Quand la Cnil se mêle des licenciements : déclarez vos fichiers !
18 octobre 2010.
Tout traitement de données à caractère personnel qui ne respecterait pas à la réglementation applicable aux données à caractère personnel est illicite. Toute donnée provenant d’un tel dispositif ne peut être reçue en justice. Pour rappel, une donnée à caractère personnel est toute information relative à une personne physique identifiée ou qui peut être identifiée directement ou indirectement.
Dans une affaire portée devant la Cour d’appel de Dijon le 14 septembre 2010, un employeur n’a pas respecté la réglementation applicable à l’installation d’un dispositif de géolocalisation de ses salariés. Or, le système de collecte de données dans le cadre de la géolocalisation des salariés est soumis au respect des règles combinées du Code du travail et de la loi Informatique et libertés, soit notamment :
– l’article L1222-4 du Code du travail imposant l’information des salariés préalablement à la collecte des données ;
– l’article 22 de la loi Informatique et libertés imposant la déclaration du dispositif collectant des données à caractère personnel ;
– l’article 6 de la norme 51 de la Cnil qui précise que l’employeur a l’obligation d’informer individuellement chaque salarié concerné dès qu’il envisage d’installer un dispositif de géolocalisation.
Les juges du fond ont alors demandé à l’employeur de produire les éléments justifiant cette déclaration. Mais il n’a pas pu produire :
– la preuve d’une information donnée personnellement au salarié (étant jugé qu’une note de service n’est pas une information suffisante des salariés) ;
– de récépissé de déclaration auprès de la Cnil du traitement relatif à la géolocalisation des salariés.
L’arrêt de la Cour d’appel de Dijon du 14 septembre 2010 a jugé que :
– « les informations relatives à la conduite et à l’utilisation de son véhicule par l’intimé ayant été obtenues par l’employeur par des procédés dont la licéité n’est pas établie, les griefs qui en découlent ne sauraient être considérés comme avérés ».
La sanction est sévère : comme le licenciement repose sur des éléments dont la licéité n’est pas établie, ce licenciement est sans cause réelle et sérieuse.
Ce qui est valable pour les dispositifs de géolocalisation est valable pour tout traitement de données à caractère personnel. Le respect de la loi Informatique et libertés est donc un préalable nécessaire à la mise en place de vos traitements de données à caractère personnel. En l’absence de respect de ces formalités, la collecte des données n’est pas licite, empêchant toute production de ces données comme éléments de preuve. Il ne reste plus qu’à auditer vos fichiers aux fins d’assurer leur complétude à la loi Informatique et libertés !
Nous contacter