Comment communiquer à son personnel une fin de relation contractuelle en respectant le RGPD ?

Un employeur est-il en droit d’annoncer comme bon lui semble aux collaborateurs de son entreprise la fin d’une collaboration professionnelle ? Doit-il prendre à cette occasion certaines précautions ?

La présente news, basée sur quelques avis/décisions récentes rendues par l’Autorité de Protection des données (APD), nous donne l’occasion de faire un focus sur les règles de base à respecter en la matière.  Qu’en retenir ?
 
Comment annoncer un licenciement ?

Le principe de minimisation des données impose à un employeur de se contenter d’une communication du style :
« Il a été mis fin à la collaboration avec X et celui-ci ne sera dès lors plus présent sur le lieu de travail ».

Une communication factuelle limitée au fait que le travailleur n’est plus en service est tout à fait permise et respectueuse du Règlement Général de Protection des données (RGPD).  Elle s’inscrit ainsi de façon appropriée dans la lignée de l’objectif de premier de collecte des données personnelles du travailleur concerné.  Il est en effet indiqué d’informer de la sorte les travailleurs des mouvements au sein de l’entreprise (départs et arrivées) et ce, dans le cadre de la politique du personnel.
 
Par contre, il n’en va pas de même lorsque la communication divulgue d’autres éléments tels la personne qui est à l’initiative de la rupture du contrat de travail ou le fait que la décision a été prise après des avertissements écrits ou des entretiens de fonctionnement.
Exemple : un employeur publie sur l’Intranet de l’entreprise, dans la rubrique consacrée aux mouvements de personnel que « le contrat de travail de Y a été rompu avec effet immédiat, à l’initiative de l’employeur » ou que « la relation de travail a pris fin suite à 3 avertissements » ou encore « a résulté de l’organisation d’entretiens de fonctionnement ».

Dans ces cas de figure, on peut considérer que la communication n'est pas nécessaire, pertinente et limitée à ce qui est nécessaire au regard de la finalité, en l'espèce l'organisation d'une politique du personnel adéquate.

Le fait que le contrat soit rompu à l’initiative de l’employeur, et a fortiori avec effet immédiat, implique en effet avec une probabilité élevée une faute grave dans le chef de l’employé. Idem pour la fin du contrat intervenue après plusieurs avertissements ou entretiens de fonctionnement, sans compter que cette information était, dans le cas d’espèce visé, potentiellement accessible par de très nombreuses personnes à travers le monde.
 
Quid des données « sensibles » révélées lors d’une réunion ?

La vigilance est également de mise lorsque des éléments sont révélés, ne fusse qu’en réunion, et a fortiori lorsqu’un PV écrit est établi et mis à disposition de l’ensemble du personnel, ce qui renforce l’aspect de traitement de données à caractère personnel.

En l’occurrence, un directeur avait communiqué lors d’une réunion de service que le départ de l’entreprise d’une travailleuse était lié à sa longue incapacité et à son inaptitude définitive.

L’Autorité de Protection des Données (APD) a considéré que cette communication poursuivait un objectif distinct de la finalité première, laquelle consiste simplement à recevoir l’information et à la traiter au niveau des services de ressources humaines à des fins de gestion du personnel.

Si le traitement initial était en soit licite, suite au rapport du Conseiller en prévention-Médecin du travail, la travailleuse concernée ne pouvait par contre raisonnablement pas s’attendre à ce que ces mêmes données relatives à la santé, sensibles au demeurant, soient, dans la foulée, communiquées largement au-delà des seules personnes ayant un besoin fonctionnel de les connaître.

Ici aussi, le principe de minimisation des données (proportionnalité) impose que cette communication reste limitée à la communication factuelle du fait que la personne concernée n'est plus en service.

Sources : Décisions de l’autorité de protection des données (APD) n°s 63/2021, 115/2022 et 14/2023.