La situation est tout à fait fréquente en pratique. L’employé utilise son ordinateur professionnel pour stocker aussi (qu’il en ait le droit ou non) des données personnelles. Survient le licenciement. L’employé veut alors pouvoir détruire ses données personnelles, alors que l’employeur ne veut pas lui laisser un accès aux données professionnelles qui y sont encore contenues.

Dans une décision 9965129 \ CV EXPL 22-2279 du 18.07.2022, la Cour de district d’Overijssel (Rechtbank Overijssel – Rb. Overijssel ; Pays-Bas) établit que la personne concernée travaillait pour Eega (responsable du traitement), une société qui guide les personnes handicapées vers l’emploi. Après la fin du contrat de travail, le responsable du traitement a introduit une demande dans le cadre d’une procédure de mesures provisionnelles pour exiger la restitution de l’ordinateur portable. La personne concernée ne s’est pas opposée à la restitution de l’ordinateur portable, mais elle souhaitait d’abord effacer ses données personnelles. Le responsable de traitement a alors opposé que l’ordinateur portable était destiné à des fins professionnelles uniquement (et non au stockage d’informations personnelles) et que son utilisation donnerait à la personne concernée un accès non autorisé à son environnement de travail.

La Cour considère que les deux demandes étaient partiellement justifiées.

La demande du responsable du traitement n’était pas entièrement justifiée, car le responsable du traitement n’a pas contesté que l’ordinateur portable contenait des données à caractère personnel de la personne concernée. Le fait que la personne concernée n’était pas autorisée à placer ces données sur l’ordinateur portable n’était pas pertinent. Il s’agissait toujours de données à caractère personnel au sens de l’art. 4 ch. 1 RGPD.

La demande de la personne concernée n’était pas non plus pleinement justifiée, car lui accorder l’accès à l’ordinateur portable lui donnerait accès à l’environnement de travail numérique du responsable du traitement. Celui-ci contenait des données à caractère personnel dont le responsable du traitement était responsable (autres employés, clients).

La Cour a estimé que la solution devait être trouvée mi-chemin et a proposé que le portable soit amené au responsable du traitement. Une personne autre que la personne concernée ou le responsable du traitement pourrait alors effacer les données à caractère personnel de la personne concernée de l’ordinateur portable. La personne concernée pouvait toutefois être présente pendant ce processus.

(Décision originale : https://uitspraken.rechtspraak.nl/#!/details?id=ECLI:NL:RBOVE:2022:2365&showbutton=true&keyword=AVG; présentée et traduite en anglais : https://gdprhub.eu/index.php?title=Rb._Overijssel_-_9965129_%5C_CV_EXPL_22-2279).

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)