L'article 88 du Règlement général sur la protection des données (RGPD) confère aux États membres la compétence pour établir des règles plus spécifiques concernant le traitement des données personnelles dans le cadre des relations de travail. Cette disposition reconnaît les spécificités du contexte professionnel, caractérisé par un déséquilibre de pouvoir entre l'employeur et les salariés, et permet aux États membres d'adapter la réglementation à leurs traditions en matière de droit du travail et de relations sociales.
Le traitement des données personnelles dans le contexte professionnel soulève des enjeux particuliers en raison du lien de subordination existant entre l'employeur et le salarié. Le consentement du salarié ne peut généralement pas constituer une base légale valable pour le traitement de ses données, en raison de l'absence de liberté réelle dans la relation de travail. L'article 88 permet aux États membres d'établir des règles spécifiques tenant compte de cette réalité.
L'article 88 s'inscrit dans le cadre du chapitre IX relatif aux dispositions relatives à des situations particulières de traitement, et complète les dispositions générales du RGPD en permettant une adaptation aux spécificités du droit du travail national.
Texte officiel de l'article 88 du RGPD
L'article 88 du RGPD dispose notamment que :
« 1. Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins du recrutement, de l'exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de l'organisation du travail, de l'égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, de la protection des biens de l'employeur ou du client, ainsi qu'aux fins de l'exercice et de la jouissance, à titre individuel ou collectif, des droits et avantages liés à l'emploi, et aux fins de la cessation de la relation de travail.
2. Ces règles incluent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux de la personne concernée, en particulier en ce qui concerne la transparence du traitement, le transfert de données à caractère personnel au sein d'un groupe d'entreprises ou d'un groupe d'entreprises engagées dans une activité économique conjointe et les systèmes de contrôle sur le lieu de travail.
3. Chaque État membre notifie à la Commission les dispositions de son droit qu'il adopte en application du paragraphe 1 au plus tard le 25 mai 2018 et, dans les meilleurs délais, toute modification ultérieure les affectant. »
Ce texte établit la compétence des États membres pour adopter des règles spécifiques au traitement des données dans le cadre des relations de travail, tout en imposant la mise en place de garanties appropriées pour protéger les droits des salariés.
Champ d'application matériel
Le paragraphe 1 de l'article 88 énumère de manière non exhaustive les finalités pour lesquelles les États membres peuvent adopter des règles spécifiques. Ces finalités couvrent l'ensemble du cycle de vie de la relation de travail, depuis le recrutement jusqu'à la cessation de la relation, en passant par l'exécution du contrat et la gestion quotidienne du personnel.
Le recrutement inclut notamment la collecte et l'évaluation des candidatures, la vérification des références, et les tests de sélection. L'exécution du contrat de travail englobe la gestion administrative du personnel (paie, congés, absences), l'évaluation des performances, et la gestion de carrière. La gestion et l'organisation du travail couvrent la planification des horaires, l'attribution des tâches, et la surveillance de l'activité professionnelle.
L'article 88 mentionne également des finalités spécifiques telles que l'égalité et la diversité sur le lieu de travail, la santé et la sécurité au travail, la protection des biens de l'employeur ou du client, et l'exercice des droits et avantages liés à l'emploi. Cette liste illustre la diversité des traitements de données personnelles nécessaires dans le contexte professionnel et justifie l'adoption de règles spécifiques adaptées à chaque finalité.
Instruments de réglementation
L'article 88 prévoit que les États membres peuvent adopter des règles spécifiques soit par la loi, soit au moyen de conventions collectives. Cette double possibilité reflète la diversité des traditions en matière de relations sociales dans les États membres de l'Union européenne.
La voie législative permet aux États de définir un cadre général et uniforme applicable à tous les employeurs et salariés. Cette approche garantit l'harmonisation des pratiques et la sécurité juridique, mais peut manquer de flexibilité pour s'adapter aux spécificités de chaque secteur d'activité ou de chaque entreprise.
Les conventions collectives, négociées entre les organisations d'employeurs et les syndicats de salariés, permettent une adaptation plus fine aux besoins et contraintes spécifiques de chaque branche professionnelle. Elles reflètent l'équilibre des intérêts négocié par les partenaires sociaux et bénéficient généralement d'une meilleure acceptation par les acteurs concernés. Toutefois, elles doivent respecter les principes fondamentaux du RGPD et ne peuvent déroger aux dispositions impératives du règlement.
Garanties spécifiques pour les salariés
Le paragraphe 2 de l'article 88 impose que les règles spécifiques adoptées par les États membres incluent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des salariés. Ces garanties visent à compenser le déséquilibre de pouvoir inhérent à la relation de travail et à prévenir les abus.
La transparence du traitement constitue une garantie essentielle. Les employeurs doivent informer clairement les salariés des données collectées, des finalités du traitement, de la durée de conservation, et de leurs droits. Cette information doit être fournie de manière accessible et compréhensible, avant la mise en œuvre du traitement.
L'article 88 mentionne spécifiquement les systèmes de contrôle sur le lieu de travail, qui soulèvent des questions particulièrement sensibles en matière de protection des données et de respect de la vie privée. Les États membres peuvent prévoir des règles spécifiques encadrant la vidéosurveillance, le contrôle de l'utilisation des outils informatiques, la géolocalisation des véhicules de service, ou le monitoring des communications professionnelles. Ces systèmes doivent respecter les principes de nécessité, de proportionnalité, et de finalité déterminée.
Articulation avec les autres dispositions du RGPD
L'article 88 s'articule avec l'article 6, paragraphe 1, qui établit les conditions de licéité du traitement. Dans le contexte professionnel, le traitement des données des salariés repose généralement sur l'exécution du contrat de travail (point b) ou sur le respect d'une obligation légale (point c), plutôt que sur le consentement qui ne peut être considéré comme librement donné en raison du lien de subordination.
Il se combine également avec l'article 9, relatif au traitement des données sensibles. Les données de santé des salariés, par exemple, peuvent être traitées pour assurer la médecine du travail, la sécurité au travail, ou la gestion des absences pour maladie, dans les conditions prévues par le droit national adopté en application de l'article 88.
L'article 88 complète également les articles 13 et 14 relatifs à l'information des personnes concernées, en permettant aux États membres de préciser les modalités d'information spécifiques au contexte professionnel.
Jurisprudence relative à l'article 88
Bien que la jurisprudence spécifique à l'article 88 du RGPD soit encore en développement, les principes établis par la Cour européenne des droits de l'homme et les juridictions nationales restent pertinents. Ces juridictions ont notamment confirmé que le contrôle de l'activité des salariés doit être strictement nécessaire et proportionné, et que les salariés doivent être informés préalablement de tout système de surveillance.
Les autorités de protection des données ont adopté de nombreuses décisions précisant les conditions du traitement des données dans le cadre professionnel. Elles ont notamment encadré l'utilisation de la vidéosurveillance, du contrôle des emails et de l'internet, de la géolocalisation, et des systèmes de pointage biométrique, en imposant le respect des principes de nécessité, de proportionnalité, et d'information préalable.
Recommandations de la CNIL et du CEPD
La CNIL a publié des lignes directrices détaillées sur le traitement des données personnelles dans le cadre professionnel, couvrant notamment la gestion des ressources humaines, la vidéosurveillance sur le lieu de travail, le contrôle de l'utilisation d'internet et de la messagerie électronique, et la géolocalisation des véhicules. Elle insiste sur la nécessité d'informer préalablement les salariés et de consulter les instances représentatives du personnel avant la mise en place de systèmes de contrôle.
Le Comité européen de la protection des données (CEPD) encourage les États membres à adopter une approche harmonisée du traitement des données dans le cadre professionnel, tout en respectant les spécificités des systèmes nationaux de relations sociales. Il recommande de privilégier le dialogue social et la négociation collective pour définir les règles applicables, garantissant ainsi leur acceptabilité et leur effectivité.
Implications pratiques pour les employeurs
Les employeurs doivent se familiariser avec la réglementation nationale adoptée en application de l'article 88, qui peut varier significativement d'un État membre à l'autre. Ils doivent s'assurer que tous les traitements de données personnelles de leurs salariés respectent non seulement les dispositions générales du RGPD, mais également les règles spécifiques applicables dans le contexte professionnel.
Il est recommandé de mettre en place une politique de protection des données dans le cadre professionnel, définissant clairement les données collectées, les finalités des traitements, les durées de conservation, et les droits des salariés. Cette politique doit être portée à la connaissance de tous les salariés, notamment lors de l'embauche et lors de la mise en place de nouveaux systèmes de traitement.
Les employeurs doivent consulter les instances représentatives du personnel avant la mise en place de systèmes de contrôle ou de surveillance sur le lieu de travail. Cette consultation permet de s'assurer que les systèmes envisagés sont proportionnés et respectueux des droits des salariés, et facilite leur acceptation par les équipes. En cas de doute sur la conformité d'un traitement, il est recommandé de consulter le délégué à la protection des données ou l'autorité de contrôle compétente.
L'article 88 du RGPD confère aux États membres la compétence pour adopter des règles spécifiques concernant le traitement des données personnelles dans le cadre des relations de travail. Cette disposition reconnaît les spécificités du contexte professionnel et permet une adaptation de la réglementation aux traditions nationales en matière de droit du travail. Elle impose toutefois la mise en place de garanties appropriées pour protéger la dignité humaine et les droits fondamentaux des salariés, garantissant ainsi un équilibre entre les besoins légitimes des employeurs et les droits des personnes concernées.