L'arrêt à ne pas manquer | Recueil des données à caractère personnel des salariés
Publié le :
14/06/2024
14
juin
juin
06
2024
L’employeur peut-il librement collecter des données à caractère personnel de salariés ou de candidats à l’embauche, à leur insu, lorsque ces informations sont en accès libre sur internet ? La chambre criminelle de la Cour de cassation répond à cette question par la négative dans un arrêt rendu le 30 avril dernier.
Collecte d’informations en libre accès sur internet
Dans cette affaire, un salarié était poursuivi devant les juridictions pénales pour avoir recherché sur internet, à la demande du directeur de la sécurité de l’entreprise, des données à caractère personnel relatives à des salariés et à des candidats à l’embauche, telles que leurs antécédents judiciaires, des renseignements bancaires et téléphoniques, leur situation matrimoniale, leur qualité de locataire ou de propriétaire, leur état de santé ou encore leurs déplacements à l'étranger. Au soutien de sa défense, le prévenu faisait valoir que les informations recueillies étaient issues de la capture et du recoupement d’informations diffusées sur des sites publics tels que des sites web, des annuaires, des forums de discussion, des réseaux sociaux et des sites de presse régionale.Délit pénal
Les premiers juges écartent cet argument et déclarent le prévenu coupable du délit de collecte de données à caractère personnel par un moyen frauduleux, prévu à l’article 226-18 du code pénal. Ils retiennent ainsi que la collecte doit être considérée comme déloyale dans les rapports employeur / employé dès lors que, bien que diffusées sur des sites publics, les données concernées ont fait l’objet d’une utilisation sans rapport avec l’objet de leur mise en ligne et ont été recueillies à l’insu des personnes concernées, ainsi privées de leur droit d’opposition prévu par la loi informatique et liberté. La chambre criminelle confirme cette décision : elle juge que le fait que les données collectées aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de la collecte, laquelle, réalisée à des " fins dévoyées de profilage des personnes concernées et d’investigation dans leur vie privée, à l’insu de celles-ci", ne pouvait s’effectuer sans qu’elles en soient informées.Sanction
En application de l’article 226-18 précité du code pénal, le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.Communiqué de la CNIL
Cette décision de la Cour de cassation intervient quelques jours après que la CNIL ait rappelé, dans un communiqué du 25 avril 2024, que les informations demandées lors d’une procédure de recrutement doivent avoir pour seul objectif de valider ou non une candidature. Les informations sollicitées doivent ainsi permettre d’identifier le candidat le plus adapté au poste à pourvoir, de vérifier ses compétences et les qualifications requises pour le poste concerné. La CNIL rappelle qu’un recruteur ne peut solliciter des informations relatives aux membres de la famille du candidat, à son lieu de naissance, à sa nationalité ou au montant des salaires précédemment perçus.Cass. crim., 30 avril 2024, n°23-80.962