RGPD : la qualité de gréviste n’est pas une « donnée sensible »

Selon l’autorité de protection des données, un employeur peut être autorisé à communiquer la liste des travailleurs participant à une grève. Sous certaines conditions.

1.    Les faits

Un établissement scolaire organise une réunion des parents d’élèves.

Une grève est cependant prévue le même jour, à l’initiative des organisations syndicales de l’enseignement. Dans ce contexte, l’école adresse un e-mail aux parents d’élèves. La liste des enseignants absents à la réunion est communiquée, avec la mention « gréviste ».

Les enseignants grévistes estiment que, par cette mention, l’école viole le RGPD. Ils soutiennent que la communication de cette information est un traitement illicite de données sensibles. L’affaire est portée devant la chambre contentieuse de l’Autorité de protection des données (APD).

2.    La décision de l’Autorité de protection des données

L’article 9 du RGPD interdit, par principe, le traitement des données sensibles, dont celles révélant l’appartenance syndicale.

En l’espèce, la mention « gréviste » constitue indéniablement une donnée à caractère personnel. Pour autant, le fait d’être gréviste ne permet pas de déterminer l’appartenance syndicale de la personne. Celle-ci implique, en effet, l’affiliation à une organisation syndicale. Or, la participation à la grève est ouverte à l’ensemble des personnes, indépendamment de leur affiliation. L’APD en conclut que la communication ne constitue pas un traitement de données sensibles.

S’agissant, dès lors, d’une donnée ordinaire, il s’impose d’examiner la licéité du traitement au regard de l’article 6 du RGPD.

Pour justifier sa communication, l’école invoque sa « mission d’intérêt public ». Ce fondement doit répondre à un critère de finalité et à un critère de nécessité, que l’APD examine successivement :

• Critère de finalité : l’école est investie d’une mission d’intérêt public. Il lui revient, dans ce cadre, d’informer les parents sur les projets de vie à l’école, de les associer aux prises de décision, etc. La communication en question répondait bien au critère de finalité ;
• Critère de nécessité : l’APD estime, par contre, que la mention « gréviste » n’était pas nécessaire à la finalité poursuivie. La simple précision de l’absence de certains professeurs était suffisante.

En conséquence, faute de satisfaire à ce dernier critère, la chambre contentieuse adresse une réprimande à l’établissement scolaire.

Que retenir ?

La qualité de « gréviste » n’est pas une donnée sensible, au sens du RGPD, dès lors qu’elle ne révèle pas l’appartenance syndicale d’un travailleur.

S’il entend communiquer à ce sujet, l’employeur sera néanmoins attentif à justifier de la licéité du traitement, au regard de l’article 6 du RGPD. L’invocation d’un « intérêt légitime » ou, comme ici, de la poursuite d’une « mission d’intérêt public » est possible, pour autant que l’employeur puisse démontrer la nécessité d’une telle communication. 

Source : APD, décision 49/2023 du 28 avril 2023, www.autoritéprotectiondonnees.be.