[Brèves] La diffusion en direct par vidéoconférence des cours d’enseignement scolaire public tombe sous le coup du RGPD

► Une réglementation nationale ne peut constituer une « règle plus spécifique », au sens de l’article 88, § 1, du RGPD, dans le cas où elle ne remplit pas les conditions posées au § 2 de cet article. L’application de dispositions nationales prises pour assurer la protection des droits et des libertés des employés en ce qui concerne le traitement de leurs données à caractère personnel dans le cadre de relations de travail doit être écartée lorsque ces dispositions ne respectent pas les conditions et les limites prescrites par cet article 88, § 1 et 2 du RGPD, à moins que lesdites dispositions constituent une base juridique visée à l’article 6, § 3, de ce Règlement qui respecte les exigences prévues par celui-ci.

Faits et procédure. Au cours de l’année 2020, le ministre de l’Éducation et de la Culture du Land de Hesse (Allemagne) a fixé le cadre juridique et organisationnel de l’enseignement scolaire pendant la période de pandémie de Covid-19, aménageant notamment la possibilité pour les élèves qui ne pouvaient être présents en classe d’assister en direct aux cours par vidéoconférence. Le consentement des enseignants concernés à leur participation à ce service n’a pas été prévu.

Se plaignant du fait que la diffusion en direct des cours par vidéoconférence n’était pas subordonnée à la condition du consentement des enseignants concernés, le comité principal du personnel des enseignants a introduit un recours contre le ministre en charge de ces questions. Ce dernier a fait valoir que le traitement des données à caractère personnel que constitue la diffusion en direct des cours par vidéoconférence était couvert par la réglementation nationale, de telle sorte qu’il pouvait être effectué sans que soit demandé le consentement des enseignants concernés.

C’est dans ces conditions que la juridiction administrative saisie a nourri des doutes sur la compatibilité de la réglementation litigieuse avec les conditions posées par l’article 88, § 2, du RGPD  (Règlement n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I). Elle a donc saisi la CJUE à titre préjudiciel.

Décision. Dans un premier temps, la Cour se penche sur la question de savoir si une « règle plus spécifique » au sens de l’article 88, § 1, du RGPD doit remplir les conditions posées par le § 2 de cet article.

Elle considère, d’une part, que ces règles ne sauraient se limiter à réitérer les dispositions du Règlement prévoyant les conditions de licéité du traitement des données à caractère personnel ainsi que les principes de ce traitement ou à renvoyer à ces conditions et principes. Ces règles doivent viser la protection des droits et des libertés des employés en ce qui concerne le traitement de leurs données et comporter des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées.

D’autre part, selon elle, une attention particulière doit être accordée à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises ou d’un groupe d’entreprises engagées dans une activité économique conjointe, ainsi qu’aux systèmes de contrôle sur le lieu de travail. Par conséquent, afin de pouvoir être qualifiée de « règle plus spécifique », au sens de l’article 88, § 1, du RGPD, une règle de droit doit remplir les conditions posées par le § 2 de cet article.

Dans un second temps, la Cour précise les conséquences qu’il convient de tirer d’un constat d’incompatibilité des dispositions nationales en cause avec les conditions et les limites prévues à l’article 88, § 1 et 2, du RGPD.

La Cour relève que ces dispositions nationales, qui subordonnent le traitement des données à caractère personnel des employés à la condition que ce traitement soit nécessaire à certaines fins liées à l’exécution d’une relation de travail, semblent réitérer la condition de licéité générale déjà énoncée par le RGPD, sans ajouter une règle plus spécifique au sens de l’article 88, § 1, de ce Règlement. Dans le cas où la juridiction de renvoi parviendrait au constat que ces dispositions nationales ne respectent pas les conditions et les limites prescrites par l’article 88 du RGPD, il lui appartiendrait, en principe, de les laisser inappliquées.

La Cour relève que sont susceptibles de s’appliquer à un traitement de données à caractère personnel, tel que celui en l’espèce, d’autres dispositions du RGPD (art. 6), en vertu desquelles le traitement de données à caractère personnel est licite lorsque celui-ci est nécessaire, respectivement, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, ou au respect d’une obligation légale à laquelle le responsable du traitement est soumis. À l’égard de ces deux hypothèses de licéité, le RGPD, d’une part, prévoit que le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis et, d’autre part, ajoute que les finalités du traitement sont définies dans cette base juridique ou sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.

Par conséquent, lorsque la juridiction de renvoi parvient au constat que les dispositions nationales relatives au traitement des données à caractère personnel dans le cadre des relations de travail ne respectent pas les conditions et les limites prescrites par l’article 88, § 1 et 2, du RGPD, elle doit encore vérifier si ces dispositions constituent une base juridique pour le traitement, visée par un autre article du RGPD (art. 6, § 3), qui respecte les exigences prévues par ce Règlement. Si tel est le cas, l’application de ces dispositions nationales ne doit pas être écartée.

© Reproduction interdite, sauf autorisation écrite préalable