Tribunes

Données à caractère personnel des employés : règles et contraintes

Chaque employé, dispose du droit de se faire communiquer toutes les informations le concernant dans un fichier et de faire rectifier ou supprimer les informations erronées.

PublicitéDroits de l'employé Chaque employé, comme toute personne physique, dispose du droit de se faire communiquer toutes les informations le concernant dans un fichier et de faire rectifier ou supprimer les informations erronées. Il dispose également du droit de s'opposer à figurer dans un fichier, mais seulement pour des motifs légitimes qu'il appartient à l'employeur d'apprécier. Il ne peut pas s'opposer au recueil de données nécessaires au respect d'une obligation légale, par exemple pour des déclarations sociales obligatoires. En revanche, il peut s'opposer à ce que le comité d'entreprise soit destinataire des informations le concernant. Il doit cependant être clairement informé des conséquences qui en résultent pour lui (exclusion du bénéfice de tarifs réduits par exemple). Si les données ont déjà été transmises, le comité d'entreprise doit en être informé pour supprimer les données, conformément à la demande de l'employé concerné. Cette obligation pèse non seulement sur l'employeur mais également sur le comité d'entreprise ou tout autre organisme ayant, dans le secteur public, vocation à mettre en oeuvre des fichiers informatiques de données personnelles des employés. Ces mentions doivent obligatoirement être portées sur le questionnaire visant à collecter des données personnelles concernant les employés. Dans les autres cas, la Commission nationale de l'informatique et des libertés (Cnil) considère que « l'affichage d'une note d'information dans les locaux ou la remise d'un document à l'employé peuvent constituer des mesures d'information adaptées ». A la suite de plusieurs plaintes déposées à l'encontre d'un employeur pour refus de communication à ses cadres de leur classement et de leur potentiel de carrière, la CNIL a considéré, lors de sa séance plénière du 8 mars 2007, que ce type de données est communicable au salarié concerné dès lors qu'elles ont été prises en compte pour décider de son augmentation de salaire, de sa promotion ou de son affectation. L'employé peut donc, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée en août 2004, demander une copie du document comportant ces données. Un arrêt de la Cour de cassation en date du 23 octobre 2001 avait déjà eu l'occasion de considérer que la non communication de sa fiche de notation à un salarié qui en fait la demande constitue un des éléments permettant de caractériser un comportement discriminatoire à son encontre. Pertinence et finalité du traitement Les données personnelles doivent être « adéquates, pertinentes et non excessives » au regard des objectifs poursuivis. La collecte des informations concernant la santé ou les proches de l'employé serait ainsi contraire à ce principe. L'enregistrement du numéro de sécurité sociale est autorisé dans les fichiers de paie et de gestion du personnel pour permettre d'établir les bulletins de paie et les différentes déclarations sociales obligatoires (D. no 91-1404, 27 déc. 1991 - CSS, art. R. 115-1 et R. 115-2) et pour la tenue des comptes d'épargne salariale (C. trav., art. L. 444-5). Si la copie de l'avis d'imposition d'un employé peut être communiquée au comité d'entreprise pour permettre à celui-ci de calculer la contribution due par l'intéressé, il n'en est pas de même de la déclaration des revenus à raison du caractère privé des informations qui y figurent. Les données à caractère personnel doivent avoir un « usage déterminé et légitime ». Ainsi, un dispositif de vidéosurveillance installé dans un lieu susceptible de porter atteinte à l'intimité de la vie privée des employés (douches par ex.) ou encore qui mettrait un employé ou un groupe de personnes sous une surveillance permanente serait illicite. Par ailleurs, la finalité annoncée doit être respectée. Un lecteur de badge ne doit pas permettre de surveiller les allers et venues des employés ou encore d'accéder à des informations sur le détail de leurs consommations au sein du restaurant d'entreprise. La Cnil a émis un certain nombre de recommandations pour éviter de tels détournements de finalité dans sa délibération no 02-001 du 8 janvier 2002. Mesures de protection La durée de conservation des données doit être précisée pour chaque fichier et en fonction de la finalité (par exemple, quelques jours à un mois maximum pour les enregistrements de vidéosurveillance). Elle exclut une conservation pour une durée indéterminée. S'agissant des données de communication, l'employeur doit donner le plus de précisions possibles sur la durée pendant laquelle les données de connexion permettant d'identifier le poste ou l'utilisateur s'étant connecté sont conservées ou sauvegardées. La Cnil préconise à ce titre la réalisation d'un bilan annuel « informatique et libertés : les mesures de sécurité qui conduisent à conserver trace de l'activité des utilisateurs ou de l'usage qu'ils font des technologies de l'information et de la communication ou qui reposent sur la mise en oeuvre de traitements automatisés d'informations directement ou indirectement nominatives devraient faire l'objet d'un « bilan annuel informatique et libertés à l'occasion de la discussion du bilan social soumis au comité d'entreprise ou au comité technique paritaire ou à toute autre instance équivalente ». L'employeur doit également définir une politique de sécurité pour garantir la confidentialité des données (L. 6 janv. 1978, art. 34). Certaines données ne peuvent être accessibles que pour certaines personnes, sauf la faculté de les transmettre à des tiers autorisés (inspection du travail, services fiscaux, etc.). De même, en présence d'un dispositif de vidéosurveillance, les images enregistrées ne peuvent être visionnées que par les seules personnes dûment habilitées à cet effet, dans le cadre de leurs attributions.

Article rédigé par

Christiane Féral-Schuhl, cofondatrice du cabinet FÉRAL
Christiane Féral-Schuhl est avocate associée du cabinet FÉRAL. Depuis plus de 35 ans, elle exerce dans le secteur du droit du numérique, des données personnelles et de la propriété intellectuelle. Elle est également inscrite sur la liste des médiateurs auprès de différents organismes (OMPI, CMAP, Equanim) ainsi que sur la liste des médiateurs de la Cour d'Appel de Paris et du Barreau du Québec (en matière civile, commerciale et travail). Elle a été nommée seconde vice-présidente du Conseil national de la Médiation (2023-2026).

Elle a publié plusieurs ouvrages et de nombreux articles dans ses domaines d'expertise. Dont, tout récemment, « Adélaïde, lorsque l'intelligence artificielle casse les codes » (1ère BD Dalloz, 16 mai 2024) avec l'illustratrice Tiphaine Mary, également avocate.

Elle a présidé le Conseil National des Barreaux (2018-2020) et le Barreau de Paris (2012- 2013). Elle a également co-présidé avec le député Christian Paul la Commission parlementaire sur le droit et les libertés à l'âge du numérique et a siégé au Haut Conseil à l'égalité entre les femmes et les hommes (2013-2015) et au Conseil Supérieur des tribunaux administratifs et des cours d'appel administratives (CSTA CAA -2015-2017).
Suivez l'auteur sur Linked In, Twitter