« On est entre nous » : pourquoi vos conversations de bureau peuvent aussi relever du RGPD

Une conversation banale ou une réunion entre collègues peut-elle se voir appliquer le RGPD ? Au détour de ce dialogue, découvrez l’oralité comme hypothèse méconnue de la protection des données personnelles, et retenez-en les réflexes utiles avant d’organiser votre prochaine réunion de travail !

Imaginez… Un matin, nous sommes tous réunis pour un échange interservices autour d’une liste de questions sur des cas d’espèces de litiges. Une démarche immersive et formatrice ma foi fort intéressante.

En réalité, il est très vite fait état de cas réels, révélant ainsi des circonstances sensibles des dossiers, le dessous des affaires… La direction est là, elle aussi. Sentant le malaise palpable, la question finit par tomber : « On est bien d’accord Olivier, on est entre nous, on n’est pas dans le RGPD, là ? ». Je me tortille sur ma chaise et fais la moue : « Comment dire… ».

Le cas est symptomatique : il est question d’oralité. On pense souvent qu’en échangeant oralement des données à caractère personnel en réunion, dans un couloir, à la machine à café ou à la cantine, on échappe au règlement général sur la protection des données (RGPD). C’est pourtant une erreur. En effet, l’article 4.2 du RGPD qualifie bien de « traitement », « toute opération (…) effectuée ou non à l’aide de procédés automatisés (…) appliquée à des données à caractère personnel » telles que : « la communication par transmission, la diffusion ou toute autre forme de mise à disposition » ; faisant ainsi entrer la communication orale dans le champ d’application matériel du règlement, dès lors que des données personnelles sont contenues ou appelées à figurer dans un fichier.

D’autre part, l’article 32 du RGPD (« Sécurité du traitement »), de même que le principe fondamental de minimisation (notamment : article 5§1 c), commandent de limiter la transmission et la communication des données personnelles aux personnes pour qui l’accès à ces données est nécessaire au regard de la finalité du traitement, de surcroit, lorsque les données sont catégorisées comme sensibles appelant à des critères stricts de confidentialité.

Certes, à des fins d’amélioration du service, des données personnelles pourraient être échangées de manière strictement interne afin d’ajuster les postures, les cadres de traitements ou de réponses. Mais, même dans ce cas, la question de la nécessité de personnaliser les cas étudiés reste posée : la pseudonymisation devrait être systématiquement privilégiée, l’anonymisation étant bien souvent illusoire lorsque la réidentification demeure aisée.

Remuant toujours sur ma chaise, je préfère l’appel à une amie. « Chère Laura, qu’en pensez-vous ? CJUE, 7 mars 2024, no C‑740/22, non ? Vous avez 60 secondes pour répondre, la direction attend ! ».

Et Laura de se plier bien volontiers à l’exercice. « Eh bien, Olivier : la réponse est… : VRAI ! Dans cette fameuse décision Endemol, la Cour de justice de l’Union européenne devait répondre à une demande de décision préjudicielle. Les faits étaient ceux-là : la société Endemol Shine Finland Oy s’était vue opposer le refus d’une juridiction finlandaise de lui communiquer des données relatives à des condamnations pénales concernant un candidat à un concours organisé par elle. Fondant son raisonnement sur le droit national, le tribunal avait considéré que cette demande était dépourvue de finalité légitime et que, par ailleurs, le simple fait d’effectuer des recherches dans ses propres systèmes d’information pour retrouver l’information aurait, en soi, constitué un traitement de données à caractère personnel.

Pour ce second motif précisément, les informations ne pouvaient pas davantage être communiquées oralement, la restitution orale du résultat d’une recherche informatisée équivalant, selon le tribunal, à un traitement soumis aux mêmes contraintes. Il était ainsi notamment question pour la Cour d’interpréter les article 2§1 et 4.2 du règlement, dans un contexte d’accès à des documents officiels détenus par une autorité publique (article 86).

Pour fonder son raisonnement, la Cour se sera notamment servi des considérants du préambule, en opérant une interprétation téléologique (ou doctrinale) du règlement, et en tenant compte de la nécessité de concilier la protection des données à caractère personnel avec le droit d’accès du public aux informations.

La question préjudicielle était donc semblable à la question que vous me posez : « Une communication orale de données à caractère personnel constitue-t-elle un traitement de telles données au sens de l’article 2§1 et de l’article 4.2 du RGPD ? »

Je dois vous dire, mon cher Olivier, que sa réponse est sans appel sur ce point, car la Cour juge que « le législateur de l’Union a entendu donner à la notion de ‟traitement” une portée large » (§29), « ce qui est corroboré par le caractère non exhaustif exprimé par la locution ‟telles que” » de l’article 4.2, ce dernier ne posant « aucune condition quant à la forme du traitement ‟non automatisé” » (§30) ; pour finalement conclure « La notion de ‟traitement” visée à l’article 4.2 du RGPD couvre nécessairement la communication orale de données à caractère personnel ».

Pour conclure, cher Olivier, voici les questions que cette direction aurait dû se poser avant d’organiser cette fameuse rencontre interservices :

• Ma communication orale, constituant en tant que telle un traitement non automatisé, contient-elle des données personnelles ?
• Si la réponse à cette question est positive, il convient ensuite de s’interroger : les données personnelles sont-elles contenues ou appelées à figurer dans un fichier – notion définie largement comme « tout ensemble structuré de données à caractère personnel accessibles » (§37) ?
• Si la réponse demeure positive, alors il faut se rendre à l’évidence : l’opération caractérise un traitement de données personnelles, qui est entré dans le champ d’application matériel du règlement, avec toutes les conséquences que cela implique et que vous connaissez déjà : licéité, minimisation, sécurité… !

J’ai mis un peu plus d’une minute cher ami, mais j’espère que ma réponse vous conviendra ? »

« Parfait Laura, je retiens votre arbre de décision, j’en réfère à la direction et aux métiers et j’opte pour une chaise renforcée en attendant le prochain sujet à vous soumettre… Ne vous éloignez pas trop ! »