Une entreprise (responsable du traitement) a commencé à enregistrer un employé (personne concernée) à l’aide de son système de surveillance afin de le contrôler, et ce après avoir constaté, sur les images fournies par ce même système, que la personne concernée aurait fait un mauvais usage des machines mises à sa disposition. Elle a activé ainsi une fonctionnalité d’enregistrement audio du collaborateur.

Une des conversations enregistrées entre le collaborateur et un client aurait été considérée par le responsable de traitement comme inappropriée, ce qui a conduit au licenciement de la personne concernée. La conversation avait eu lieu en dehors des heures de travail.

Selon le responsable du traitement, la personne concernée avait été informée qu’un système de surveillance était en place pour le contrôle des performances, et que ce système de surveillance pouvait enregistrer le son. Il y avait également deux bannières indiquant l’existence de ce système. En outre, la personne concernée avait reçu un manuel sur l’utilisation des systèmes de surveillance qui faisait référence à la fonctionnalité d’enregistrement audio.

Selon l’autorité espagnole de protection des données (DPA ; Agencia Española de Protección de Datos) dans une décision PS-00188-2022 du 09.05.2022, la personne concernée n’avait pas reçu suffisamment d’informations sur le traitement (art. 13 RGPD). Le responsable de traitement a allégué que cet enregistrement était mentionné dans le manuel sur l’utilisation des systèmes de surveillance remis à la personne concernée, mais la DPA a noté que le manuel ne mentionnait que la possibilité d’activer cette fonctionnalité.

La DPA a aussi considéré que l’installation et l’utilisation de ce système n’étaient pas proportionnées. Elle fait référence à la jurisprudence de la Cour constitutionnelle espagnole, qui indique qu’en vertu du droit du travail espagnol, la surveillance du lieu de travail doit respecter la dignité des travailleurs et que ceux-ci ont leur propre sphère privée sur le lieu de travail. Par conséquent, les systèmes qui limitent la vie privée des travailleurs doivent être indispensables et strictement nécessaires à l’objectif poursuivi. Une simple utilité ou commodité ne peut être assimilée à une stricte nécessité. La Cour a également mentionné l’effet paralysant que l’enregistrement audio peut avoir sur les travailleurs.

La DPA a lié la condition de proportionnalité au principe de minimisation de l’article 5 par. 2 let. c RGPD et à une disposition de droit interne (89 al. 3 LPPDGDD) selon laquelle l’utilisation de systèmes d’enregistrement audio sur le lieu de travail n’est autorisée que lorsque les risques pour la sécurité des installations, des biens et des personnes sont pertinents et toujours en respectant le principe de proportionnalité, le principe d’intervention minimale et les garanties prévues.

La DPA a conclu que le responsable du traitement n’a pas été en mesure de prouver pourquoi l’enregistrement audio était strictement nécessaire aux fins du contrôle de son employé. Par ailleurs la simple activation de l’enregistrement audio impliquait la collecte et le traitement de la voix de la personne concernée, c’est-à-dire de ses données personnelles. Par conséquent, le responsable du traitement avait traité ces données à caractère personnel sans base légitime, en violation de l’article 6 RGPD.

(Décision originale : https://www.aepd.es/es/documento/ps-00188-2022.pdf; présentation et traduction en anglais : https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS-00188-2022&mtc=today)

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)