Source: https://www.preventica.com/actu-chronique-fichier-donnees-personnelles-gare-pratiques-collaborateurs.php
Timestamp: 2019-06-19 00:46:29+00:00
Document Index: 46246009

Matched Legal Cases: ['in fine', 'art. 226', 'art. 226', 'art. 226', 'art. 226', 'art. 226', 'art. 323']

Fichiers de données personnelles : gare aux pratiques des collaborateurs ! -
securite-information - securite-information - 17/10/2018 - Sébastien MILLET
Qu’est-ce qu’un fichier de données personnelles ?
Un traitement : « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction » ;
Une donnée à caractère personnel : « toute information se rapportant à une personne physique identifiée ou identifiable (…) directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale » ;
Le RGPD et la LIL prévoient d’ailleurs qu’ils s'appliquent à tout traitement de données à caractère personnel totalement ou partiellement automatisé, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans un fichier, sauf lorsqu’il s’agit d’une personne physique agissant dans le cadre d'une activité strictement personnelle ou domestique.
Comme dit l’adage, « l’enfer est pavé de bonnes intentions » … Combien de collaborateurs sont ainsi amenés à constituer de leur propre initiative, souvent en toute bonne foi et croyant « bien faire », des fichiers à partir de données personnelles collectées directement ou indirectement, et à les réutiliser –régulièrement ou occasionnellement– comme outils de travail ?
Lorsque ces données ne sont pas disponibles dans le système d’informations de l’entreprise, ces fichiers peuvent être en outre perçus comme un moyen utile de facilitation dans l’exécution du travail, et d’amélioration de la performance individuelle, d’où une possible « dissémination » dans les différents supports informatiques et/ou papier.
Un cran supplémentaire peut être franchi lorsque les outils et les consignes de travail conduisent le salarié à constituer, à l’insu ou non de sa hiérarchie (et en tout cas sans information des personnes concernées), des fichiers clandestins à caractère illicite en violation des règles sur la protection des données personnelles, telles que listes noires (blacklists), susceptibles de porter atteinte aux droits ou libertés des personnes concernées.
Contrairement à une idée reçue, qui appelle à un travail de sensibilisation, peuvent être regroupées sous la bannière des données sensibles, notamment :
Les données dites « particulières », dont le traitement est en principe interdit (la liste recoupe ici les données à caractère discriminatoire, à savoir ici celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale ; ainsi que les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données concernant la santé ou les données concernant la vie sexuelle ou l'orientation sexuelle de la personne) ;
L’existence de fichiers illicites dans son système d’informations est susceptible de traduire un défaut de surveillance et de contrôle, de nature à engager sa responsabilité au regard du RGPD, en cas de plainte, de contrôle ou de violation de données.
Dans quelle mesure l’employeur peut-il réellement être considéré comme le responsable du traitement illicite, alors que cette qualité incombe légalement à la personne –y compris physique, ce qui peut s’appliquer à des salariés pris isolément ou en groupe- qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ?
Il y a là matière à discussions dès lors qu’il est établi que l’employeur n’a pas participé à la détermination des finalités et moyens ?
Il serait contestable qu’il soit automatiquement responsable du seul fait que le traitement est in fine mis en œuvre dans son intérêt ? D’ailleurs est-ce vraiment bien son intérêt si le traitement est illicite et de nature à engager sa responsabilité ? Toujours est-il qu’il n’appartient pas au salarié d’en décider.
Sur le plan disciplinaire, le non-respect des consignes constitue une faute professionnelle passible d’une sanction pouvant aller jusqu’au licenciement.
La faute lourde, qui permet à l’employeur de mettre en cause la responsabilité civile contractuelle du salarié pour obtenir –s’il est solvable … - la réparation des préjudices subis, sera-t-elle invocable ? Tout dépend des circonstances, mais d’une manière générale, la jurisprudence se montre réticente, en exigeant de l’employeur qu’il prouve l’existence d’une intention du salarié de nuire à l’entreprise, « laquelle implique la volonté du salarié de lui porter préjudice dans la commission du fait fautif et ne résulte pas de la seule commission d'un acte préjudiciable à l'entreprise » (Cass. Soc. 8 février 2017, n° 15-21064). C’est en principe la gravité du manquement qui compte ici, et non celle du préjudice.
Le seul fait que le salarié ait agi de manière illicite en violation des règles de l’entreprise ne suffit donc pas.
Vis-à-vis de la ou des personnes victimes, le salarié agissant en excédant les limites de la mission impartie par son employeur peut voir sa responsabilité civile extracontractuelle engagée (Cass. Ass. Plén. 25 février 2000, n° 97-17378). Dans ce cas, il ne bénéficie plus d’une immunité de responsabilité civile à l’égard des tiers.
Tel est également le cas dans l’hypothèse d’une condamnation pénale pour avoir intentionnellement commis une infraction ayant porté préjudice à un tiers, « fût-ce sur l'ordre du commettant » (Cass. Ass. Plén. 14 décembre 2001, n° 00-82066) : le préposé engage sa responsabilité civile à l'égard de la victime.
Cela reste souvent assez théorique, car la victime aura en général plus intérêt à agir contre l’employeur, a priori plus solvable, sachant qu’il est très difficile à celui-ci de s’exonérer de sa responsabilité en tant que commettant (sauf à apporter la preuve difficile d’un abus de fonctions, entendu comme le fait pour le salarié d’agir hors de ses fonctions, sans autorisations et à des fins étrangères à ses attributions – Cass. Ass. Plén. 19 mai 1988, n° 87-82654).
Enfin et surtout, le risque est d’ordre pénal, compte tenu des diverses infractions prévues en matière de protection des données personnelles.
Ainsi, le Code pénal réprime sévèrement différents agissements –peu important que leur auteur soit responsable du traitement ou non (cf. « le fait de … ») -, tels que notamment : le traitement du numéro de Sécurité sociale hors des cas autorisés (C. Pén., art. 226-16-1) ; la collecte de données personnelles via un moyen frauduleux, déloyal ou illicite (art. 226-18) ; l’enregistrement ou la conservation de « données particulières » ci-dessus (origines, opinions, etc.) sans le consentement exprès (art. 226-19) ; la divulgation de données à un tiers non habilité susceptible de porter atteinte à la considération ou à l’intimité de la vie privée (art. 226-22) ; le transfert de données hors UE en-dehors des cas autorisés (art. 226-22-1).
Dans un registre analogue, d’autres dispositions répriment les atteintes aux traitements automatisés de données (accès frauduleux, détournement ou altération de données, etc. – cf. art. 323-1 s.). A titre d’illustration, dans une affaire récente, un salarié a été poursuivi et condamné pénalement pour avoir installé sur l’ordinateur de ses collègues un dispositif d’espionnage (keylogger – illicite en vertu de l’article 323-3-1) lui permettant d’intercepter à leur insu les codes d’accès et de pouvoir ainsi accéder à leurs échanges de courriels, en violation du secret des correspondances (Cass. Crim. 16 janvier 2018, n° 16–87 168).
La minimisation de la collecte ;