L’autorité de protection des données islandaise (APD ; Persónuvernd) a reçu une plainte d’un employé (personne concernée). Son employeur (responsable du traitement) avait utilisé un tachygraphe dans un véhicule utilisé par la personne concernée dans le cadre de son travail. Un tachygraphe est un appareil qui enregistre les temps de conduite et les périodes de repos, ainsi que les périodes d’autre travail et de disponibilité prises par un conducteur.

Lors de son entrée en fonction, la personne concernée avait été informée que des tachygraphes étaient installés dans les voitures des employés pour des raisons de sécurité. Les données du tachygraphe concernant son rendement au travail et ses pauses repas ont ensuite été utilisées pour justifier le licenciement de la personne concernée. La personne concernée s’est plainte que le traitement de ses données à caractère personnel dans la perspective de son licenciement n’était pas compatible avec l’objectif initial de l’utilisation du tachygraphe. En outre, il n’avait pas été informé du changement de finalité du tachygraphe avant que le traitement n’ait lieu.

Le responsable du traitement a répondu à la plainte et a déclaré à l’autorité de protection des données que la personne concernée devait savoir que le tachygraphe de sa voiture pouvait être utilisé pour contrôler ses performances et a soumis ses documents de formation comme preuve à l’autorité de protection des données. Il a également invoqué le consentement comme base juridique du traitement des données (art. 6 par. 1 let. a RGPD).

L’APD, dans une décision Mál nr. 2022050836 (https://www.personuvernd.is/urlausnir/rafraen-voktun-af-halfu-islandsposts) commentée et présentée sur gdprhub (https://gdprhub.eu/index.php?title=Pers%C3%B3nuvernd_(Island)_-_M%C3%A1l_nr._2022050836&mtc=today), a noté que le déséquilibre de pouvoir entre les employeurs et les employés rend ce consentement forcé et invalide. L’autorité de protection des données s’est toutefois appuyée sur une décision de l’autorité suédoise de protection des données selon laquelle les tachygraphes peuvent être utilisés en vertu de l’art. 6 par. 1 let. f RGPD si le responsable du traitement peut prouver l’existence d’un intérêt légitime. L’autorité de protection des données a donc considéré que le responsable du traitement disposait d’une base juridique.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)