Covid-19 : comment protéger la santé de mon personnel sur site en respectant sa vie privée et le RGPD ?
Certains employeurs souhaitent mettre en place des mesures préventives pour enrayer la propagation du Corona virus, mais comment les justifier du point de vue du RGPD ?
Aucun employeur belge n’a pu passer à côté des différents arrêtés ministériels et des mesures de distanciation sociale à mettre en place. Outre les mesures physiques que toutes les sociétés sont amenées à respecter afin de veiller à la sécurité et à la santé des travailleurs, certains employeurs pourraient être tentés d’aller encore plus loin.
La question se pose de savoir s’il est possible d’instaurer un contrôle systématique de la température du travailleur ou de lui faire remplir un questionnaire relatif à sa santé. Tous ces éléments doivent être analysés du point de vue du droit social évidemment mais également sous l’angle de la protection des données.
Si l’employeur doit en effet veiller à la santé du travailleur conformément à la loi du 3 juillet 1978 relative aux contrats de travail et au Code sur le bien-être au travail, il doit également respecter sa vie privée. Ainsi, et dès lors qu’il traite des données dites à caractère personnel, l’employeur doit respecter le Règlement Général sur la Protection des Données (ci-après RGPD).
1. Champ d'application du RGPD
Il convient tout d’abord pour l’employeur de vérifier que la mesure qu’il souhaite mettre en place constitue bien un traitement de données et est donc soumis au RGPD.
L’Autorité de Protection des Données (ci-après l’APD) indique par exemple à ce sujet que la prise de température seule (par caméra thermique ou autre moyen) n’est pas considérée comme un traitement de données à caractère personnel tant qu’elle ne s’accompagne pas d’un enregistrement ou d’un autre traitement de données personnelles.
2. Licéité et fondement légal du traitement de données
Conformément au RGPD, tout traitement doit reposer sur l’une des bases de légitimité reprise à l’article 6 du RGPD afin de pouvoir être considéré comme licite. Les traitements des données prises dans le cadre des mesures sanitaires préventives en cette période de crise ne font pas exception.
Rappelons par ailleurs que la collecte de données relatives à la santé (considérées comme des données dites « sensibles ») est en outre normalement interdite par le RGPD excepté dans certains cas précis listés à l’article 9.2 du Règlement.
En l’occurrence, seules 2 exceptions pourraient couvrir la mise en place de mesures spécifiques traitant des données liées à la santé :
Le traitement se base sur le consentement de la personne concernée
Le traitement est nécessaire à l'exécution d'une obligation en matière du droit du travail
3. Autres principes en matière de protection des données
Outre les principes relatifs à la licéité, l’employeur devra être attentif à respecter l’ensemble des règles imposées par le RGPD.
Par conséquent, l’employeur devra veiller à tenir compte du principe de proportionnalité et du principe de minimisation prévus à l’article 5.1 c) et e) du RGPD. Seules les données strictement nécessaires pour atteindre le but recherché devront être collectées et traitées par l’employeur.
Le principe de transparence (article 5.1 a) du RGPD) devra également être respecté par l’entreprise qui collecte les données de ses travailleurs. Celle-ci est évidemment invitée à informer les employés et les éventuels visiteurs de l’ensemble des traitements réalisés et de la durée de conservation des données.
Enfin, l’employeur devra être attentif aux mesures de sécurité mises en place notamment afin d’assurer l’intégrité et la confidentialité des données traitées.
4. En pratique
En pratique, l’employeur est évidemment invité à discuter avec ses représentants du personnel de la crise actuelle et des éventuelles mesures qu’il met en place.
L’employeur peut toujours interroger ses employés sur d’éventuels voyages dans des zones à risques ou sur d’éventuels symptômes mais ne peut en aucun cas obliger le travailleur à remplir un questionnaire relatif à sa santé. Même en cas de réponse volontaire de la part de l’employé, nous invitons l’employeur à ne pas traiter administrativement ou à enregistrer, à des fins propres, les informations du travailleur relatives à son éventuelle contamination.
L’employeur peut toujours suggérer au travailleur qui présente des symptômes de se rendre chez son médecin ou de mettre en place un système de télétravail, il peut également prendre contact avec le médecin du travail qui décidera ou non de soumettre le travailleur à une évaluation de santé conformément au Code du bien-être au travail.
A nouveau, les données de santé récoltées dans le cadre de cette évaluation ne doivent selon nous pas être conservées par l’employeur dès lors que celui-ci ne dispose pas d’une base légale pour ce faire.
Précisons enfin, que l’employeur n’est pas autorisé à divulguer le nom de l’employé contaminé aux autres membres de son personnel, sous peine de créer une certaine stigmatisation. Rien n’empêche toutefois l’entreprise d’avertir les travailleurs de la présence de cas au sein de la société.
Géraldine Polet – Consultante et DPO (CIPP/E) @ CTI Consulting
Florence Garcet – Avocate @ Henry et Mersch