RGPD : évitez de communiquer au personnel les motifs du départ d’un travailleur

Contexte

Une travailleuse, occupée au sein d’une autorité publique, est en incapacité de travail. Le conseiller en prévention-médecin du travail (CPMT) la déclare définitivement inapte au travail. Le contrat de travail est ensuite rompu pour force majeure médicale. Lors d’une réunion d’équipe, la direction informe le personnel de ce départ et lit le rapport du CPMT. Cette communication est ensuite consignée dans le procès-verbal de la réunion.

La travailleuse apprend que son inaptitude définitive au travail a été communiquée à ses collègues. Elle dépose plainte auprès de l’Autorité de protection des données (« APD »).

Décision de l’APD

L’APD rappelle tout d’abord que les informations relatives à l’absence de la travailleuse, au rapport du CPMT et à son inaptitude au travail constituent des données relatives à la santé, dont le traitement n’est autorisé que dans des circonstances particulières.

Lorsqu’un traitement de données est réalisé pour d’autres finalités (traitement ultérieur) que celles pour lesquelles les données ont été collectées initialement (traitement initial), ce traitement ultérieur doit être compatible avec les finalités du traitement initial.

En l’occurrence, décide l’APD, le traitement initial par le département des ressources humaines poursuivait des objectifs de gestion du personnel : fin de la relation de travail, outplacement, etc. Le traitement ultérieur, à savoir la communication au personnel des données figurant dans le rapport du CPMT, n’est pas compatible avec cette finalité initiale.

Il en résulte que le traitement ultérieur devait se fonder sur une base de licéité distincte, en l’occurrence inexistante. D’autre part, souligne l’APD, pour respecter le principe de minimisation des données, la communication aurait dû se limiter au fait que la personne concernée ne faisait plus partie du personnel.

Compte tenu de ces violations du RPGD, l’Autorité inflige une sanction à l’employeur. Ce dernier étant une autorité publique pour laquelle l’APD n’est pas compétente pour infliger une amende, elle se limite à une réprimande.

Que retenir ?

L’employeur doit faire preuve de prudence lors de la communication au personnel au sujet du départ d’un travailleur. Il est vivement conseillé de se limiter à l’information selon laquelle le travailleur quitte l’entreprise, sans préciser les motifs de ce départ, en particulier lorsque ceux-ci ont trait à des données sensibles telles que la santé du travailleur.

Pour toute question à propos de cette actualité et pour tout conseil pratique, n’hésitez pas à contacter l’un de nos avocats.

Source :

Autorité de protection des données, décision n° 115/2022, du 19 juillet 2022, disponible sur https://www.autoriteprotectiondonnees.be.