Protection des données personnelles : un conseiller du salarié peut-il s'opposer à ce que son nom figure sur un site répertoriant les conseillers du salarié ?

Le nouveau Règlement Européen sur la Protection des Données Personnelles (GRPD) est paru au Journal Officiel de l'Europe et entrera en vigueur au 1er mai 2018. L'objectif de ce texte ne vise pas seulement à renforcer la Loi Informatique et Liberté du 6 janvier 1978. Devant la multiplication des objet connectés, elle vise surtout à restituer aux salariés la propriété de leurs données personnelles. Il s'agit, pour les collecteurs de données personnelles, de mettre en place un véritable process documenté de gouvernance des données personnelles afin notamment de permettre aux usagers (les citoyens) d'exercer leurs droits, en particulier leurs droits de rectification, et nouveauté du texte, d'opposition. Mais est-ce à dire qu'un conseiller du salarié, par exemple, pourrait demander à ce que la mention de son mandat n'apparaisse pas sur un site internet ou un portail d'information sur le droit du travail, type évidemment notre site www.droit-travail-france.fr ?

Qu'est-ce qu'une donnée personnelle au sens de la CNIL ? 

La définition reprise par le GRPD est la même que la définition posée par la Loi Informatique et Liberté : est considérée comme une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable (on parle en effet d'identification directe ou indirecte). Cela concerne tous les interlocuteurs d’une entreprise qu’il s’agisse de ses salariés, clients ou encore partenaires et fournisseurs.

Certaines données personnelles ont un statut particulier : les données sensibles qui sont par principe interdites de traitement sauf exceptions prévues par le règlement. Il s’agit des données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, des données génétiques, biométriques, ou encore celles concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique.

Le mandat de représentation des salariés est donc une donnée sensible, en particulier si le conseiller du salarié est adhérent d'un syndicat, cette mention étant obligatoire.

Peut-on traiter et collecter des informations sensibles ? 

Le principe de traitement des informations à caractère personnelle sensibles est extrêmement clair : par principe, le traitement des données personnelles sensibles est interdit. En effet, l'article 8 de la Loi Informatique et Liberté stipule que "I. Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelles de celles-ci".

C'est clair, net et précis. Mais, à moins de vivre en Utopie, les réalités de la vie sont rarement "claires, nettes et précises". Il y a toujours un mais... Et l'interdiction de collecte et de traitements de données sensibles ne fait pas exception. 

S'il est par principe interdit de collecter et de traiter des données sensibles, il existe de nombreuses situations où il est évidemment légitime de réaliser un tel traitement. C'est le cas par exemple des entreprises menant des recherches dans le domaine de la dermatologie, qui ont besoin de données portant sur les origines raciales ou ethniques de leurs sujets afin de mettre au point leurs formules par exemple. Idem pour les agences de lutte anti-terrorisme ou les agences de mannequin qui ont besoin de sélectionner leurs modèles en fonction des marchés à pénétrer.

Quelles sont les exceptions à l'interdiction de collecte et traitement des données personnelles sensibles ? 

 Là encore, la Loi a été extrêmement claire puisqu'elle définit elle-même, dans son article 8, la dizaine d'exception au principe d'interdiction de collecte et traitement des données sensibles. Ce sont : 

  "1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l’interdiction visée au I ne peut être levée par le consentement de la personne concernée ;

  2° Les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;

  3° Les traitements mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical :

           - pour les seules données mentionnées au I correspondant à l’objet de ladite association ou dudit organisme ;

           - sous réserve qu’ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;

           - et qu’ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n’y consentent expressément ;

  4° Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ;

  5° Les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ;

  6° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de        soins ou de traitements, ou de la gestion de services de santé et mis en œuvre  par un membre d’une profession        de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret                    professionnel prévue par l’article 226-13 du code pénal ;

  7° Les traitements statistiques réalisés par l’Institut national de la statistique et des études économiques ou l’un            des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la                  coordination et le secret en matière de statistiques, après avis du Conseil national de l’information statistique et          dans les conditions prévues à l’article 25 de la présente loi ;

  8° Les traitements nécessaires à la recherche dans le domaine de la santé selon les modalités prévues au chapitre          IX.

III. - Si les données à caractère personnel visées au I sont appelées à faire l’objet à bref délai d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l’informatique et des libertés, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l’article 25. Les dispositions des chapitres IX et X ne sont pas applicables.

IV. - De même, ne sont pas soumis à l’interdiction prévue au I les traitements, automatisés ou non, justifiés par l’intérêt public et autorisés dans les conditions prévues au I de l’article 25 ou au II de l’article 26 ».

Un conseiller du salarié peut-il demander à ce que son nom soit retiré d'un site internet publiant les listes départementales recensant les conseillers du salarié pour un département donné ?

La mise en application de du RGPD à compter du 1er mai 2018 a bien évidemment suscité de nombreuses questions... Force est de constater en effet que les citoyens disposeront d'un droit d'opposition, et que le mandat de conseiller du salarié est une donnée sensible, a fortiori si le conseiller est adhérent d'un syndicat. Par conséquent, on pourrait être tenté, à première analyse, de considérer qu'un conseiller du salarié serait tout-à-fait légitime pour s'opposer à la publication de son nom et de son mandat au sein du site www.droit-travail-france.fr. 

Oui, mais.... En sollicitant sinon en acceptant le mandat de conseiller du salarié, chaque citoyen est informé du fait que son nom, des coordonnées permettant de le joindre et son éventuelle appartenance à un syndicat seront rendus publics et donne par conséquent son acceptation expresse à cette publication. Exception n°1 et 4 au principe d'interdiction. La communication de ces informations est obligatoire de manière à permettre à chaque salarié d'exercer son droit. Exception n°5 au principe d'interdiction de collecte et traitement des données sensibles.

Le conseiller du salarié ayant expressément accepté que son mandat soit rendu public, ce mandat figurant sur une liste en libre disposition (certaines Préfecture ayant même adopté le principe de la publication numérique de la liste départementale sur laquelle figurent les conseillers du salarié) et la publication de ces informations étant la condition sine qua non pour qu'un salarié exerce son droit (ce qui est l'essence même de la mission du mandat de conseiller du salarié)... La réponse est sans ambiguïté : non. Non, un conseiller du salarié ne pourrait pas s'opposer à la publication de son mandat sur un site tel que www.droit-travail-france.fr, ni même solliciter l'exercice de son droit à opposition. Il s'agit d'une information publique et rendue telle pour pouvoir exister. 

La vraie question serait donc... Pourquoi un conseiller du salarié souhaiterait faire opposition à la publication de son mandat sur un site internet destiné à l'information des salariés notamment ?