[Brèves] Protection relative du délégué à la protection des données contre le licenciement

► Un délégué à la protection des données n’a pas de protection absolue contre les sanctions disciplinaires ou les licenciements, à raison de manquements aux règles internes à l’entreprise applicables à tous les salariés, sous réserve que ces dernières ne soient pas incompatibles avec l’indépendance fonctionnelle qui lui est garantie par le RGPD.

Telle est la solution retenue par le Conseil d’État dans un arrêt du 21 octobre 2022.

Faits et procédure. Une salariée, exerçant la fonction de délégué à la protection des données, est licenciée. Elle demande l’annulation pour excès de pouvoir de la décision par laquelle la présidente de la CNIL a clôturé sa plainte relative aux conditions dans lesquelles elle a exercé ses fonctions de délégués au sein de cette société et à l’exercice de son droit d’accès à ses données personnelles.

Après avoir examiné l’ensemble des éléments en sa possession, la CNIL considère que l’exigence de protection de l’indépendance fonctionnelle du délégué à la protection des données ne faisait pas obstacle, par principe, à ce que l’employeur puisse reprocher à l’intéressée des carences dans l’exercice de ses fonctions ainsi que le non-respect des règles internes à la société. En outre, il n’était pas allégué que ces règles internes étaient incompatibles avec l’indépendance fonctionnelle du délégué. La CNIL estime, par ailleurs, qu’il n'y a pas lieu d’engager des poursuites à l’encontre de la société à raison d’un manquement à l’article 38, paragraphe 3, deuxième phrase, du règlement n° 2016/679 du 27 avril 2016, dit « RGPD » N° Lexbase : L0189K8I.

La salariée forme alors une requête devant le Conseil d’État.

La solution. Le Conseil d’État rejette la requête formée par la salariée. Il déclare qu'en protégeant le délégué à la protection des données contre toute décision qui mettrait fin à ses fonctions, lui ferait subir un désavantage ou qui constituerait une sanction, lorsqu'une telle décision serait en relation avec l'exercice de ses missions, les dispositions de l’article 38 du RGPD visent essentiellement à préserver l'indépendance fonctionnelle du délégué à la protection des données et, partant, à garantir l'effectivité des dispositions du RGPD.

En revanche, ces dispositions ne font pas obstacle au licenciement d'un délégué qui ne posséderait plus les qualités professionnelles requises pour exercer ses missions ou qui ne s'acquitterait pas de celles-ci, conformément aux dispositions du RGPD. 

Ces dispositions n'ont pas pour objet de régir globalement les relations de travail entre un responsable du traitement ou un sous-traitant et des membres de son personnel, lesquelles ne sont susceptibles d'être affectées que de manière accessoire, dans la mesure strictement nécessaire à la réalisation des objectifs du RGPD.

© Reproduction interdite, sauf autorisation écrite préalable