Sanction du refus de communiquer des données à un salarié
Une entreprise a été sanctionnée par la Cnil au versement de la somme de 10 000 euros pour n’avoir pas communiqué à un salarié qui le demandait des données à caractère personnel le concernant issues d’un dispositif de géolocalisation (1).
L’employeur indiquait, dans un premier courrier, qu’il n’empêchait pas le salarié d’accéder à ces données, mais qu’il ne délivrerait pas de copie des informations demandées, ces documents ne pouvant quitter l’entreprise. Dans un second temps, la société a reconnu une désorganisation interne, ainsi que son impossibilité de satisfaire la demande du salarié, dans la mesure où aucune trace n’est conservée au-delà de six mois dans le dispositif.
La Cnil retient que « bien que la société ait indiqué avoir pris contact avec la société prestataire de service de géolocalisation afin d’obtenir communication des données concernant la période litigieuse, il n’en est pas moins établi que la société n’avait pas communiqué au plaignant les données demandées au jour de l’audience, soit plus d’un an après la demande initiale de la Commission en ce sens ». Par conséquent, la mise en œuvre du droit d’accès à ses données à caractère personnel par le salarié doit être effective. Il est désormais indispensable pour les entreprises de se mettre en conformité avec les exigences posées par la loi Informatique et libertés.
L’article 39 de la loi Informatique et libertés dispose que « I. Toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir (…)
2° Des informations relatives aux finalités de traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ; (…)
4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent, ainsi que de toute information disponible quant à l’origine de celles-ci (…) ».
Aux termes de l’article L.1222-4 du Code du travail, l’employeur doit informer le salarié préalablement à la mise en œuvre des dispositifs permettant la collecte d’information le concernant individuellement. Cette information peut se faire par l’envoi d’un mél informant le salarié des dispositifs de collecte, de leur finalité, de son droit d’accès et de rectification, de la personne responsable de traitement et du service auprès duquel ces droits s’exercent ou au sein d’un article inséré dans le contrat de travail. La mise en œuvre de ces droits doit être effective, à défaut l’entreprise s’expose à des sanctions pouvant être prononcées par la Cnil ou ne pourra opposer au salarié la preuve issue d’un dispositif n’ayant pas fait l’objet des formalités préalables.