RGPD et RH : pas d’indemnisation du salarié dont des données personnelle ont été diffusées
Dans la suite du licenciement pour motif économique d’une soixantaine de salariés d’une entreprise industrielle, un salarié concerné a saisi le conseil de prud’hommes puis la Cour d’appel de Lyon pour contester la mesure.
Parmi les demandes indemnitaires formulées, il réclamait des dommages et intérêts pour des non-respects du RGPD dont il estimait avoir été victime :
1️⃣ En avril 2020, une personne du service « achats » de l’entreprise avait adressé à 85 salariés un fichier Excel destiné à recueillir des informations sur leur permis de conduire, fichier contenant les adresses du domicile de ces salariés. Le salarié faisait grief à son ancien employeur de n’avoir pas notifié à la CNIL ce qu’il considérait être une violation de données personnelles. La Cour rejette la demande retenant que ce fichier avait été adressé à partir d’une messagerie professionnelle à destination des seuls collaborateurs concernés, sur leur messagerie professionnelle également. La Cour en déduit qu’il ne s’agit pas d’une « violation » au sens du RGPD.
2️⃣ En juillet 2020, un fichier RH concernant les 380 salariés avait été mis à disposition de l’ensemble des collaborateurs sur l’intranet de l’entreprise pendant plusieurs jours avant d’être retiré. La Cour a également jugé que cette divulgation interne n’était pas susceptible d’engendrer un risque pour les droits et libertés des personnes et n’imposait ni notification à la CNIL, ni information aux personnes concernées.
3️⃣ Ce même fichier avait également fait l’objet d’une diffusion externe à l’entreprise à la suite d’une soustraction frauduleuse. La Cour relève toutefois que la société avait notifié la violation de données à la CNIL et informé le CSE et le personnel. La Cour considère que le fait que « la CNIL n’a[it] formulé aucune observation ni exigé de mesures complémentaires ni pris de sanction, [tendait] à confirmer l’absence de tout risque pour les droits et libertés des personnes concernées et la mise en oeuvre par l’entreprise de mesures d’information et de sécurité appropriées ».
La Cour rejette ainsi les demandes indemnitaires de l’ancien salarié.
