[Brèves] Données personnelles du salarié : l’employeur peut-il les collecter à son insu si elles sont librement accessibles sur internet ?

► Le fait que les données personnelles d’un candidat à l’embauche ou d’un salarié soient librement accessibles sur internet ou soient rendues publiques par ce dernier, ne permet pas à l’employeur de les collecter et de les utiliser, à son insu, à des fins de profilage et d’enquête sur sa vie privée.

Faits et procédure. Une entreprise procède à des enquêtes sur ses salariés, les candidats à l’embauche, ses clients ou ses prestataires. En effet, le directeur de la sécurité de cette société demande à un enquêteur privé de collecter des informations sur ces derniers, notamment les antécédents judiciaires, les renseignements bancaires, téléphoniques, sur leur véhicule et leurs propriétés, la situation matrimoniale, leur état de santé, leur qualité de locataire ou de propriétaire ainsi que leurs déplacements à l’étranger.

Cette collecte d’informations résulte de la capture et du recoupement d’informations diffusées sur des sites publics tels que sites web, annuaires, forums de discussion, réseaux sociaux, sites de presse régionale.

La cour d’appel estime que ces faits constituent un délit de collecte de données à caractère personnel par un moyen déloyal au motif que ces données ont fait l’objet d’une utilisation sans rapport avec l’objet de leur mise en ligne et ont été recueillies à l’insu des personnes concernées, ainsi privées du droit d’opposition institué par la loi n° 78-17, du 6 janvier 1978 dite « Informatique et libertés » N° Lexbase : L8794AGS.

Le pourvoi, formé contre cette décision, soutient que les données collectées sont des données en open source du fait qu’elles soient rendues publiques par voie de presse ou diffusées publiquement par une personne sur un réseau social, de sorte que le moyen de collecte ne peut donc pas être déloyal.

Solution. Énonçant la solution susvisée, la Chambre criminelle de la Cour de cassation affirme que le fait que les données à caractère personnel collectées ont été pour partie en accès libre sur internet, ne retire rien au caractère déloyal de cette collecte, dès lors qu’une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d'investigation dans leur vie privée, à l'insu de celles-ci, ne pouvait s'effectuer sans qu'elles en soient informées.

Une telle pratique déloyale constitue un délit de collecte de données.

Cette décision apporte des précisions sur la pratique à avoir en matière de recrutement. En effet, les procédés de recrutement impliquent souvent une vérification des antécédents du candidat (parcours universitaires, expériences professionnelles et casier judiciaire). Cette vérification est néanmoins encadrée par le Règlement général de la protection des données N° Lexbase : L0189K8I.

Ainsi, une pratique déloyale dans le traitement des données à caractère personnel dans le cadre du recrutement ou de la gestion du personnel peut engager la responsabilité pénale de l’employeur.

© Reproduction interdite, sauf autorisation écrite préalable