Données personnelles, CNIL et numérique au travail

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, directement (un nom) ou indirectement (un numéro de client, une adresse IP, une photo). Le droit protège les personnes face au numérique par le RGPD, le règlement européen applicable depuis le 25 mai 2018, par la loi Informatique et libertés et par l'action de la CNIL. Ce chapitre présente ces règles du point de vue de l'entreprise, puis deux questions qui reviennent souvent : l'identité numérique et la surveillance des salariés. Il traite la partie « protection de la personne » de la question juridique du thème 4 : « Dans quelle mesure le droit répond-il aux questions posées par le développement du numérique ? »

Qu'est-ce qu'une donnée personnelle ?

Une information est une donnée personnelle dès qu'elle permet d'identifier une personne physique, seule ou combinée à d'autres. Sont donc des données personnelles : le nom et l'adresse électronique professionnelle d'un salarié, son numéro de téléphone, sa photo, sa voix, une adresse IP, un identifiant de connexion ou de cookie, des données de géolocalisation, l'historique des tickets d'assistance d'un utilisateur. Ne sont pas des données personnelles les informations sur une personne morale (le numéro SIREN de Kerys) et les données réellement anonymisées, dont on ne peut plus retrouver la personne par aucun moyen raisonnable.

Certaines données sont sensibles (article 9 du RGPD) : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques ou biométriques servant à identifier une personne, données de santé, vie et orientation sexuelles. Leur traitement est interdit, sauf exceptions (consentement explicite, obligation du droit du travail, médecine…), et entouré de garanties renforcées.

Les principes du RGPD

Un traitement est toute opération sur des données personnelles : collecte, enregistrement, consultation, modification, transmission, effacement. Le RGPD s'applique à toute organisation qui traite des données de personnes situées dans l'Union, quelle que soit sa taille. Ses grands principes (article 5) :

Un traitement n'est licite que s'il repose sur l'une des six bases légales de l'article 6 : le consentement de la personne, l'exécution d'un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public, ou l'intérêt légitime du responsable (à condition de ne pas méconnaître les droits des personnes). Le consentement n'est donc qu'une base parmi six : la gestion de la paie repose sur le contrat de travail et les obligations légales, pas sur le consentement des salariés.

Responsable de traitement et sous-traitant

Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement : il décide pourquoi et comment les données sont traitées. Le sous-traitant traite les données pour le compte du responsable, sur ses instructions. Pour une ESN, la distinction est essentielle :

• pour la gestion de ses salariés, de ses candidats et de ses prospects, Kerys est responsable de traitement ;
• quand elle héberge Planéo pour une clinique, développe un logiciel qui traite les données des clients d'un commerçant ou assure une TMA avec accès à une base de production, Kerys est sous-traitante de son client.

Le sous-traitant a ses propres obligations (article 28) : un contrat avec le responsable doit fixer l'objet, la durée, la nature des données et les obligations de sécurité ; le sous-traitant ne traite les données que sur instruction documentée, garantit la confidentialité de son personnel, aide le responsable à répondre aux demandes des personnes, ne fait appel à un autre sous-traitant qu'avec son autorisation, et supprime ou restitue les données en fin de contrat.

Les obligations principales

• Informer les personnes au moment de la collecte : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits.
• Respecter leurs droits : accès, rectification, effacement (« droit à l'oubli »), limitation, opposition, portabilité, et le droit de ne pas faire l'objet d'une décision entièrement automatisée qui l'affecte de manière significative. Le responsable répond dans un délai d'un mois, prolongeable de deux mois si la demande est complexe.
• Tenir un registre des activités de traitement.
• Sécuriser les données (article 32) : mesures techniques et organisationnelles adaptées au risque.
• Notifier les violations de données : une violation (fuite, perte, accès non autorisé) qui présente un risque pour les personnes doit être notifiée à la CNIL dans les 72 heures après sa découverte (article 33), et communiquée aux personnes concernées si le risque est élevé (article 34). Le sous-traitant doit avertir le responsable dans les meilleurs délais.
• Réaliser une analyse d'impact (AIPD) avant un traitement susceptible d'engendrer un risque élevé, et désigner un délégué à la protection des données (DPO) dans les cas prévus (organismes publics, suivi régulier et systématique à grande échelle, données sensibles à grande échelle).

Le rôle de la CNIL

La Commission nationale de l'informatique et des libertés, créée par la loi du 6 janvier 1978, est une autorité administrative indépendante. Elle a quatre missions :

1. informer et protéger les personnes : elle reçoit leurs plaintes et les aide à exercer leurs droits ;
2. accompagner les organismes : guides, référentiels, recommandations (sur les cookies, le télétravail, l'intelligence artificielle) ;
3. contrôler : sur place, sur pièces, en ligne, sur plainte ou de sa propre initiative ;
4. sanctionner : mise en demeure, injonction, amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu). Pour les manquements simples, une procédure simplifiée permet depuis 2022 de prononcer des amendes jusqu'à 20 000 €.

Ses sanctions sont publiques ou non selon la décision, et peuvent être contestées devant le Conseil d'État.

L'identité numérique

L'identité numérique est l'ensemble des informations qui permettent d'identifier une personne en ligne : ses identifiants et comptes, ses profils sur les réseaux sociaux, ses publications, mais aussi les traces qu'elle laisse et ce que d'autres publient sur elle. Pour une entreprise, on parle d'e-réputation.

Le droit la protège de plusieurs façons :

• l'usurpation d'identité, y compris numérique, est un délit (article 226-4-1 du Code pénal : 1 an d'emprisonnement et 15 000 € d'amende) : créer un faux profil au nom d'une personne, utiliser ses identifiants pour publier en son nom ;
• le droit à l'effacement et le droit au déréférencement permettent de demander qu'un contenu soit supprimé ou qu'un lien n'apparaisse plus dans les résultats d'un moteur de recherche associés à son nom, quand l'information est inexacte, obsolète ou excessive ;
• l'identité numérique officielle se développe : FranceConnect, l'application France Identité, et le portefeuille européen d'identité numérique prévu par le règlement eIDAS révisé de 2024, qui permettront de prouver son identité en ligne avec un haut niveau de confiance.

Le numérique dans l'activité de travail

L'employeur fournit les outils numériques et peut en contrôler l'usage, mais il ne peut pas surveiller ses salariés sans limites. Quatre règles encadrent tout dispositif de contrôle (journalisation des connexions, filtrage d'Internet, géolocalisation des véhicules, vidéosurveillance, outils de mesure de l'activité) :

1. la proportionnalité : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché (article L1121-1 du Code du travail) ;
2. la transparence : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L1222-4). Une preuve obtenue par un dispositif clandestin est en principe déloyale et peut être écartée par le juge ;
3. la consultation du CSE, dans les entreprises d'au moins 50 salariés, avant la mise en œuvre de moyens ou techniques permettant de contrôler l'activité des salariés (article L2312-38) ;
4. le RGPD : le dispositif est un traitement de données personnelles, qui doit avoir une finalité déterminée, une base légale, une durée de conservation et figurer au registre.

Sur la messagerie et les fichiers, la jurisprudence pose une présomption : les courriels et fichiers créés avec l'outil professionnel sont présumés professionnels, et l'employeur peut les consulter hors de la présence du salarié, sauf s'ils sont identifiés comme personnels (« Personnel », « Privé » dans l'objet ou le nom du dossier). Le salarié a droit, même au travail, au respect de sa vie privée et du secret de ses correspondances.

La CNIL considère comme disproportionnés les dispositifs de surveillance permanente : enregistreurs de frappe (keyloggers), captures d'écran régulières, webcam activée en continu pour vérifier la présence d'un télétravailleur, vidéosurveillance filmant un salarié en permanence à son poste.

La charte informatique fixe les règles d'usage des outils (mots de passe, usage personnel raisonnable, interdictions). Pour être opposable aux salariés et permettre des sanctions, elle doit être annexée au règlement intérieur, dont elle suit la procédure : avis du CSE, transmission à l'inspection du travail, dépôt au greffe du conseil de prud'hommes, affichage (chapitre 12).

Cas Kerys : deux projets à risque

Planéo et les données de santé. Un réseau de cliniques veut utiliser Planéo pour gérer les rendez-vous de ses patients. Les données (identité des patients, motif du rendez-vous, spécialité consultée) sont des données de santé, donc sensibles. Le réseau de cliniques est responsable de traitement ; Kerys, qui héberge et maintient Planéo, est sous-traitante. Conséquences : un contrat conforme à l'article 28 du RGPD ; un chiffrement des données et une journalisation des accès ; une analyse d'impact par la clinique ; et, parce que Kerys héberge des données de santé pour le compte de tiers, un hébergement certifié HDS (hébergeur de données de santé), exigé par le Code de la santé publique. Si Kerys n'est pas certifiée elle-même, elle doit faire héberger Planéo chez un prestataire certifié.

La surveillance des développeurs en télétravail. Inès Garnier envisage d'installer un logiciel qui prend une capture d'écran des postes des télétravailleurs toutes les dix minutes. Le dispositif est disproportionné : il permet une surveillance permanente, sans rapport avec un risque précis, alors que des moyens moins intrusifs existent (suivi des tâches dans l'outil de tickets, points d'équipe). Il serait illicite même si les salariés étaient informés. Kerys peut en revanche suivre l'avancement des projets et journaliser les accès aux serveurs à des fins de sécurité, après information des salariés et consultation de son CSE.

Exercices

Exercice 1 sur 3 Donnée personnelle ou non ? Réussi À revoir

Ces informations sont-elles des données personnelles au sens du RGPD ?

1. L'adresse contact@kerys.fr.
2. L'adresse ines.garnier@kerys.fr.
3. Le nombre total de tickets ouverts par service au mois de mars.
4. L'adresse IP d'un visiteur du site de Kerys enregistrée dans les journaux du serveur.
5. Un tableau de résultats d'un sondage interne où chaque nom a été remplacé par un numéro, la correspondance étant conservée par les RH.

Voir la réponseMasquer la réponse de l'exercice 1

1. Non en principe : c'est une adresse générique de la société, qui ne désigne pas une personne physique.
2. Oui : elle identifie directement une personne physique, même s'il s'agit d'une adresse professionnelle.
3. Non, s'il s'agit d'un agrégat qui ne permet pas de remonter à une personne. Attention aux petits effectifs : si un service ne compte qu'une personne, le chiffre la concerne.
4. Oui : une adresse IP permet d'identifier indirectement l'abonné, avec l'aide du fournisseur d'accès.
5. Oui : les données sont pseudonymisées, pas anonymisées, puisque la table de correspondance permet de retrouver chaque personne.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Une fuite de données Réussi À revoir

Le vendredi à 18 h, un technicien de Kerys découvre qu'une sauvegarde de la base de Planéo, contenant les noms, téléphones et motifs de rendez-vous de 12 000 patients d'une clinique, est accessible publiquement sur un espace de stockage en ligne mal configuré depuis dix jours. Que doivent faire Kerys et la clinique, et dans quels délais ?

Voir la réponseMasquer la réponse de l'exercice 2

• Qualification : c'est une violation de données personnelles (un accès non autorisé possible), portant sur des données de santé, donc sensibles. La clinique est responsable de traitement, Kerys sous-traitante.
• Kerys doit immédiatement faire cesser l'exposition (rendre l'espace privé, révoquer les liens), conserver les traces (journaux d'accès pour savoir si les fichiers ont été téléchargés), et avertir la clinique dans les meilleurs délais, sans attendre lundi, en lui donnant les éléments connus.
• La clinique doit notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD), en complétant la notification au fur et à mesure si nécessaire. Le risque étant élevé (données de santé, exposition de dix jours), elle doit aussi informer les patients concernés (article 34).
• Les deux doivent documenter la violation dans leur registre des violations, même si elle n'avait pas dû être notifiée.
• Selon les faits, la CNIL pourra sanctionner le manquement à l'obligation de sécurité, et la clinique engager la responsabilité contractuelle de Kerys.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Ce contrôle est-il licite ? Réussi À revoir

Kerys, 38 salariés, envisage trois dispositifs. Pour chacun, dis s'il est licite et à quelles conditions.

1. Journaliser les connexions aux serveurs de production (identifiant, date, heure, commandes passées), conservées six mois, pour détecter les intrusions.
2. Lire les courriels de la messagerie professionnelle d'un salarié absent pour retrouver un échange avec un client ; l'un des messages est intitulé « Personnel — résultats médicaux ».
3. Installer une caméra au-dessus du bureau de la comptable, qui filme son écran en permanence.

Voir la réponseMasquer la réponse de l'exercice 3

1. Licite : la finalité (sécurité du système d'information) est légitime, le dispositif est proportionné à un risque réel et la durée de conservation est limitée. Conditions : informer préalablement les salariés (article L1222-4) et inscrire le traitement au registre. Kerys ayant moins de 50 salariés, la consultation du CSE sur ce point n'est pas obligatoire au titre de l'article L2312-38, mais elle reste une bonne pratique.
2. Licite pour les messages professionnels, présumés professionnels puisqu'ils sont dans la messagerie fournie par l'employeur : Kerys peut les consulter pour retrouver l'échange avec le client. Illicite pour le message identifié comme personnel : Kerys ne peut pas l'ouvrir hors de la présence du salarié ou sans l'avoir appelé, au nom du secret des correspondances et du respect de sa vie privée.
3. Illicite : filmer en permanence un salarié à son poste est disproportionné au regard de l'article L1121-1, sauf circonstances particulières (manipulation de fonds en espèces, par exemple), et filmer son écran permet de capter ses correspondances. Même avec une information préalable, le dispositif ne serait pas admis.

Tu avais trouvé ?

Oui, j'avais bonPas encore