Des employeurs peuvent-ils échanger des informations personnelles sur un ancien travailleur sans son consentement ?

shutterstock_1563194023 (1)

Oui, à suivre l’Autorité de Protection des Données (APD), cela paraît possible mais pas n’importe comment, ni pour n’importe quoi.

De fait, la Chambre contentieuse de l’APD a dû se pencher sur la plainte d’un travailleur qui reprochait à deux anciens employeurs d’avoir échangé, et donc traité, des données le concernant sans l’en avoir informé et sans avoir obtenu son consentement.

Concrètement, dans un litige opposant le travailleur à l’un de ses anciens employeurs, ce dernier avait fait usage, dans un courrier destiné à l’organisation syndicale de ce travailleur, d’informations obtenues auprès de l’employeur qui lui avait succédé : i.e. ce deuxième employeur avait, lui aussi, licencié ce travailleur et l’avait poursuivi en référé pour récupérer des fichiers lui appartenant.

Dans sa décision n° 03/2020 du 21 février 2020, l’APD a considéré qu’elle n’était pas compétente pour se prononcer contre l’ancien employeur qui avait communiqué ces informations car il ne l’avait fait qu’au téléphone. Or, il ne s’agit pas là d’un traitement automatisé de données personnelles, ni d’un traitement manuel de données appelées à figurer dans un fichier au sens de l’article 2 du RGPD. Dès lors, puisqu’aucune information écrite ne fut transmise, et encore moins a fortiori une copie de la décision judiciaire qu’avait obtenue cet employeur à l’encontre du travailleur en question, la Chambre contentieuse de l’APD a estimé qu’elle n’était pas compétente pour juger ces faits à l’encontre de cet employeur.

Elle a, par contre, considéré que la collecte de ces informations et l’usage qui en a été fait par l’autre employeur auprès de l’organisation syndicale de ce travailleur constituent bel et bien des traitements de données à caractère personnel soumis au RGPD et qu’il appartenait à cet employeur de justifier de leur licéité, conformément à l’article 5 (1) (a) du RGPD.

L’APD a donc vérifié si, à défaut de disposer du consentement du travailleur concerné, cet employeur pouvait en ce cas revendiquer le bénéfice de la base juridique des intérêts légitimes visée à l’article 6 (1) (f) du RGPD, aux termes de laquelle le traitement de données est licite « si, et dans la mesure où, il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel (…). »

En l’occurrence, la Chambre contentieuse a considéré que l’employeur présentait effectivement un intérêt légitime, réel et présent en utilisant ces informations dans le cadre de sa défense vis-à-vis des griefs que formulait l’organisation syndicale à son encontre. La « défense en justice » constitue d’ailleurs un droit fondamental consacré à l’article 48 de la Charte des droits fondamentaux de l’Union européenne.

Pour autant, le traitement de données doit être « nécessaire » et « proportionné » à l’exercice de cette défense en justice. Comme l’indique l’APD, « il serait excessif et contraire à ces exigences de nécessité et de proportionnalité d’admettre que tous les précédents employeurs d’un employé puissent, de par cette qualité, échanger toute information relative à un employé, fut-ce pour des besoins de défense en justice. »

Or, en l’espèce, pour pouvoir se défendre vis-à-vis de l’organisation syndicale qui qualifiait le licenciement intervenu de manifestement déraisonnable, l’employeur n’avait pas à collecter et traiter des informations qui étaient étrangères et postérieures aux motifs sur lesquels il s’était appuyé pour procéder au licenciement du travailleur en question. Pour le dire autrement, ces informations, qui n’étaient pas connues au moment du licenciement, sont, certes, venues « compléter » les moyens de défense de l’employeur mais elles ne présentaient pas de lien de pertinence avec les motifs du licenciement pour lesquels l’employeur se défendait vis-à-vis du syndicat. Partant, elles n’étaient pas nécessaires pour sa défense. Ce faisant, l’APD a considéré que l’employeur n’avait pas non plus respecté le principe de loyauté qui est également consacré à l’article 5 (1) (a) du RGPD.

Elle a donc sanctionné cet employeur d’une réprimande, tenant compte de ce que les données en question n’avaient été utilisées qu’à l’égard du syndicat qui représentait le travailleur ainsi que de l’absence d’antécédents en la matière dans le chef de cet employeur.

Incidemment, on relèvera que l’APD rappelle que, même s’ils revêtent une sensibilité certaine, des jugements civils ou des sanctions administratives ne ressortent pas pour autant des données « juridiquement » sensibles visées à l’article 10 du RGPD, i.e. celles liées aux condamnations pénales, aux infractions ou aux mesures de sûreté connexe et pour lesquelles un traitement doit répondre à davantage de critères.

En résumé, un échange entre employeurs d’informations sur un ancien travailleur sans son consentement paraît possible sur base d’intérêts légitimes mais il conviendra de les identifier et de vérifier que, dans ce cadre, cet échange et l’usage qui est fait de ces données sont bel et bien nécessaires et proportionnés.

La décision précitée de l’APD est disponible ici :

https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/Decision_CC_03-2020ANO.pdf