Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia - 238

DOCTR INE
RGPD
L'employeur peut-il
récupérer les données
effacées par un salarié ?
Comme chaque mois, Alexandre Fievée tente
d'apporter des réponses aux questions que tout
le monde se pose en matière de protection des
données personnelles, en s'appuyant sur les
décisions rendues par les autorités nationales de
contrôle au niveau européen et les juridictions
européennes. Ce mois-ci, il se penche sur la question
soumise à l'autorité belge de protection des
données (l'APD), de savoir si l'employeur est légitime
à récupérer dans un ordinateur professionnel
les données qu'un salarié a supprimées et,
dans l'affirmative, sous quelles conditions.
L
'intérêt légitime est une
des
six
bases
légales
prévues par le RGPD sur
laquelle le responsable du
traitement peut se fonder dans le
cadre de la mise en œuvre d'un
traitement de données personnelles.
Pour recourir à cette base
légale, l'organisme doit démontrer
que : (i) les intérêts qu'il poursuit
avec le traitement peuvent être
reconnus comme légitimes ; (ii) le
traitement envisagé est nécessaire
pour réaliser ces intérêts ; (iii)
il
a opéré une pondération de ces
intérêts par rapport aux intérêts,
libertés et droits fondamentaux
des personnes concernées. La Cnil
souligne, à cet égard, que « l'intérêt
légitime ne peut donc être considéré
comme une base légale «par
défaut» : il requiert (...) un examen
attentif de la part de l'organisme
et le suivi d'une méthodologie
rigoureuse »1
. A titre d'exemple, la
Cnil cite les traitements suivants
comme pouvant reposer sur
cette base légale : ceux visant à
238
garantir la sécurité du réseau et
des informations ; ceux mis en
œuvre à des fins de prévention
de la fraude ; ceux nécessaires aux
opérations de prospection commerciale
auprès de clients ; et ceux portant
sur des clients ou des employés au
sein d'un groupe d'entreprises à
des fins de gestion administrative
interne.
L'affaire2
Dans l'affaire dont l'autorité belge
de protection des données (APD)
a été saisie, la question se posait
de savoir si la récupération par
l'employeur, sur l'ordinateur
portable d'un salarié, des données
effacées par ce dernier pouvait
s'analyser comme un traitement
licite sur le fondement de l'intérêt
légitime. Les faits à l'origine de la
plainte sont les suivants. Licencié,
le plaignant avait procédé, avant
de restituer son ordinateur
professionnel à son employeur,
à l'effacement de ses données.
EXPERTISES JUIN 2022
S'il prétendait qu'il ne s'agissait
que de données d'ordre privé,
l'employeur soutenait le contraire.
Selon ce dernier, le plaignant
avait en réalité effacé l'entièreté
de ses boîtes électroniques tant
privées que professionnelles et
donc notamment les preuves
des manquements qui lui étaient
reprochés (dissimulation d'informations
à la société). Ayant
appris que son employeur allait
procéder à la récupération de
toutes les données, le plaignant
l'a mis en demeure, sans succès,
de suspendre ce traitement. C'est
dans ce contexte que le plaignant
a exercé son droit d'accès afin
notamment d'obtenir une copie
de tous les courriels récupérés.
N'ayant obtenu en réponse à cette
demande qu'une liste des données
traitées et non la copie de celles-ci,
le plaignant a déposé une plainte
à l'APD invoquant notamment le
caractère illicite du traitement, et
ce sur le fondement de l'article 6.1
du RGPD.

Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia