Le numérique dans l’entreprise & la protection des personnes
Exploiter les données à caractère personnel (DCP)
Le respect par l’entreprise du cadre réglementaire
La CNIL ; une autorité administrative et indépendante
S’explique par le fait que les problématiques liées aux fichiers numériques justifient une régulation par la puissance publique. En effet, la puissance informatique est telle, quantitativement et qualitativement que des excès majeurs sont possibles et ne permettent pas de laisser les acteurs privés libres de tout contrôle de l’administration.
Toutefois, la puissance publique étant elle-même un acteur utilisant les fichiers informatiques des fichiers, il est nécessaire que la CNIL soit indépendante pour agir en toute libertés sur l’ensemble des fichiers, y compris ceux qui relèvent de la responsabilité de la personne publique.
L’action de la CNIL ne se limite pas à celle d’un gendarme des DCP
La CNIL a des missions d’information et de conseil : elle agit donc en amont pour aider au respect des règles et éviter d’avoir ainsi à sanctionner d’éventuelles infractions.
De plus, la CNIL est une autorité qui, par sa veille, contribue à la réflexion prospective et aux projets de réglementation liés aux évolutions du numérique.
Le RGPD s’inscrit dans la continuité d’une réglementation existant tout en la renforçant
L’encadrement des pratiques liées au numérique n’a en effet pas attendu le RGPD, puisque ce dernier est un renforcement de la loi « informatique et libertés » du 6 janvier 1978 (elle-même régulièrement complétée par d’autres textes, comme la loi pour la confiance dans l’économie numérique LCEN
L’intérêt d’une réglementation à l’échelle supranationale
Les données numériques sont immatérielles. Le stockage et le traitement de ces dernières peuvent donc être réalisés depuis des serveurs non localisés dans le même pays que celui où ces données ont été collectées. Il est donc essentiel d’empêcher les entreprises peu vertueuse de se livrer à un « dumping DCP » en localisant les serveurs dans les pays les moins protecteurs. Une harmonisation supranationale est donc utile pour lutter contre cette pratique
Les nouvelles règles vis-à-vis des clients
La règle relative à la portabilité des données est aussi une mesure en faveur de la concurrence
Même si elle est une mesure protectrice de la liberté de tout consommateur de changer de fournisseur, la règle relative à la portabilité des données est aussi une mesure économique. En effet, elle retire aux entreprises la possibilité de mettre une barrière à la sortie pour leurs clients. Ceux-ci ayant dès lors la possibilité de changer de fournisseur, il y a bien un renforcement des pratiques concurrentielles.
Les mesures renforçant la responsabilité de l’entreprise quant aux conséquences liées à l’usage des données personnelles.
Ces mesures sont :
Le droit à notification en cas de piratage de ses données personnelles : l’entreprise étant obligée de communiquer publiquement sur une éventuelle défaillance, sa responsabilité, notamment en termes d’image, est donc bien accrue
Le droit à réparation du dommage matériel ou moral : l’entreprise voit ici une responsabilisation, notamment financière, puisqu’elle devra indemniser les éventuels préjudices dont elle serait l’auteur
Etapes du plans d’action
Enregistrement des données
Trie des données
Respecter les droits des personnes est à la fois une obligation réglementaire et légale pour l’entreprise, mais
Sécurisation des données
4 le préjudice d’image en plus de la sanction financière
Au-delà d’une éventuelle amende, une sanction rendue publique augmente les risques d’un préjudice d’image peut être important pour une entreprise. En effet, les utilisateurs et clients peuvent perdre confiance dans la sécurité de bases informatiques de ce prestataire et refuser d’y avoir des comptes (ou fermer ceux qu’ils possèdent). Cela aura alors un impact commercial.
Manager l’entreprise à l’ère du numérique
L’identité numérique de l’entreprise et de ses salariés
Les éléments constitutifs de l’identité numérique d’une entreprise
Ses traces volontaires : les mails qu’elle envoie, les textes, photographie, …
Ses traces involontaires : les données de navigation de ses salariés, les avis des clients sur les moteurs de recherche
Ses traces héritées : les avis échangés entre les clients, les commentaires sur les forums
La relation entre l’identité numérique et l’e-réputation d’une personne (morale ou physique)
L’e-réputation est celle qui découle des traces qui ont constitué l’identité numérique. Cela est vrai pour l’ensemble de ces traces, d’où la nécessité de bien superviser les traces volontaires et de diviser d’une veille pour identifier et réagir aux traces héritées
L’e-réputation d’une entreprise dépend d’elle-même, mais aussi des ses clients et salariés
L’entreprise choisit ce qu’elle diffuse sur le réseau numérique et génère de ce fait, une part de son e-réputation. Néanmoins, une entreprise est une entité morale : elle ne laisse pas de trace par elle-même, mais à travers les femmes et les hommes qui la composent. Ce sont donc les salariés qui vont générer les traces volontaires ou involontaires en rédigeant des contenus, choisissant des photographies, répondant à des emails. De même, les clients parlent d’une entreprise en termes élogieux ou réprobateurs : ils sont donc aussi à l’origine de la réputation numérique de l’entreprise
Le risque de confusion entre l’identité numérique d’une entreprise et celle de ses salariés
Lorsqu’un salarié publie une information, il exprime, aux yeux des tiers, la position de son entreprise. Si, par exemple, un salarié d’un service réclamation répond à un mail par des propos injurieux, ce sera autant l’e-réputation de la personne, dont le nom signe le message, que celle de l’entreprise elle-même qui sera impactée par l’expression déplacée du salarié.
L’obligation du respect de la vie privée des salariés
L’employeur ne peut pas prendre connaissance des messages de son employé même si c’est parce qu’ils ont été rédigés sur l’appareil mis à la disposition de celui-ci par l’entreprise n’en a pas le droit. Cela est dû au respect de la vie privée
Utiliser le numérique au travail
L’usage personnel du numérique par les salariés
Les droits et interdit de l’employeur
Un employeur n’a pas le droit d’interdire toute utilisation personnelle de l’outil informatique professionnel. Il doit accepter une utilisation personnelle raisonnable.
Un employeur a le droit de bloquer la possibilité de télécharger sans autorisation des programmes. Cela s’explique par le fait que ça peut affecter la sécurité du système informatique, générer des conflits d’opérabilité avec d’autres programmes
Un employeur ne peut pas interdire le stockage de fichiers personnels occupant une place (même infime) sur le disque dur. Il ne faut cependant pas que ce stockage affecte la disponibilité professionnelle des matériels.
La cohérence entre les règles de « protection » des messages personnels et le respect de la vie privée
Si l’employeur doit respecter la vie privée du salarié, il est bien nécessaire qu’il sache quelles informations sont susceptibles d’en relever. Il est normal de penser que les données du matériel de travail sont professionnelles par principe et personnelles par exception.
En imposant aux salariés d’indiquer ce caractère personnel/privé, le droit permet à l’employeur de respecter la vie privée de ses collaborateurs
Les règles relatives aux identifiants et aux MDP perso du salarié
Ces règles cherchent à concilier les intérêts légitimes des deux parties car les identifiants et mdp permettent au salarié d’avoir des éléments stockés qu’il ne souhaite pas forcément communiquer à son employeur. Il est donc normal que ce dernier ne puisse pas les exiger par principe. Néanmoins, la raison d’être principale de l’activité de l’entreprise est son exploitation quotidienne. De ce fait, si un salarié est absent et qu’il est nécessaire que son employeur accède à des données permettant le bon déroulement de l’activité, le droit lui permet d’en exiger la communication
La surveillance de l’activité des salariés
Les règles relatives à la vidéosurveillance permettent de servir les intérêts légitimes de l’entreprise tout en protégeant ceux des salariés
La sécurisation des locaux et des matériels par une vidéosurveillance est une attente légitime des entreprises qui doivent lutter contre les malveillances / vols etc
Pour autant, afin que cela ne puisse constituer une surveillance permanente des salariés, ce qui serait pénible au quotidien, cet objectif licite doit être respecté, ce qui exclut une surveillance du poste de travail lui-même (sauf exceptions)
La conformité des règles de droits
Un employeur reproche à son salarié de ne pas savoir où il a déjeuné pendant sa pause ; non conforme car l’employeur peut suivre son salarié seulement sur le temps de travail
Une entreprise de transport de déchets nucléaires installe une géolocalisation directement reliée à des services de secours ; c’est conforme. Le type de produits transportés justifie une mesure de géolocalisation, pour intervenir en cas de problème par exemple
Les raisonnements juridiques de la Cour d’Appel puis de la Cour de Cassation
Selon la Cour d’Appel, un licenciement ne peut reposer que sur une faute dont la preuve a été licitement apportée. En l’espèce, le salarié n’ayant pas été informé de sa surveillance potentielle par un système de vidéo installée chez le client, les images collectées l’ont été à son insu et ne peuvent donc être mobilisées à son encontre.
Telle n’est pas la position des magistrats de la Cour de Cassation, qui estiment que la mise en place de cette vidéosurveillance avait une autre finalité que la surveillance des salariés. Elle n’était donc pas soumise à leur information préalable au titre de salariés. Les images peuvent dès lors être mobilisées pour prouver l’action commise sur le placard du client (et non les actes de travail du salarié chez le client).
l’exploitation des données à caractère personnel :
supervision de la CNIL = commission nationale informatique & libertés
loi informatiques et libertés de 1978 :
oblige le consentement des personnes fichées
doit définir les finalités du fichier
respecter les droits des personnes :
accès
opposition
rectification
déférencement
sécuriser les données
limiter la collecte
RGPD = Règlement général sur la protection des données, mai 2018, niveau UE
droit :
à la portabilité de ses données
à notification en cas de piratage
d’intenter une action de groupe
à réparation du dommage
les enjeux et règles du numérique de l’entreprise
identité numérique → e-réputation (d’une entreprise ou d’une personne)
usurpation en vue de troubler la tranquillité d’une personne → un an d’emprisonnement & 15k€ d’amende
l’entreprise doit respecter la vie privée de ses salariés (code civil et jurisprudence Nikon)
tout dispositif de surveillance d’un salarié doit avoir été porté à sa connaissance (code du travail)
les atteintes aux libertés individuelles et collectives d’un salarié doivent être justifiées et proportionnées
les salariés et l’usage du numérique au travail
information des salariés → charte informatique
consultation du poste du salarié = licite SAUF documents identifiés comme "personnels"
surveillance de l'activité des salariés = vidéosurveillance, badgeuse, géolocalisation
l’employeur doit respecter des règles
les représentants du personnel doivent être consultés
l’objectif de l’outil doit être déclaré et licite
l’utilisation de l’outil doit être proportionné à son objectif
les salariés doivent être informés de la mise en place de l’outils