La réception, l'utilisation puis la suppression par un employeur de données relatives à la vie privée d'un salarié, même obtenues via un tiers, constituent un traitement de données à caractère personnel soumis au RGPD et requérant une base juridique valide.

Faits et contexte

L'autorité hellénique de protection des données a publié une décision prononçant un avertissement à l'encontre de la société « AMERICAN COMPUTERS & ENGINEERS HELLAS SOCIÉTÉ ANONYME TECHNIQUE, COMMERCIALE ET INFORMATIQUE » pour des manquements en lien avec la licéité du traitement des données d'une ancienne salariée.

L'affaire trouve son origine dans la plainte d'une ancienne salariée, A, et d'une autre personne, B, concernant l'utilisation par l'employeur d'une capture d'écran de leur conversation privée. Lors d'une présentation à distance via l'application « Any Desk » depuis son ordinateur professionnel, la salariée n'a pas interrompu la connexion, permettant à un client potentiel, Γ, de capturer une conversation privée tenue sur l'application « Messenger » et de l'envoyer par courriel à la direction de la société. La relation de travail a pris fin le lendemain de la réception de ce courriel.

Motifs de la décision

L'autorité a retenu un unique manquement à l'encontre de la société :

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD) : L'autorité a d'abord qualifié d'opérations de traitement la réception du courriel contenant la photographie de la conversation privée, son utilisation pour évaluer le respect des obligations professionnelles de la salariée, puis sa suppression. Elle a écarté l'argument de la société selon lequel ces opérations ne relevaient pas du RGPD. L'autorité a ensuite constaté que la société, en sa qualité de responsable du traitement, n'avait invoqué aucune base juridique valable, au sens de l'article 6 du RGPD, pour justifier ces traitements. De plus, elle a relevé un manque de loyauté et de transparence, la salariée n'ayant pas été informée avant la suppression définitive du courriel la concernant, ce qui a également été considéré comme une composante de la violation du principe de licéité, au regard de l'obligation de responsabilité prévue à l'article 5, paragraphe 2, du RGPD.

Décision de l'autorité

En conséquence, l'autorité a adressé un avertissement à la société « AMERICAN COMPUTERS & ENGINEERS HELLAS SOCIÉTÉ ANONYME TECHNIQUE, COMMERCIALE ET INFORMATIQUE » au titre de l'article 58, paragraphe 2, point b), du RGPD.

Pour déterminer la mesure corrective, l'autorité a tenu compte de plusieurs facteurs, notamment le caractère isolé de l'incident, l'absence de sanction antérieure, l'absence de faute intentionnelle ou de dommage économique démontré, ainsi que la négligence de la salariée qui n'avait pas fermé l'application de partage d'écran.

Enseignements

Cette décision rappelle que :

• La simple réception de données à caractère personnel par un employeur, leur consultation puis leur suppression constituent des opérations de traitement qui doivent reposer sur une base juridique valide, même si ces données ont été obtenues de manière inopinée auprès d'un tiers.
• Un responsable du traitement ne peut se soustraire à ses obligations en niant la qualification de données à caractère personnel ou l'existence d'un traitement, surtout lorsque ces données sont utilisées pour prendre des décisions affectant la personne concernée, comme la rupture d'une relation de travail.
• Le principe de traitement loyal et transparent implique d'informer la personne concernée avant de procéder à la suppression de données la concernant, particulièrement lorsque celles-ci ont été obtenues auprès d'un tiers et pourraient constituer un élément de preuve dans un éventuel litige.