Demande d’intervention psychosociale d’un travailleur : le respect du RGPD s’impose

Contexte

Une employée introduit une demande d’intervention psychosociale formelle auprès du conseiller en prévention compétent.

Ce dernier formule des recommandations, préconisant à l’employeur l’adoption de mesures collectives et individuelles.

Suite à l’avis du conseiller en prévention, l’employeur publie une note sur le mur de l’institution. Cette note mentionne notamment les nom et prénom de l’employée, identifiée en tant que « plaignante ».

L’employée estime qu’il s’agit d’un traitement illicite de ses données à caractère personnel. Elle saisit l’Autorité de protection des données (« APD »).

De son côté, l’employeur estime que le traitement serait licite, dès lors : (i) qu’il serait prévu par une obligation légale et (ii) qu’il concernerait des données accessibles publiquement. Sur ce second argument, le nom de la plaignante avait, en effet, déjà été révélé au personnel, lors de l’enquête réalisée par le conseiller en prévention lui-même.

La décision de l’APD

L’APD rappelle tout d’abord que les nom et prénom sont des « données à caractère personnel », au sens du RGPD. La publication de ces informations, dans une note à l’attention du personnel, constitue un « traitement ».

Il en découle que l’employeur doit disposer d’une base de licéité, autorisant la publication d’une telle note.

Selon l’APD, cette base de licéité fait défaut :

·     Aucune disposition légale ne prévoit l’obligation, dans le chef de l’employeur, de publier les mesures collectives ou individuelles recommandées par le conseiller en prévention ;

·     Le RGPD s’applique aux données accessibles au public, dont le traitement nécessite également une base de licéité ;

·     L’employeur n’avait pas d’« intérêt légitime » à faire valoir. Informer le personnel d’un avis rendu par le conseiller externe – et défendre sa position – peut constituer une finalité licite. Toutefois, publier l’identité de la plaignante n’était pas nécessaire pour atteindre cette finalité.

En conséquence, la chambre contentieuse de l’APD notifie à l’employeur un avertissement, assorti d’un ordre de mise en conformité (suppression des données litigieuses).

Que retenir ?

En cas de demande d’intervention psychosociale d’un travailleur, l’employeur doit respecter strictement le RGPD.

L’employeur veillera, en particulier, à s’assurer qu’il dispose d’une base de licéité pour toute communication envers le personnel, suite aux recommandations du conseiller en prévention. Il devra, également, limiter les traitements au strict nécessaire.

Pour toute question sur ce sujet, contactez sans tarder l’un de nos avocats !

Source : Autorité de protection des données, décision 18/2023 du 2 mars 2023, www.autoriteprotectiondonnees.be