Le responsable du traitement, une autorité publique, était l’ancien employeur de la personne concernée. Le responsable du traitement a annoncé sur son intranet que le contrat de la personne concernée était résilié avec effet immédiat. Cet intranet était accessible à 428 personnes. La personne concernée dépose une plainte auprès de l’autorité belge de protection des données (APD ; Autorité de protection des données ou Gegevensbeschermingsautoriteit)

L’APD, dans une décision 14/2023 du 17.02.2023, a noté qu’une distinction devait être faite entre (i) l’annonce de la résiliation du contrat au reste du personnel et (ii) l’explication des raisons de cette résiliation.

Sur la base de l’art. 6 par. 1 let. b RGPD, il était approprié et légitime d’informer les autres employés des changements au sein du personnel.

Toutefois, concernant les raisons de la fin des rapports de travail et leurs modalités, le responsable du traitement avait non seulement annoncé que la personne concernée n’était plus employée, mais avait également précisé que le licenciement avait eu lieu avec « effet immédiat » et à « l’initiative du responsable du traitement ». Ce message comporte un sens implicite, sous-jacent et sensible, à savoir une probable faute grave de l’ancien employé. L’APD estime que ce traitement (communication des motifs et modalités) ne repose pas sur une base légale convaincante (6 par. 1 let. b ou e).

Enfin, l’APD a rappelé que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire aux fins poursuivies (minimisation ; art. 5 par. 1 let. c RGPD). La communication des raisons et des modalités de la fin des rapports de travail ne respecte donc pas le principe de minimisation des données.

(Décision : https://www.gegevensbeschermingsautoriteit.be/publications/bevel-nr.-14-2023.pdf; présentée ici : https://gdprhub.eu/index.php?title=APD/GBA_(Belgium)_-_14/2023&mtc=today)

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)