Les responsables de traitement sont TV X (une chaîne de télévision publique) et Z. (un cabinet d’avocats). En septembre 2020, TV X a lancé une enquête sur la « culture malsaine (sexiste) » qui règnerait au sein de la chaîne de télévision. Elle a demandé l’aide du cabinet d’avocats Z, et a demandé aux employés anciens et actuels de signaler d’éventuelles infractions et de partager leurs « expériences » de la culture sexiste qui prévaudrait à TV X. La chaîne de télévision a ensuite reçu deux rapports sur la personne concernée, avec des allégations d’« inconduite sexuelle ». Après avoir enquêté sur l’affaire, TV 2 a décidé que la personne concernée ne pouvait plus animer d’émissions de télévision sur la chaîne.

La personne concernée a fait valoir qu’il n’y avait pas de faits concrets qui justifiaient l’enquête de TV Z En outre, elle a estimé que, puisqu’elle n’avait pas explicitement consenti à un quelconque traitement, TV X et Z avaient traité leurs données personnelles sensibles sans base juridique. Plainte a donc été déposée auprès de l’autorité danoise de protection des données (ADP ; Datatilsynet), laquelle a rendu une décision 2021-31-4751 le 3 février 2022.

L’ADP a notamment cherché à établir la base juridique du traitement (art. 6 et 9 RGPD).

L’APD a d’abord onstaté que TV X et Z ne pouvaient pas se fonder sur l’art. 6 par. 1 let. c) RGPD (traitement nécessaire au respect d’une obligation légale) lorsqu’elles traitaient les données à caractère personnel de la personne concernée, étant donné que les obligations légales prévues par la loi danoise sur la santé, la sécurité et la discrimination ne sont pas suffisamment claires et précises pour servir de base au traitement. Toutefoisl’APD a déclaré que le responsable du traitement pouvait se fonder sur l’art. 6 par. 1 let. f RGPD (intérêts légitimes du responsable de traitement ou de tiers), car l’objectif de l’enquête, à savoir « mettre fin à une culture malsaine », était légitime, et cet objectif primait sur les intérêts de la personne concernée.

L’APD a aussi noté que les responsables du traitement ne pouvaient pas invoquer l’exception prévue à l’art. 9 par. 2 let. b RGPD (traitement nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable de traitement ou à la personne concernée en matière de droit du travail) à l’interdiction de traitement de données sensibles. Là encore, c’est parce que les obligations légales prévues par la loi nationale sur la santé, la sécurité et la discrimination n’étaient pas suffisamment claires et précises. En outre, bien que la finalité du traitement soit légitime, l’APD  a estimé que les responsables du traitement ne pouvaient pas non plus invoquer l’art. 9 par. 1 let. f RGPD (traitement nécessaire à la constatation, à l’exercice ou à la défense

L’APD a considéré que, parce que la collecte de données personnelles sensibles n’était pas suffisamment restreinte et concernait également des personnes qui ne travaillaient plus à la chaîne, le traitement de données sensibles sur ces personnes n’était pas nécessaire dans la poursuite du but poursuivi (art. 5 al. 1 let. c (minimisation) et  6 par. 1 let f RGPD).

Par conséquent, l’APD a conclu que TV X et Z  avaient traité les données personnelles sensibles sans base légale.

Enfin, l’APD  a considéré que TV X et Z n’avaient pas informé la personne concernée du traitement dans le cadre de l’enquête, conformément aux 12 et 14 RGPD, car les informations n’ont pas été fournies dans un langage clair et simple. Il n’était pas clair, entre autres, quel était l’objectif précis de l’enquête et, par conséquent, il n’était pas clair non plus quelles conséquences possibles l’enquête aurait pu avoir.

(Décision traduite et présentée ici : https://gdprhub.eu/index.php?title=Datatilsynet_(Denmark)_-_2021-31-4751; décision originale : https://www.datatilsynet.dk/afgoerelser/afgoerelser/2022/feb/alvorlig-kritik-af-tv-2-og-norrbom-vinding)

[NB : en droit suisse, je prête une importance particulière aux développements relatifs à l’information de la personne concernée dans le cadre de l’enquête interne, information qui est presque systématiquement défectueuse ou lacunaire, mais qui peut entraîner que ses résultats pourraient être déclarés irrecevables en procédure (art. 152 CPC), particulièrement au regard des principes découlant de l’art. 8 CEDH applicables aux mesures de surveillance des employés (singulièrement sur l’information et les conséquences) et que l’on devrait pouvoir appliquer à l’enquête interne [Cf. CourEDH, Florindo De Almeida Vasconcelos Gramaxo c. Portugal, arrêt du 13 décembre 2022 (GPS) ; CourEDH, Lopez Ribalda et autres c. Espagne, arrêt (Gramde Chambre) du 17 octobre 2019 (vidéosurveillance des employés) ; CourEDH, Barbulescu c. Roumanie, arrêt (Grande Chambre) du 5 septembre 2017 (surveillance des emails)]

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)