La conformité au Règlement Général sur la Protection des Données (RGPD) est un véritable enjeu  pour les entreprises, en particulier pour les petites et moyennes entreprises (TPE/PME). Une récente décision de la Cour de Justice de l’Union Européenne (CJUE) a apporté des clarifications importantes sur la responsabilité du responsable de traitement en cas de violation du RGPD par un salarié. Cet article examine cette décision et ses implications pour les entreprises.

Une violation du RGPD, par faute d’un salarié

L’affaire à l’origine de cette décision se déroule en Allemagne, et implique un avocat, client d’une société gérant une base de données juridique. Cet avocat avait exercé son droit d’opposition, afin que ses données personnelles ne soient plus utilisées à des fins de prospection commerciale. 

Cependant, continuant à recevoir de la prospection malgré son opposition, l’avocat a intenté une action en justice contre la société pour obtenir réparation du préjudice subi, en particulier la perte de contrôle sur ses données personnelles.

Pour sa défense, la société a admis disposer d’un système de gestion des oppositions, mais a attribué la prise en compte tardive des oppositions de l’avocat à une erreur commise par un de ses salariés, qui n’avait pas suivi les instructions internes.

Cet article pourrait également vous intéresser : Utiliser la vidéosurveillance (même illicite) pour prouver la faute d’un salarié ? Les juges confirment que c’est possible.

La Solution de la CJUE

Fondements juridiques

Selon l’article 82 du RGPD, toute personne ayant subi un dommage matériel ou moral en raison d’une violation du règlement a droit à réparation de la part du responsable de traitement ou du sous-traitant. Le responsable de traitement peut être exonéré de sa responsabilité s’il prouve que le dommage n’est en rien imputable à sa faute.

La question soumise à la CJUE

La question posée à la CJUE était de savoir si le responsable de traitement pouvait être exonéré de sa responsabilité en invoquant la défaillance d’un salarié agissant sous son autorité.

Décision de la CJUE

La CJUE a jugé que le responsable de traitement ne peut pas se dégager de sa responsabilité simplement en invoquant une négligence ou un manquement d’un salarié. Selon la Cour, il incombe au responsable de traitement de s’assurer que ses instructions sont correctement appliquées par ses salariés. Pour échapper à sa responsabilité, le responsable de traitement doit démontrer qu’il n’y a aucun lien de causalité entre la violation de l’obligation de protection des données et le dommage subi par la personne concernée.

Implications pour les TPE/PME

Cette décision de la CJUE a des implications majeures pour les TPE et PME :

1. Vigilance accrue : Les entreprises doivent être particulièrement vigilantes dans la mise en œuvre des mesures de protection des données. Il ne suffit pas de disposer de procédures internes ; il faut également s’assurer qu’elles sont effectivement respectées par tous les employés.

2. Formation et sensibilisation : Les responsables de traitement doivent investir dans la formation et la sensibilisation des employés à la protection des données personnelles. Une formation régulière et des rappels fréquents peuvent aider à réduire les risques de violations par négligence ou par méconnaissance des procédures.

Cet article pourrait également vous intéresser : RGPD et entreprise : Un CSE obligé de prouver sa conformité auprès d’un syndicat !

3. Contrôle et Supervision : Une supervision efficace et des contrôles réguliers sont essentiels pour vérifier que les instructions et les procédures sont correctement appliquées. Les responsables de traitement doivent mettre en place des mécanismes de contrôle pour détecter et corriger rapidement toute défaillance.

4. Responsabilité Inévitable : En cas de violation du RGPD, le responsable de traitement ne peut échapper à sa responsabilité en invoquant simplement l’erreur d’un salarié. Il doit prouver l’absence de lien de causalité entre la violation et le dommage, ce qui peut être très difficile.

Conclusion

La décision du 11 avril 2024 (affaire C-741/21) de la CJUE rappelle aux responsables de traitement l’importance d’une gestion rigoureuse et proactive des données personnelles. Pour les TPE et PME, cette décision souligne la nécessité de mettre en place des mesures robustes et de s’assurer qu’elles sont effectivement suivies par tous les employés. En fin de compte, la responsabilité du traitement des données repose sur les épaules du responsable de traitement, qui doit garantir la protection des données personnelles de manière effective et continue.