Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 224

D

O

C

T

R

I

N

E

de conservation, destinataires,
modalités d'exercice des droits...) et
intervenir au plus tard au moment
de la collecte directe des données
ou au moment de la première
réutilisation des données ou dans
un délai raisonnable ne pouvant
dépasser un mois en cas de collecte
indirecte.

recommandé d'associer, le cas
échéant pour les entités qui
en disposent, le délégué à la
protection des données (DPO) à
chacune des communications sur
le sujet et de donner toute visibilité
à ce dernier afin qu'il puisse
répondre aux interrogations et
demandes des personnes.

La crise sanitaire actuelle ne
saurait permettre de faire fi de
cette obligation.

Règle n°4 : Limitez les accès
aux données collectées

Dans son audition du 8 avril 2020,
la Présidente de la Cnil a ainsi
rappelé à juste titre, s'agissant de
l'exigence d'information, «  qu'il
est crucial que les gouvernements
et les acteurs privés soient
transparents sur les dispositifs
mis en œuvre et impliquant le
traitement de données à caractère
personnel. Les citoyens doivent
savoir
quelles
données
les
concernant
sont
susceptibles
d'être traitées, par qui, pour quelles
finalités, dans quelles conditions
et avec qui leurs données sont
partagées ».
Pour un employeur, cela signifie
de
manière
concrète
qu'il
sera nécessaire d'informer les
personnes de l'utilisation de
leurs données par exemple dans
le cadre de la mise en œuvre
des mesures de prévention. Ces
mesures peuvent faire l'objet de la
procédure relative à l'élaboration
des notes de service valant
adjonction au règlement intérieur
prévue à l'article L. 1321-5 du
code du travail qui autorise
une application immédiate des
obligations relatives à la santé et
à la sécurité avec communication
simultanée au secrétaire du
comité social et économique,
ainsi qu'à l'inspection du travail.
En tout état de cause, compte
tenu du climat anxiogène actuel,
l'information des personnes et
le dialogue social constituent
un préalable essentiel afin de
sécuriser les individus dans le
traitement de la gestion de la
crise sanitaire, y compris au sein
des entreprises. Il est fortement

224

Compte tenu de la sensibilité des
données de santé, il est là encore
conseillé de limiter l'accès aux
données collectées aux personnes
habilitées
(professionnels
de
santé,
autorités
sanitaires,
personnel habilité des organismes
d'assurance maladie, direction,
ressources humaines en charge
de la mise en place des mesures
sanitaires sur les lieux du travail).
Toutefois, dans la mise en œuvre
des mesures de prévention par
les employeurs dans le cadre plus
général de leur obligation d'assurer
la sécurité à leurs salariés sur les
lieux de travail, se pose la question
de savoir si un employeur peut
informer ses salariés des cas
des personnes infectées par le
Covid-19.
Le CEPD, dans sa communication
du 19 mars 202012, répond par
l'affirmative mais précise que
les employeurs ne doivent pas
communiquer plus d'informations
que nécessaire, conformément
au principe de minimisation
évoquée ci-avant. Il indique que,
dans les cas où il est nécessaire de
révéler le nom des employés qui
ont contracté le virus (par exemple
dans un contexte préventif) et si
la législation nationale le permet,
les employés concernés doivent
être informés à l'avance et leur
dignité et leur intégrité doivent
être protégées.
Sur le plan national, la Cnil
vient de trancher le débat sur
cette question. Elle indique de
manière expresse qu'une telle
communication est interdite13.

EXPERTISES Juin 2020

Le choix du Gouvernement
d'orienter dans un premier temps
le «  contact tracing  » vers un
dispositif d'alerte mis en œuvre
par les médecins généralistes
et par les «  brigades d'anges
gardiens  »
constitués
des
personnes
habilitées
des
organismes d'assurance maladie
est une illustration supplémentaire
du souci des pouvoirs publics
de limiter l'accès des données
personnelles de santé, dans le
cadre d'une préoccupation plus
générale de respect de la vie privée
des individus.

Règle n°5 : Pas de traitement
au-delà de la durée de la
crise sanitaire
Conformément
à
la
règlementation applicable, les
données personnelles ne peuvent
être conservées pour une durée
indéfinie, notamment dans les
fichiers informatiques.
La durée de conservation doit donc
être déterminée en fonction de
l'objectif ayant conduit à la collecte
des données, conformément au
principe de proportionnalité14.
Dès que cet objectif est atteint, les
données devraient être archivées,
supprimées
ou
anonymisées
(afin notamment de produire des
statistiques). Ainsi, ce n'est que
sous certaines conditions, que les
données à caractère personnel
peuvent être conservées au-delà de
cette durée à des fins de recherche
scientifique ou historique, ou à
des fins statistiques.
En l'occurrence, dans le cadre
du contexte sanitaire actuel,
les données de santé collectées
ne devront pas être conservées
au-delà de la finalité pour laquelle
elles ont été collectées.
Ainsi, s'agissant en particulier
des contrôles de température,
le ministère du Travail rappelle
que ces contrôles doivent être
destinés à la seule vérification de
la température à l'entrée d'un site
au moyen d'un thermomètre (par
exemple de type infrarouge sans
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
