication.

La Chambre Contentieuse termine son analyse avec l’examen du prin­cipe de mini­mi­sa­tion de l’art. 5 par. 1 let. c RGPD. Ce prin­cipe énonce que les données person­nelles doivent être adéquates, perti­nentes et limi­tées à ce qui est néces­saire au regard des fina­li­tés pour lesquelles elles sont trai­tées. Comme relevé précé­dem­ment, le critère de néces­sité ne saurait être rempli en l’espèce pour les mentions liti­gieuses. Ainsi, ce prin­cipe n’est pas non plus respecté.

L’Autorité belge conclut à une viola­tion des art. 5 par. 1 let. a et c RGPD et art. 6 par. 1 RGPD et, confor­mé­ment à l’art. 58 par. 2, let. c RGPD a ordonné au respon­sable du trai­te­ment de reti­rer la mention sur l’in­tra­net indi­quant que le respon­sable du trai­te­ment était à l’ori­gine de la résiliation.

En Suisse, la person­na­lité des employés est proté­gée par le régime géné­ral de la LPD, mais égale­ment par les dispo­si­tions spéci­fiques au droit du travail. Selon l’art. 328 al. 1 CO, l’employeur doit s’abstenir de toute atteinte à la person­na­lité de l’employé qui n’est pas justi­fiée par le contrat de travail. L’employeur peut trai­ter des données person­nelles rela­tives à son employé lorsqu’elles sont néces­saires à l’exécution du contrat. Il s’agit par exemple des infor­ma­tions utiles pour les assu­rances sociales ou impôts.

L’employeur doit aussi respec­ter les prin­cipes géné­raux du droit de la protec­tion des données (licéité, bonne foi, propor­tion­na­lité, fina­lité et exac­ti­tude). Partant, une analyse simi­laire au cas belge pour­rait avoir lieu en Suisse. La trans­mis­sion de l’information aux autres employés de la fin des rela­tions contrac­tuelles serait légi­time, mais mention­ner les raisons pour­rait être consi­déré comme illicite.