Responsable de traitement et collecte illicite de données sensibles auprès de salariés

La CNIL retient la qualité de responsable de traitement lorsque l’entité détermine concrètement les finalités et les moyens de la collecte, conformément à l’article 4, point 7, du RGPD. Le fait de solliciter un formulaire auprès d’une société mère puis de le diffuser aux salariés suffit à caractériser cette influence.

La collecte doit respecter le principe de minimisation prévu par l’article 5, paragraphe 1, c), du RGPD. Pour contacter un proche en cas d’urgence, seules les informations strictement nécessaires sont admissibles ; la collecte de données concernant plusieurs membres de la famille et de nombreuses informations excède cette finalité.

L’article 9 du RGPD interdit le traitement des catégories particulières de données, sauf exception. Un consentement imposé dans le cadre d’une démarche de mobilité professionnelle ne présente pas les caractères de liberté, de spécificité et d’éclairage requis par l’article 4, point 11. La société n’ayant produit aucun justificatif de consentement valable ni établi une autre dérogation, le manquement est constitué.

L’article 10 du RGPD et l’article 777-3 du code de procédure pénale encadrent strictement les données relatives aux condamnations. L’employeur peut consulter certains extraits dans les limites applicables, mais ne peut les conserver hors des cas prévus par la loi. L’article 31 du RGPD impose enfin une coopération complète et fiable avec l’autorité de contrôle. Des traductions incomplètes et des informations contredites par les constatations de contrôle caractérisent un défaut de coopération. Ces manquements justifient une amende administrative appréciée selon l’article 83 du RGPD et l’article 20, III, de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Une société de transport aérien avait diffusé à ses salariés un formulaire chinois recueillant notamment l’origine ethnique, l’affiliation politique, la situation familiale et des informations judiciaires. La CNIL a retenu une minimisation insuffisante, un traitement illicite de données sensibles, une conservation irrégulière d’extraits de casier judiciaire et un défaut de coopération. Une amende de 200 000 euros a été prononcée.

Une société française de transport de fret aérien appartenant à un groupe international a transmis à ses salariés un formulaire destiné aux candidatures à des postes en Chine. Le formulaire, rédigé en chinois, recueillait notamment l’origine ethnique, l’affiliation politique, la situation familiale, les coordonnées de proches et des informations relatives au casier judiciaire.

La société avait obtenu ce document auprès de sa société mère, puis l’avait diffusé à une vingtaine de salariés par messagerie. La CNIL a contrôlé les traitements et demandé plusieurs documents, dont une traduction complète du formulaire. Les traductions fournies omettaient certains champs sensibles et le formulaire a continué à être diffusé après les premières sollicitations de la CNIL.

La formation restreinte a retenu la responsabilité de la société pour la minimisation insuffisante des données, le traitement illicite de données sensibles, la conservation irrégulière d’extraits de casier judiciaire et le défaut de coopération. Elle a prononcé une amende administrative de 200 000 euros et ordonné la publicité de la décision pendant deux ans sous identité non anonymisée.

• Détermination concrète des finalités du traitement
• Détermination des moyens de collecte et de diffusion
• Adéquation stricte des données à la finalité poursuivie
• Consentement libre, spécifique, éclairé et univoque aux données sensibles
• Existence d’une dérogation applicable à l’article 9 du RGPD
• Respect des conditions légales de consultation et conservation du casier judiciaire
• Transmission complète et fiable des documents demandés par la CNIL

• Formulaire original rédigé en langue chinoise
• Traductions françaises incomplètes produites par la société
• Procès-verbal du contrôle réalisé dans les locaux
• Constat de 89 lignes dans l’original contre 50 traduites
• Messages WeChat démontrant la diffusion du formulaire
• Extraits de bulletins n°3 conservés dans les dossiers salariés

La société est tenue responsable des traitements qu’elle initie, organise ou diffuse, même lorsque le formulaire provient d’une société mère et que les données ne sont pas finalement exploitées. Elle supporte une amende de 200 000 euros et une publicité temporaire de la sanction.

• Exclusion des données familiales non nécessaires
• Interdiction de conditionner une mobilité à des données sensibles
• Suppression des extraits de casier conservés irrégulièrement
• Contrôle systématique des traductions et pièces transmises à la CNIL
• Renforcement de la documentation des consentements et finalités
• Prise en compte de la publicité de la sanction pendant deux ans

À faire

• Identifier précisément les finalités et moyens de chaque traitement
• Limiter les formulaires aux données strictement nécessaires
• Documenter un consentement libre et distinct pour les données sensibles
• Vérifier les règles applicables aux casiers judiciaires
• Transmettre des traductions complètes et contrôlées à la CNIL

À éviter

• Diffuser un formulaire de société mère sans audit préalable
• Rendre obligatoires des champs relatifs à l’origine ou aux opinions
• Collecter plusieurs proches sans justification opérationnelle
• Conserver des bulletins de casier hors cadre légal
• Fournir des informations incomplètes ou contradictoires lors d’un contrôle

La qualification de responsable de traitement

La qualité de responsable de traitement dépend d’une appréciation concrète de l’entité qui détermine les finalités et les moyens, au sens de l’article 4, point 7, du RGPD. La société a défini la finalité en identifiant les salariés intéressés par une mobilité en Chine et les moyens en obtenant puis diffusant le formulaire. Sa diffusion par messagerie, contrairement à certaines déclarations ultérieures, confirmait son rôle déterminant.

Le principe de minimisation des données

L’article 5, paragraphe 1, c), du RGPD exige des données adéquates, pertinentes et limitées à ce qui est nécessaire. Pour contacter un proche en urgence, la collecte pouvait être limitée à son nom, prénom, lien de parenté et numéro de téléphone. La collecte d’informations nombreuses concernant plusieurs membres de la famille excédait cette finalité, même si les données n’avaient finalement pas été exploitées.

Le consentement aux données sensibles dans la relation de travail

L’article 9 du RGPD interdit le traitement des catégories particulières de données sauf exception, notamment le consentement valable prévu à l’article 9, paragraphe 2, a). Celui-ci doit être libre, spécifique, éclairé et univoque selon l’article 4, point 11. La formation restreinte a estimé que le salarié souhaitant candidater en Chine ne disposait pas d’un choix véritable lorsque les champs sensibles étaient obligatoires et qu’aucun justificatif de consentement n’était produit.

Règlement (UE) 2016/679 (RGPD), articles 3, 4, 5, 9, 10, 31, 55 et 83, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 8, 2°, de la loi n° 78-17 du 6 janvier 1978, Article 777-3 du Code de procédure pénale, Article L. 6342-3 du Code des transports, Décret n° 2019-536 du 29 mai 2019