COVID-19: La Cnil Publie Un Guideline Sur La Collecte Des Données Personnelles

Si les entreprises se sont rapidement saisies des questions liées à la protection de leurs salariés, cette protection ne doit toutefois pas donner lieu à des collectes excessives de données personnelles.

De nombreuses entreprises se sont alors légitimement interrogées sur les bonnes pratiques à adopter quant à la collecte de données personnelles, notamment de santé.

De plus en plus sollicitée sur ces questions, la Commission Nationale Informatique et Libertés (CNIL), a ainsi rappelé par un « guideline » les principes suivants en application du règlement général sur la protection des données personnelles (RGPD).

L’employeur peut:

• Légitimement informer et sensibiliser son personnel pour qu’il lui transmette une éventuelle exposition au COVID-19 ou directement auprès des autorités sanitaires compétentes ;
• Favoriser les modes de travail à distance et encourager le recours à la médecine du travail ;
• En cas de signalement, l’entreprise pourra consigner la date et l’identité de la personne suspectée d’avoir été exposée et les mesures organisationnelles prises (confinement, télétravail, contact avec le médecin du travail, etc.).

Il pourra ainsi communiquer aux autorités sanitaires qui le demanderaient les éléments liés à la nature de l’exposition, nécessaires à une éventuelle prise en charge sanitaire ou médicale de la personne exposée.

Par ailleurs, le salarié doit également informer son employeur en cas de suspicion de contact avec le virus, cela relève effectivement de son obligation individuelle de préserver la santé et la sécurité d’autrui et de lui-même. 

L’employeur ne peut pas:

• Collecter de manière systématique et généralisée, ou par le biais d’enquêtes et demandes individuelles, des informations relatives à la recherche d'éventuels symptômes présentés par un salarié et ses proches.

En effet, si le contexte actuel est exceptionnel, cela n’autorise pas pour autant l’employeur à prendre des mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus. De surcroit, ces données de santé, protégées par le RGPD, sont également couvertes par le secret médical édicté par le Code de la santé publique.

Il est dès lors totalement interdit, conformément au RGPD, de mettre en œuvre, par exemple :

• Des relevés obligatoires des températures corporelles de chaque salarié/visiteur à adresser quotidiennement à sa hiérarchie ;
• Ou encore, la collecte de fiches ou questionnaires médicaux auprès de l’ensemble des salariés. 

Seules les autorités sanitaires sont habilitées à collecter de telles données.

A cet égard, l’ordonnance n° 2020-386 du 1^er avril 2020 précise que dans le cadre de leurs missions et prérogatives, les services de santé au travail devront participer à la lutte contre la propagation du coronavirus, notamment par :

• La diffusion, à l'attention des employeurs et des salariés, de messages de prévention contre le risque de contagion ;
• L’appui aux entreprises dans la définition et la mise en œuvre des mesures de prévention adéquates contre ce risque ;
• L’accompagnement des entreprises amenées, par l'effet de la crise sanitaire, à accroître ou adapter leur activité.

Par ailleurs, des différences existent entre les différentes législations sur cette question. Par exemple, en Allemagne, les salariés peuvent, en vertu de leur devoir général de loyauté envers l'employeur, être tenus de répondre à des questions sur leur santé (et de le faire sincèrement) s'ils présentent des symptômes spécifiques (liés au COVID-19) de maladie.

Recommandation: Les entreprises doivent donc rester particulièrement vigilantes sur les collectes de données sur la santé des individus et ne peuvent, sous prétexte des risques liés au COVID-19, s’éloigner des recommandations de la CNIL et des autorités sanitaires.

Pour recevoir les derniers articles de notre équipe de droit social à Paris, abonnez-vous à notre newsletter.