RGPD : première décision de l’Autorité de protection des données dans le contexte d’un licenciement

Le 15 avr 2020Réglementation

Le fait, pour un employeur, de communiquer par téléphone des informations concernant l’un de ses travailleurs, n’est pas un « traitement de données » au sens du RGPD.

Les faits

Un travailleur sollicite, par son organisation syndicale, les motifs de son licenciement, par application de la CCT n°109.

En réponse, son ancien employeur (« entreprise A ») communique ces motifs.

Au terme du courrier, l’entreprise A précise au syndicat qu’une prise de contact a eu lieu avec l’employeur actuel (« entreprise B »), lui permettant d’apprendre que ce dernier avait également rencontré des difficultés avec le travailleur. L’entreprise A écrit, enfin : « (…) un litige s’est récemment déroulé entre votre affilié et son nouvel employeur (…). Le Tribunal l’a condamné à payer des dommages et intérêts pour ces faits ». 

A la réception du courrier, le travailleur dépose plainte auprès de l’Autorité belge de Protection des Données. Il estime que les deux entreprises auraient violé le Règlement Général sur la Protection des Données, (1) en collectant des informations le concernant auprès de son nouvel employeur pour les transmettre ensuite à son syndicat, et (2) en communiquant à son insu ces informations, notamment liées à une procédure judiciaire l’impliquant personnellement.

Décision de l’Autorité de protection des données

Tout d’abord, l’Autorité rappelle que son rôle est, entre autres, de contrôler le respect de la réglementation applicable aux traitements de données à caractère personnel, en ce compris dans le cadre des relations de travail. Son rôle n’est pas, pour autant, de se substituer aux juridictions du travail.

S’agissant de la plainte dirigée contre l’entreprise B, l’Autorité la déclare non fondée.

La communication verbale (par téléphone) d’informations est exclue du champ d’application du RGPD. Le travailleur ne démontre ni que ces informations ont fait l’objet d’un traitement automatisé, ni qu’elles étaient reprises dans un fichier. Il ne s’agit donc pas d’un « traitement de données », au sens du règlement.

S’agissant de la plainte dirigée contre l’entreprise A, l’Autorité la déclare fondée mais prononce à son encontre la sanction la plus légère (simple réprimande).

L’entreprise A invoquait son « intérêt légitime » pour justifier la collecte de données auprès d’un tiers. Cet intérêt légitime étant le fait de devoir se défendre, à l’égard d’un ancien travailleur, dans le contexte d’un licenciement. Selon l’Autorité, ce motif peut effectivement relever de l’« intérêt légitime » d’un employeur. Cependant, l’Autorité estime qu’en l’espèce, l’entreprise A a agi de manière excessive, dès lors que les motifs du licenciement sont indépendants et antérieurs aux informations apportées par le nouvel employeur.

Enfin, l’Autorité souligne que la référence à une procédure civile n’est pas une donnée « judiciaire » au sens du règlement. La donnée judiciaire vise uniquement les condamnations pénales, infractions et mesures de sûreté. Leur traitement est donc, en principe, autorisé, pour autant que le responsable du traitement dispose d’un fondement légal admissible, ce qui n’était pas ici le cas.

Que retenir ?

La communication purement orale d’informations à un tiers tombe en-dehors du champ d’application du RGPD, en l’absence d’un traitement automatisé et dès lors que les informations ne sont pas appelées à figurer dans un fichier.

Par ailleurs, dans le cadre d’un licenciement, il peut être légitime pour un employeur de collecter des informations concernant le travailleur auprès d’un tiers (son nouvel employeur, notamment). La limite étant, assez logiquement, que cette collecte d’informations serve à la défense de l’employeur. Ce n’est pas le cas si les informations collectées sont, par exemple, sans le moindre lien de pertinence avec les motifs du licenciement.

Source : décision 03/2020 du 21 février 2020 de la chambre contentieuse de l’Autorité de protection des données, https://www.autoriteprotectiondonnees.be/.