Les hôtesses de l’air travaillant pour Icelandair étaient tenues de s’évaluer mutuellement sur leur lieu de travail. L’autorité islandaise de protection des données (APD ; Persónuvernd) a ouvert une enquête pour déterminer la conformité de cette évaluation des employés par les employés avec le RGPD.

Icelandair a expliqué qu’elle utilisait une application appelée Crew App qui permettait d’évaluer les performances des autres employés. Le fonctionnement était le suivant : 45 minutes après l’atterrissage, l’application annonce que l’évaluation des performances est ouverte. Les hôtesses et stewards peuvent alors soumettre leur évaluation pendant 48 heures. Cette évaluation comprend une note de 1 à 5 avec une justification écrite et des zones de texte où il est possible d’entrer du texte. Les employés ne peuvent consulter leur propre évaluation moyenne dans le programme que s’ils ont participé à l’évaluation des performances d’autres personnes.

L’entreprise a expliqué que l’objectif de l’évaluation était de faire prendre conscience aux employés de leurs performances. Elle a également fait valoir que la convention collective entre Icelandair et le syndicat stipulait, entre autres, que les performances devaient être prises en compte lors de l’attribution de promotions et de postes de direction. Par conséquent, en ce qui concerne la base juridique, Icelandair a déclaré (1) avoir un intérêt légitime dans l’évaluation des performances et (2) qu’il est nécessaire d’exécuter une obligation contractuelle découlant de la convention collective. Enfin, la compagnie a déclaré que le traitement répondait aux exigences de transparence : le personnel a reçu une information détaillée à l’utilisation de l’application et a pu demander l’accès à ses données en vertu de l’art. 15 RGPD.

L’entreprise a également estimé qu’elle n’était pas tenue de réaliser une analyse d’impact au titre de l’art. 35 RGPD en raison de la nature du traitement. Elle a estimé que le traitement ne pouvait être considéré comme étant un traitement systématique ou à grande échelle de catégories particulières de données à caractère personnel étant donné que les données n’étaient fournies que sur une base volontaire.

En ce qui concerne la base juridique, l’APD, dans une décision 2022050940 du 28.03.2023 (décision originale : https://www.personuvernd.is/urlausnir/vinnsla-icelandair-ehf.-a-personuupplysingum; présentée et commentée ici : https://gdprhub.eu/index.php?title=Pers%C3%B3nuvernd_(Iceland)_-_2022050940&mtc=today) a estimé qu’en vertu du droit national, la convention collective conclue entre la compagnie et le syndicat ne pouvait être considérée comme un contrat, mais se rapprochait davantage d’une obligation légale. L’obligation contractuelle n’était donc pas une base juridique valable. L’APD a donc évalué si le traitement était nécessaire pour remplir une obligation légale et a estimé que la condition de nécessité n’était pas remplie. En effet, d’autres mécanismes auraient pu être mis en place pour collecter les évaluations du personnel.

L’APD a également examiné la conformité du traitement avec les principes énoncés à l’art. 5 par. 1 RGPD. En ce qui concerne le principe d’exactitude, l’APD a estimé que le fait que les membres du personnel évaluent leurs performances mutuelles, sachant que cette évaluation jouait un rôle dans leurs promotions, pourrait les inciter à fournir des évaluations négatives ou erronées.

En ce qui concerne le principe de minimisation des données, l’APD  a estimé que le traitement était « assez important ». Étant donné que le personnel pouvait fournir une évaluation pour chaque vol, la quantité de données à caractère personnel collectées pouvait être considérable en fonction du degré d’activité des employés. En ce qui concerne la proportionnalité, l’autorité de protection des données a estimé qu’il pourrait y avoir des moyens moins intrusifs de collecter l’évaluation qu’après chaque vol.

Enfin, l’autorité de protection des données a évalué la nécessité d’une analyse d’impact au titre de l’art. 35 RGPD. Compte tenu de la quantité considérable de données et du fait que les hôtesses de l’air pouvaient s’évaluer mutuellement après chaque vol, l’autorité a estimé qu’il s’agissait d’une évaluation systématique et approfondie. Par conséquent, Icelandair aurait dû procéder à une analyse d’impact avant le traitement.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)