RGPD et salariés en Allemagne : attention aux sanctions
Une société allemande s'est vue infliger une amende de 215 000 euros par la Commission berlinoise pour la protection des données et la liberté d'information (BlnBDI). La raison en était que la société avait documenté sans autorisation des informations sensibles sur l'état de santé de certains salariés ou leur intérêt pour la création d'un comité d'entreprise allemand (Betriebsrat).
Faits
Une supérieure hiérarchique de la société avait, sur instruction de la direction, tenu des listes dans lesquelles des informations sensibles sur les salariés étaient collectées.
Selon l'administration, cela devait permettre de préparer d'éventuels licenciements à la fin de la période d'essai. La poursuite de l'emploi des collaborateurs était notée comme "critique" ou "très critique" dans la liste. Ces évaluations étaient accompagnées d'explications également listées. Les explications plus détaillées comprenaient des informations sensibles telles que l'état de santé physique ou psychique ou l'intérêt pour la création d'un comité d'entreprise allemand (Betriebsrat). Dans de nombreux cas, ces informations ont été révélées par les collaborateurs eux-mêmes. Ils n'étaient toutefois pas au courant du traitement ultérieur défavorable dans la liste.
L'examen du cas par la commissaire à la protection des données de Berlin a révélé que le traitement des données collectées n'était pas légal.
La commissaire berlinoise à la protection des données a souligné que la collecte, le stockage et l'utilisation des données des salariés ne peuvent être effectués que s'ils sont liés à la relation de travail, ce qui n'était pas le cas dans cette affaire.
Outre la sanction de cette infraction structurelle, la BlnBDI a infligé trois amendes supplémentaires d'un montant total de 40 000 euros pour défaut de participation des délégués à la protection des données de l'entreprise lors de l'établissement de la liste, notification tardive d'une violation de données et absence de mention de la liste dans le registre de traitement.
Lors du calcul de l'amende, la BInBDI a pris en compte des facteurs tels que le nombre des salariés concernés, le chiffre d'affaires de l'entreprise et, en particulier, le traitement de données relatives à la santé sans base légale. Toutefois, le fait d'avoir coopéré avec la BlnBDI et d'avoir mis fin à l'infraction de sa propre initiative après l'avoir rendue publique a eu pour effet de réduire le montant de l’amende.
L'avis d'amende est encore susceptible d’un recours.
Conséquences pratiques
Le traitement de données à caractère personnel pour déterminer dans quelle mesure les collaborateurs peuvent encore être employés n'est en principe pas interdit en Allemagne. Ces données doivent toutefois permettre de tirer des conclusions sur les performances ou le comportement qui sont directement liées à la relation de travail. Les employeurs allemands doivent donc d'abord vérifier si un traitement ultérieur est nécessaire et approprié, même pour les informations communiquées par les salariés eux-mêmes.
Pour en savoir plus, voir aussi notre article suivant sur le RGPD et la relation de travail en Allemagne.
22.08.2023
