blog
La durée de conservation des données personnelles des salaries
Véritable casse-tête pour les entreprises
La Commission Nationale de l’Informatique et des Libertés (CNIL), pour assurer le respect du principe de « minimisation » des données à caractère personnel, s’attache à limiter autant que faire se peut leur durée de conservation. Elle n’hésite pas à sanctionner lourdement les entreprises qui omettent de prévoir une durée précise de conservation de ces données, qui prévoient une durée jugée excessive ou encore qui dépassent la durée prévue dans leur politique interne.
On comprend le souci de la CNIL d’éviter que des données qui ne sont plus utiles à la finalité poursuivie par l’entreprise (gérer des clients, des salariés, des fournisseurs etc. par exemple) soient conservées ad vitam eternam, au risque d’être révélées notamment en cas de cyberattaques alors qu’elles auraient dû être retirées des fichiers. On comprend moins la CNIL lorsqu’elle prône l’effacement à bref délai de données qui pourraient être utiles.
Prenons l’exemple des fichiers de personnel.
En dehors de toute législation, la CNIL préconise de supprimer les CV des candidats à un poste qui n’ont pas été retenus, soit immédiatement, soit dans les deux ans si le candidat est informé. Or une entreprise peut ne pas retenir un candidat et s’apercevoir deux ou trois ans après que celui qu’elle a embauché ne donne pas satisfaction ou c’est le salarié qui peut après deux ou trois ans quitter volontairement l’entreprise. Dans ce cas, il y a tout intérêt pour l’ancien candidat de deuxième ou troisième choix à permettre à l’entreprise de le recontacter pour pourvoir le poste, sans rouvrir la procédure de sélection si elle l’estime inutile.
Autre exemple : la CNIL recommande sur son site de supprimer les données de géolocalisation des employés dont les activités les amènent notamment à faire des tournées, dans un délai de deux mois porté à un an lorsqu’il n’est pas possible de rapporter la preuve des interventions effectuées « par un autre moyen ». Pourquoi deux mois, délai extrêmement bref ? Et pourquoi un tel renversement de la charge de la preuve sur l’entreprise, alors que logiquement ce devrait être à l’autorité qui impose une règle non prévue par la loi, d’en prouver la nécessité ?
Last but not least : que ce soit la CNIL ou la règlementation issue du code du travail, il n’est pas toujours tenu compte des impératifs de conservation des données liés aux prescriptions longues. On peut citer la prescription de : (1) 10 ans en matière criminelle, sans parler des délits continus dont les délais de prescription commencent à courir à compter de la découverte de l’infraction, ce qui est le cas de beaucoup de délits d’affaires ou financiers qui peuvent être découverts longtemps après le départ du salarié ; (ii) 10 ans à compter de la demande d’indemnisation du préjudice d’anxiété des victimes de l’exposition à l’amiante. Il y a aussi des maladies à incubation longue qui n’affectent la personne qu’à très long terme et à ce moment-là, il peut être nécessaire, pour prouver la faute de l’employeur, l’exonérer ou la minimiser, d’avoir accès à des données relatives à un ancien salarié tombé malade.
Ces exemples illustrent la difficulté de fixer des règles de conservation, c’est-à-dire d’effacement des données, qui ne se retournent pas contre les salariés ou ceux qui les ont employés. Sauf si la législation est impérative (et si elle est inadaptée, il faut la changer), il serait plus efficient de laisser les entreprises, après concertation avec les représentants du personnel, fixer des délais de conservation dûment justifiés dans leur charte informatique et leur registre des activités de traitement, et de permettre d’y déroger en cas de circonstances particulières. Ainsi serait concilier la protection de la vie privée et la protection des autres droits.
Noëlle Lenoir Avocats
28 boulevard Raspail
75007 PARIS
+33 1 45 44 67 16
contact@noellelenoir-avocats.com
Noêlle Lenoir Avocats ©2020 All rights reserved