1. Identifier les opérations de traitement à des fins de surveillance
Identifier un traitement à des fins de surveillance dans le cadre de la relation de travail peut s’avérer bien plus complexe qu’il n’y paraît.
Si l’exemple de la vidéosurveillance ou des écoutes téléphoniques est généralement parlant, certains dispositifs n’attirent pas toujours l’attention des employeurs. De plus, contrairement à l’ancien régime, la loi relative à la protection des données à caractère personnel ne définit plus la notion de surveillance.
Toutefois, l’on peut retenir que le régime de la surveillance sur le lieu de travail est susceptible de s’appliquer dès lors qu’un dispositif électronique ou informatisé permet, entre autres choses et de manière régulière, de collecter, analyser, stocker, transférer… des données telles que des adresses IP, adresses e-mail, coordonnées téléphoniques, identifiants, photos, empreintes, etc., en lien avec un salarié identifié ou identifiable.
2. Identifier la base légale appropriée
Le système de surveillance ne pourra être mis en place que si au moins l’une des 6 conditions limitativement énumérées par l’article 6 du Règlement Général sur la Protection des Données («RGPD»), et auxquelles renvoie le Code du travail, est remplie.
La nécessité d’exécuter le contrat de travail, de se conformer à une obligation légale ou la poursuite d’un intérêt légitime sont les bases légales les plus couramment invoquées par les employeurs.
Cependant, toute base légale invoquée doit correspondre à une situation réelle et vérifiable. L’indication d’une base légale inappropriée expose l’employeur à un risque de sanctions, voire à une amende administrative1. Il est donc vivement conseillé de conduire (et de documenter) une analyse rigoureuse de la ou des bases légales susceptibles de justifier le traitement mis en œuvre à des fins de surveillance sur le lieu de travail.
3. Évaluer l’opportunité d’une analyse d’impact préalable au traitement
Tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des salariés (p. ex. liberté de mouvement ou d’expression, respect de la vie privée, etc.) doit faire l’objet d’une analyse d’impact sur la protection des données.
La Commission Nationale pour la Protection des Données («CNPD») a publié une nécessitant la réalisation d’une telle analyse, parmi lesquels figurent «les opérations de traitement qui consistent en ou qui comprennent un contrôle régulier et systématique des activités des employés – à condition qu’elles puissent produire des effets juridiques à l’égard des employés ou les affecter de manière aussi significative».
Les employeurs seront donc bien avisés d’évaluer l’opportunité de réaliser une analyse d’impact avant de déployer un système de surveillance sur le lieu de travail. Quelle que soit la conclusion de cette évaluation, il conviendra également de la documenter.
4. Informer les salariés et leurs représentants
Le Code du travail impose à l’employeur de communiquer aux salariés et à la délégation du personnel (à défaut, à l’Inspection du Travail et des Mines, « ITM ») :
- une description détaillée de la finalité du traitement des données ;
- une description détaillée des modalités de la mise en œuvre du système de surveillance (dont la durée de conservation des données) ;
- l’engagement formel que les données collectées ne seront pas utilisées pour une finalité autre que celle explicitement spécifiée dans l’information préalable.
Les salariés et la délégation du personnel (s’il en existe une) ont la possibilité d’introduire une demande d’avis préalable de conformité auprès de la CNPD, laquelle dispose d’un délai d’un mois pour y répondre. L’employeur ne sera pas autorisé à débuter le traitement de données (et donc le système de surveillance) avant l’expiration de ce délai.
Finalement, dans les entreprises occupant au moins 150 salariés2 , la mise en œuvre d’un traitement à des fins de surveillance,– sauf si prévu par une obligation légale ou règlementaire – doit faire l’objet d’une décision commune du chef d’entreprise et de la délégation du personnel, lorsque ledit traitement est mis en œuvre :
- pour les besoins de sécurité et de santé des salariés ;
- pour le contrôle de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen de déterminer le salaire exact.
Il en est de même du traitement de données dans le cadre d’un horaire mobile instauré hors convention ou accord collectif (sans condition de seuil).
Il est important de rappeler que, l’employeur reconnu coupable de violation des dispositions du Code du travail en matière de traitement de données s’inscrivant dans le cadre de la surveillance des salariés s’expose à des sanctions pénales et ce, sans préjudice des sanctions administratives que la CNPD pourra lui infliger sur le fondement du RGPD.
1Voir de l’autorité hellénique du 30 juillet 2019
2 Pendant les 12 mois précédant le 1er jour du mois de l’affichage annonçant les élections.