Le coronavirus : traitement des données à caractère personnel sur le lieu de travail

Consultez notre page "assistance COVID-19" ou contactez Sara Cockx, Dave Mertens et Sara Mannaerts.

Dans les semaines à venir, les entreprises pourront reprendre progressivement leurs activités normales. Ce faisant, ils seront obligés de prendre les mesures préventives nécessaires pour empêcher la propagation du coronavirus. Mais qu'en est-il de la vie privée des travailleurs dans ce contexte ? Par exemple, pourraient-ils être obligés de remplir certains questionnaires médicaux ?

Le Comité Européen de la Protection des Données a déjà déclaré que les règles de protection des données ne devaient pas entraver la lutte contre le coronavirus. Néanmoins, le Comité souligne l'importance d'assurer la protection des données personnelles à tout moment. 

En ce qui concerne le coronavirus et le traitement des données personnelles sur le lieu de travail, l'Autorité belge de protection des données ("APD") a également publié récemment sa position : 

Traitement des données à caractère personnel

L'APD précise tout d'abord que le règlement général sur la protection des données ("RGPD") ne s'applique que lorsque les mesures préventives prises impliquent effectivement le traitement de données à caractère personnel. Si ce n'est pas le cas, le RGPD ne doit bien sûr pas être respecté.

Par exemple, l’APD ne considère pas le simple contrôle de la température corporelle des travailleurs, par exemple à l'entrée du lieu de travail, comme un traitement de données à caractère personnel. À moins que ces données ne soient enregistrées par travailleur, le RGPD ne s'applique pas dans cette situation. Toutefois, les autres réglementations applicables doivent toujours être respectées, telles que les instructions des autorités compétentes et le cadre du droit du travail existant. Par exemple, l'employeur doit d'abord demander l'avis du Comité pour la prévention et la protection au travail au sein de l'entreprise sur la mesure de prendre la température. En outre, du point de vue du droit du travail, il n'est pas possible d'obliger un travailleur à se soumettre à un tel contrôle car il n'existe aucune base juridique en droit du travail pour cela. Ces contrôles devraient plutôt être effectués sur base volontaire.

Licéité du traitement

Comme toujours, tout traitement de données personnelles doit être basé sur l'un des fondements juridiques de la légitimité énoncés à l'article 6.1 du RGPD. L'APD souligne à cet égard le motif de légitimité "nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique", mais insiste également sur le fait que ce motif ne peut être utilisé par l'employeur de manière systématique ou plus étendue.

En ce qui concerne le traitement des données de santé (c'est-à-dire une catégorie spéciale de données personnelles au sens de l'art. 9 RGPD), la position de l’APD est stricte : les employeurs ne peuvent traiter ces données que si elles/ils agissent en exécution de directives explicites imposées par les autorités (conformément à l'art. 9.2, i) RGPD).

En outre, le médecin du travail a un rôle important à jouer dans ce contexte. En effet, cette personne est chargée de détecter les infections et d'informer l'employeur et les personnes concernées. L’APD fait ici référence à la base de légitimité "traitement aux fins de l'exécution d'une obligation en matière de droit du travail".

Principes généraux du traitement des données

Enfin, les principes généraux du traitement des données à caractère personnel restent applicables, même dans le cadre des mesures de prévention contre le coronavirus :

• Le traitement des données à caractère personnel doit toujours être proportionnel à la finalité poursuivie ;
• Seul le minimum nécessaire de données à caractère personnel peut être traité ;
• Les employeurs doivent à tout moment rester transparents et fournir à leurs travailleurs (et aux visiteurs) des informations suffisantes sur les finalités du traitement et la durée de conservation des données à caractère personnel ;
• Enfin, les employeurs doivent toujours prendre les mesures de sécurité nécessaires pour protéger les données personnelles.

En outre, l’APD donne des réponses à un certain nombre de questions fréquemment posées. Par exemple, elle précise qu'un employeur ne peut pas obliger ses travailleurs à remplir certains questionnaires médicaux, ou des questionnaires relatifs à des voyages récents. Toutefois, les travailleurs peuvent être encouragés à signaler spontanément les symptômes de maladie ou les voyages à risque récemment effectués. Le contrôle social jouera sans aucun doute un rôle important à cet égard.

Pour plus d'informations dans ce contexte, et les réponses à certaines autres questions fréquemment posées, veuillez consulter le site web de l'autorité de protection des données.