Le GDPR

L’article 88 du Règlement s’en remet aux États concernant les ajustements de la protection des données dans la relation de travail. Des règles plus précises pour assurer la protection des droits et des libertés peuvent en effet être prévues par les États membres, soit par voie législative ou au moyen de conventions collectives.

Ces règles pourraient être prévues concernant les traitements ayant comme finalité, notamment, le recrutement, l'exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, la gestion, la planification et l'organisation du travail, l'égalité et la diversité sur le lieu de travail, la santé et la sécurité au travail, la protection des biens appartenant à l'employeur ou au client, l'exercice et la jouissance des droits et avantages liés à l'emploi, individuellement ou collectivement, ainsi qu'aux fins de la résiliation de la relation de travail.

Ces règles doivent alors inclure des mesures appropriées pour préserver la dignité humaine, les intérêts légitimes et les droits de la personne concernée, en particulier au regard de la transparence du traitement, le transfert des données dans un groupe d’entreprises et les systèmes de contrôle sur le lieu de travail (§ 2).

Initialement la seconde proposition de Règlement autorisait les États membres à fixer, par voie législative, les conditions dans lesquelles les données à caractère personnel en matière d'emploi peuvent être traitées sur la base du consentement du salarié. Cette disposition a été supprimée, sachant que notamment le G29 conteste que le consentement d’un salarié puisse être considéré comme explicitement et librement exprimé dans le cadre d’un contrat de travail caractérisé par le lien de subordination (avis 15/2011 du 13 juillet 2011 sur la définition du consentement, WP 187, p. 15 ; voir également WP 48 sur le traitement des données à caractère personnel dans le contexte professionnel. Le WP 114 – Document de travail relatif à une interprétation commune des dispositions de l’article 26, paragraphe 1, de la Directive 95/46/CE du 24 octobre 1995, est également pertinent.).

Enfin, chaque État membre doit notifier à la Commission les dispositions de la législation qu'il adopte au plus tard 2 ans après la publication du Règlement, et, sans délai, toute modification ultérieure les affectant (§ 3).

La Directive

La Directive ne prévoyait aucune disposition spécifique en matière de droit du travail.

En France, la loi Informatique et Libertés ne prévoit pas plus de régime général en matière de données personnelles des salariés. De nombreuses dispositions du Code du travail abordent le traitement des données personnelles des salariés, mais pas de régime « général » fixé. Ce sont des dispositions éparses, ponctuelles).

Difficultés probables ?

La difficulté naîtra sans doute ici aussi des divergences de régime entre États membres et du manque d’harmonisation, la moindre sévérité en la matière pouvant nourrir le phénomène de dumping social. Cela étant, un contrôle est prévu via les notifications à la Commission, ce qui devrait permettre d’éviter de trop importantes disparités.

Union Européenne

Groupe 29

Avis sur le traitement des données sur le lieu de travail - 2/2017 (8 juin 2017)

Le présent avis complète l’avis 8/2001 sur le traitement des données à caractère personnel dans le contexte professionnel (WP 48) et le document de travail de 2002 concernant la surveillance des communications électroniques sur le lieu de travail (WP 55) du groupe de travail «Article 29». Depuis la publication de ces documents, un certain nombre de nouvelles technologies permettant de procéder à un traitement plus systématique des données à caractère personnel des employés sur le lieu de travail ont été adoptées, ce qui pose d’importants défis en matière de protection des données et de la vie privée. Dans le présent avis, le groupe de travail procède à une nouvelle évaluation de l’équilibre entre les intérêts légitimes des employeurs et les attentes raisonnables des employés en matière de protection de la vie privée en décrivant les risques que posent les nouvelles technologies et en examinant la proportionnalité d’un certain nombre de scénarios dans lesquels elles pourraient être déployées. Bien que s’intéressant principalement à la directive relative à la protection des données, le groupe de travail se penche sur les obligations supplémentaires imposées aux employeurs par le règlement général sur la protection des données. Il réaffirme également la position et les conclusions exprimées dans l’avis 8/2001 et le document de travail WP 55, à savoir que, lors du traitement des données à caractère personnel des employés:

- les employeurs devraient toujours garder à l’esprit les principes fondamentaux de protection des données, quelle que soit la technologie utilisée;

- le contenu des communications électroniques effectuées à partir de locaux professionnels bénéficie des mêmes protections des droits fondamentaux que les communications analogiques;

- le consentement est très peu susceptible de constituer une base juridique pour le traitement des données sur le lieu de travail, à moins que les employés ne puissent refuser le traitement sans conséquences défavorables;

- l’exécution d’un contrat et des intérêts légitimes peuvent parfois être invoqués, à condition que le traitement soit strictement nécessaire à des fins légitimes et respecte les principes de proportionnalité et de subsidiarité;

- les employés devraient recevoir des informations concrètes au sujet de la surveillance qui est menée; et

 -tout transfert international de données relatives aux employés ne devrait avoir lieu que si un niveau de protection adéquat est garanti.

Lien