Parce que le droit au respect de l’intimité de la vie privée est une liberté fondamentale garantie par l’article 8 de la Convention européenne des droits de l’homme, le salarié la conserve sur ses temps et lieux de travail (Art. L. 1121-1 C. trav.). À ce titre, la Commission nationale de l’informatique et des libertés (Cnil) joue un rôle crucial.
Dans le contexte professionnel, les données personnelles des salariés sont omniprésentes : lors du recrutement par les CV, les lettres de motivation, lors de l’embauche au cours de laquelle le salarié fournit ses coordonnées bancaires et son numéro de Sécurité sociale, mais aussi durant tout le déroulé de sa collaboration à travers les avenants au contrat, congés, arrêts maladie, déclarations sociales et fiscales, bulletins de paie, ainsi que toutes les données informatiques (e-mails, comptes sur les réseaux sociaux, etc.)… C’est simple, les données personnelles sont partout.
EXEMPLE
Le terme de « données personnelles » ou « données à caractère personnel » est utilisé pour désigner « toute information se rapportant à une personne physique identifiée ou identifiable » (Art. 4 du Règlement général sur la protection des données.). Cela inclut, par exemple, le nom, les coordonnées (adresse, numéro de téléphone) ou tout autre détail spécifique à cette personne. Autrement dit : toute information concernant une personne et pouvant être utilisée pour l’identifier est une donnée à caractère personnel.
Qu’est-ce que la Cnil ?
La Commission nationale de l’informatique et des libertés, plus connue sous l’acronyme « Cnil » a été créée par la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dite « loi Informatique et Libertés » (La loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.).
La Cnil est une autorité administrative indépendante (AAI). Cela signifie qu’elle n’est pas soumise à l’autorité hiérarchique d’un ministre : elle ne peut pas recevoir d’instruction de la part de l’État. En ce sens, elle dispose de différents pouvoirs (recommandation, décision, réglementation, sanction) que l’État lui a délégués.
Quel est son rôle ?
La Cnil est un organisme de régulation. Ce type de structure est chargé de superviser, surveiller et mettre en œuvre des règles dans un secteur spécifique et de protéger les droits des individus et/ou l’intérêt public dans un domaine précis. Dans le cas de la Cnil, il s’agit de celui de la protection des données personnelles. Ainsi, elle veille au respect de l’application de la loi qui l’a créée (la loi Informatique et Libertés de 1978), et au respect des droits des personnes.
Elle se donne pour mission d’« accompagner les professionnels dans leur mise en conformité, [d’] aider les particuliers à maîtriser leurs données personnelles et exercer leurs droits, [d’] analyser l’impact des innovations technologiques et des usages émergents sur la vie privée et les libertés [et de] travailler en étroite collaboration avec ses homologues européens et internationaux pour élaborer une régulation harmonisée » (Site internet de la Cnil).
Concrètement, elle protège, en France, la vie privée dans le contexte numérique en régulant la collecte, le traitement et la conservation des données personnelles, tout en permettant aux citoyens de garder un contrôle sur les informations les concernant.
À ce titre, la Cnil effectue différentes missions :
- Informer et conseiller. Elle informe les particuliers et les professionnels de leurs droits et obligations. Elle peut aussi répondre à leurs demandes. En outre, régulièrement, la commission intervient pour animer des actions de formation et de sensibilisation, notamment concernant l’éducation au numérique. Elle propose aussi au gouvernement des mesures qui seraient nécessaires pour adapter la législation et la règlementation relative à la protection des libertés aux évolutions technologiques.
À travers cette mission d’information, la Cnil souhaite promouvoir l’utilisation des technologies protectrices de la vie privée, notamment les technologies de chiffrement des données.
EXEMPLE
Droit d’accès : Les salariés ont le droit de demander et d’obtenir des informations sur les données personnelles les concernant.
Droit de rectification : Les salariés ont la possibilité de corriger des données inexactes ou incomplètes les concernant.
Droit d’opposition : Les salariés ont la faculté de s’opposer à certains traitements de données, notamment dans des situations de collecte abusive.
- Rendre des avis, des recommandations, des autorisations, des certifications. La Cnil est également compétente pour rendre des avis sur les traitements publics. Elle est aussi consultée avant la transmission de projets de lois ou de décrets impliquant un traitement automatisé de données nominatives. Pour les traitements de données les plus sensibles, dites à « risques », une autorisation est même requise de la part de la Cnil.
L’organisme a également pour mission de certifier la conformité des processus d’anonymisation des données personnelles dans la perspective de leur mise en ligne et de leur réutilisation.
- Garantir le droit d’accès. La Cnil s’assure que toute personne bénéficie de son droit d’accès et que rien n’entrave son libre exercice.
- Contrôler. Afin de vérifier la conformité des traitements des données personnelles par rapport au règlement général sur la protection des données (RGPD) et de s’assurer du respect de la loi Informatique et Libertés, la Cnil est également investie d’une mission de contrôle.
Pour cela, elle dispose de pouvoirs de vérification et d’investigation lui permettant de bénéficier d’une meilleure connaissance des fichiers et d’une appréciation plus précise des conséquences du recours à l’informatique dans certains secteurs. Ces pouvoirs lui permettent aussi, par la suite, d’assurer un suivi de ses délibérations.
Le contrôle de la Cnil peut revêtir la forme d’une inspection sur place, sur pièces, en ligne ou d’une audition.
Contrôle sur place. Un délégué de la Cnil investigue dans les locaux de l’organisme ou de l’entreprise visé par l’opération. À ce titre, il peut accéder aux locaux professionnels, demander communication d’une copie de tout document nécessaire, recueillir tout renseignement utile, accéder aux programmes informatiques et aux données ou entendre toute personne susceptible de fournir des renseignements utiles à la vérification.
Contrôle sur pièces. La Cnil transmet à l’entreprise contrôlée un formulaire auquel celle-ci doit répondre, tout en fournissant la documentation de l’entreprise sur le sujet (registre de traitement des données personnelles, registre des sous-traitants, contrats des sous-traitants, etc.).
Contrôle en ligne. Les agents de la Cnil effectuent des vérifications directement en ligne. Elle peut, par exemple, inspecter quelles données sont librement accessibles ou rendues accessibles en ligne directement, y compris par imprudence, négligence ou du fait d’un tiers.
L’audition. Le responsable de traitement visé par le contrôle peut être interrogé dans les locaux de la Cnil pour répondre à différentes questions.
à savoir
Lexique
Traitement des données. Le traitement des données est une opération portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement, conservation, modification, consultation, utilisation, communication, etc.).
Ce traitement doit avoir un objectif et une finalité déterminés préalablement au recueil des données et à leur exploitation.
À titre d’exemple, une campagne d’e-mails promotionnels, la conservation d’enregistrements de vidéosurveillance ou la publication de la photo de quelqu’un sur Internet constituent du traitement de données.
Responsable de traitement. Le responsable de traitement est la personne (morale ou physique) chargée de déterminer les finalités et les moyens d’un traitement (c’est-à-dire l’objectif qu’il poursuit et la façon dont il est réalisé).
Chiffrement des données. Le chiffrement désigne la conversion des données depuis un format lisible dans un format codé. Les données chiffrées ne peuvent ensuite être lues ou traitées qu’après avoir été décodées. C’est un élément essentiel de la sécurité des données qui permet de s’assurer que celles-ci ne pourront pas être lues ou utilisées par des personnes malveillantes.
- Sanctionner. À l’issue de ses contrôles, la Cnil peut, en cas de manquements constatés, prononcer diverses sanctions qui sont proportionnelles à la gravité du manquement.
La présidente de la Cnil – actuellement Marie-Laure Denis, dont le mandat a été renouvelé par décret du président de la République du 30 janvier 2024 pour une durée de cinq ans (Décret du 30 janvier 2024 portant nomination de la présidente de la Commission nationale de l’informatique et des libertés : Mme Denis (Marie-Laure).) – peut décider de mises en demeure. En cas d’atteinte grave aux droits et libertés, elle peut demander, par référé à la juridiction compétente, d’ordonner toute mesure de sécurité nécessaire.
Elle peut aussi, au nom de la commission, dénoncer au procureur de la République les violations de la loi.
La formation restreinte de la Cnil (composée de cinq membres et d’un président autre que la présidente de la Cnil) peut prononcer une injonction à cesser un traitement de données, un retrait de l’autorisation accordée par la Cnil ou une sanction pécuniaire (sauf pour les traitements de l’État).
Les sanctions prononcées par la Cnil peuvent – si la formation restreinte ordonne l’insertion de sa décision dans la presse ou que les organismes ou entreprises sanctionnés en informent (individuellement et à leurs frais) les personnes concernées – être rendues publiques. Ceci peut avoir l’effet d’une double sanction au regard de la réputation de l’entreprise condamnée.
Qu’est-ce que le RGPD ?
Étroitement lié à la Cnil, le RGPD, pour règlement général sur la protection des données (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016), s’applique depuis le 25 mai 2018. Il a été intégré à la nouvelle rédaction de la loi Informatique et Libertés en vigueur depuis le 1er juin 2019 (Loi Informatique et Libertés). C’est un règlement européen visant à renforcer les droits des personnes et à leur donner plus de contrôle sur leurs données personnelles.
Le RGPD simplifie les formalités pour les professionnels traitant des données personnelles (les administrations, les entreprises, mais aussi les associations, syndicats et CSE). Depuis, les traitements de données doivent se conformer au RGPD, mais il n’y a plus de déclaration à faire auprès de la Cnil.
Le traitement doit s’assurer que les données personnelles sont :
- traitées de manière licite, loyale et transparente au regard de la personne concernée ;
- collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ;
- adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- exactes et, si nécessaire, tenues à jour ;
- conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- traitées de façon à garantir la sécurité et la confidentialité des données.
Le traitement doit aussi garantir aux personnes le droit d’accès à leurs données, le droit à la portabilité, le droit au déréférencement, le droit de rectification et celui d’opposition.
Pourquoi saisir la Cnil ? Qui peut le faire ?
Toute personne physique, y compris, donc, un salarié, a le droit de saisir la Cnil. Cela signifie que tout individu concerné par un traitement de données personnelles peut déposer une plainte ou une demande auprès de celle-ci lorsqu’il constate une violation de la loi et de la règlementation relatives à la protection des données personnelles.
Plus concrètement, il existe différentes situations dans lesquels un salarié peut saisir la Cnil :
- Violation des droits individuels. Dans le cas où il estime que ses droits de rectification, d’opposition ou d’autres droits liés à la protection des données ont été violés.
EXEMPLE
Dans le cas où un salarié serait confronté – malgré plusieurs demandes écrites – au refus de son employeur de corriger des informations erronées dans son dossier personnel.
- Collecte abusive de données. Lorsque la collecte ou le traitement des données personnelles des salariés a été effectuée de manière inappropriée, excessive ou sans leur consentement. Par exemple, si un employeur consulte l’historique de navigation d’un salarié sans l’en avertir ou s’il consulte des e-mails ayant pour objet « Personnel », « Privé » ou « Confidentiel ».
Attention sur ce point. Un employeur ne peut pas prendre connaissance des e-mails personnels d’un salarié, mais les e-mails et fichiers envoyés et reçus par le salarié depuis et sur son ordinateur professionnel sont présumés avoir un caractère professionnel (et peuvent donc être consultés par l’employeur) à moins de comporter la mention « Personnel », « Confidentiel » ou autre synonyme, comme « Privé » (Cass. soc. 18 oct. 2006, n° 04-48.025.).
- Sécurité des données compromise. En cas, par exemple, de fuite de données ou de compromission de la sécurité mettant en danger la confidentialité des informations personnelles des salariés.
- Refus injustifié d’accès aux données. Toute personne étant détentrice d’un « droit d’accès à ses données » peut demander à un organisme ou à une entreprise la communication d’une copie de toutes les données détenues sur elle. Ainsi, un salarié peut demander à son employeur de lui communiquer les données personnelles qu’il a en sa possession. Si le salarié se voit refuser cet accès par l’employeur sans justification valable, il pourra saisir la Cnil pour ce motif.
- Non-respect des obligations légales. Lorsque l’entreprise ne respecte pas les obligations légales en matière de protection des données. Ce peut être le cas, par exemple, d’un employeur qui installerait des caméras de surveillance dans les bureaux sans en avertir les salariés.
Comment saisir la Cnil ?
Il faut tout d’abord noter que la Cnil accepte les saisines sous différentes formes. Les termes « plaintes » et « réclamations » peuvent ainsi être utilisés de manière interchangeable dans ce contexte. Mais quelque soit le terme utilisé, l’idée est toujours de signaler à la Cnil une situation à travers laquelle les droits en matière de protection des données personnelles ont été violés.
La procédure de saisine de la Cnil peut varier légèrement en fonction de la nature de la plainte ou de la situation, mais elle suit généralement des étapes similaires qui sont détaillées sur le site de la Cnil :
- Préparer sa plainte. La plainte doit être rédigée en français et indiquer l’organisme visé, ainsi que l’identité et la qualité (salarié, administré, adhérent de l’organisme, etc.) du requérant. Si ce dernier intervient pour quelqu’un d’autre, il faut joindre à la plainte un mandat écrit. Enfin, la plainte doit comporter toutes les informations utiles sur la situation contestée, ainsi qu’une copie des pièces indispensables à sa compréhension (échanges de courriers avec l’organisme ou entreprise concerné, adresse URL de la page du site web diffusant des données concernant le requérant, etc.).
- Adresser la plainte à la Cnil. La Cnil met en place un service de plainte en ligne (Directement sur son site internet), lequel permet d’accéder à des formulaires propres à chaque situation (par exemple, pour faire valoir son droit d’accès auprès de son employeur). L’évolution du traitement de la plainte peut ensuite être suivie en ligne. Sinon, il est possible d’adresser sa plainte par courrier postal à l’adresse suivante :
Commission nationale de l’informatique et des libertés
Service des plaintes
3, place de Fontenoy
TSA80715 75334
Paris Cedex 07
notre conseil
Avant de saisir la Cnil dans le cadre d’une plainte pour violation de vos droits relatifs à vos données personnelles, nous vous conseillons dans un premier temps de rassembler le maximum de preuves pertinentes documentant la violation présumée de la protection des données.
Consulter le site de la Cnil peut également être utile afin d’accéder aux ressources et formulaires nécessaires. Des guides y sont souvent proposés pour aider au dépôt d’une plainte en ligne.
Actualité importante
Le 27 décembre 2023, une importante décision de la Cnil a été rendue à l’encontre d’Amazon France Logistique, qui a été condamnée à une amende de 32 millions d’euros. L’entreprise américaine a été reconnue coupable d’avoir mis en place un système de surveillance illicite de ses salariés au regard du RGPD (Cnil, délibération no SAN-2023-021, 27 déc. 2023.).
à savoir
Important : la protection du lanceur d’alerte
Le statut de lanceur d’alerte n’est pas automatiquement attribué lorsqu’une personne saisit la Cnil. Cependant, dans certaines circonstances, un salarié ayant saisi la Cnil peut se voir reconnaître le statut de lanceur d’alerte et ainsi bénéficier de la protection qui l’accompagne (Mis en œuvre notamment par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte.).
Pour cela, il faut :
- que la raison pour laquelle la Cnil est saisie concerne des activités illégales, des abus, ou des violations graves qui ont un impact sur l’intérêt public ;
- que la personne qui saisit la Cnil agisse de bonne foi ;
- qu’il existe un risque sérieux pour l’intérêt public, la santé publique ou l’environnement associé aux violations signalées ;
- que le salarié lanceur d’alerte ait, dans la mesure du possible, épuisé les canaux internes de signalement au sein de son entreprise avant de faire une divulgation externe auprès de la Cnil.
