Article 88 du RGPD : Traitement de données dans le cadre des relations de travail
Sommaire
Introduction
L’article 88 du RGPD permet aux États membres d’adopter des règles plus spécifiques, par la loi ou par des conventions collectives, pour protéger les droits et libertés des employés lors du traitement de leurs données personnelles dans le contexte professionnel
Explication de l’article
Le RGPD prévoit que les États membres peuvent adopter des règles spécifiques encadrant le traitement des données personnelles dans le cadre des relations de travail. Ces règles peuvent être définies par la loi, un règlement ou une convention collective. Elles s’appliquent à différentes situations professionnelles : recrutement, exécution du contrat de travail, gestion du personnel, sécurité et santé au travail, respect de l’égalité et de la diversité, protection des biens de l’entreprise ou encore rupture du contrat. L’objectif est double : garantir la transparence des traitements tout en protégeant les droits fondamentaux des salariés, notamment leur dignité et leur vie privée. Ces règles doivent également encadrer les éventuels transferts de données vers des tiers.
Texte original du RGPD
1. Les États membres peuvent prévoir, par la loi ou au moyen de conventions collectives, des règles plus spécifiques pour assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, aux fins, notamment, du recrutement, de l’exécution du contrat de travail, y compris le respect des obligations fixées par la loi ou par des conventions collectives, de la gestion, de la planification et de l’organisation du travail, de l’égalité et de la diversité sur le lieu de travail, de la santé et de la sécurité au travail, de la protection des biens appartenant à l’employeur ou au client, aux fins de l’exercice et de la jouissance des droits et des avantages liés à l’emploi, individuellement ou collectivement, ainsi qu’aux fins de la résiliation de la relation de travail.
2. Ces règles comprennent des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises, ou d’un groupe d’entreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur le lieu de travail.
3. Chaque État membre notifie à la Commission les dispositions légales qu’il adopte en vertu du paragraphe 1 , au plus tard le…[deux ans à compter de la date d’entrée en vigueur du présent règlement] et, sans tarder, toute modification ultérieure les concernant.
Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Pas de disposition correspondante
Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté).
Pas de disposition spécifique
Analyse des 3 textes qui précèdent
L’article 88 du RGPD permet aux États membres d’établir des règles plus spécifiques par la loi ou par des conventions collectives pour protéger les droits et libertés des personnes dans le cadre du traitement des données relatives aux employés, et ce dans les relations de travail. Cela couvre des finalités variées comme le recrutement, l’exécution du contrat, la gestion du travail, l’égalité et la diversité, la santé et la sécurité, et la résiliation du contrat. [Texte RGPD article 88 paragraphe 1]
Aucune disposition similaire au sein de la Directive 95/46/CE et de la Loi Informatique et Libertés en France.
Jurisprudences
Européennes
C-34/21 (30 mars 2023) – Hauptpersonalrat der Lehrerinnen und Lehrer
La décision renforce l’idée que les règles nationales plus spécifiques ne peuvent affaiblir les principes généraux du RGPD et imposent un cadre de contrôle solide pour évaluer la nécessité et la proportionnalité des traitements liés au travail. Les employeurs et DPO peuvent s’appuyer sur cet arrêt pour argumenter que toute règle interne ou convention collective doit demeurer compatible avec les piliers du RGPD et faire l’objet d’un contrôle juridique rigoureux lorsque des exceptions existent.
C-65/23 (19 décembre 2024) – K GmbH (Traitement de données personnelles des employés)
La décision souligne que les règles nationales adoptées au titre de l’article 88 doivent non seulement respecter les obligations générales du RGPD (article 5 sur les principes, article 6 sur la licéité, et article 9 sur le traitement des catégories spécifiques de données) mais aussi être compatibles avec les autres exigences du RGPD.
Le cadre indique que si une convention collective entre dans le champ d’application de l’article 88, le contenu et le cadre « nécessaire » du traitement des données des salariés doivent être soumis à un contrôle juridictionnel complet, afin de vérifier que les garanties et les finalités restent conformes au RGPD.
Implications: Cette décision fortifie l’idée que les dérogations ou régimes plus spécifiques au travail doivent être étayés par des fondements juridiques solides et par des garanties suffisantes. Les employeurs et leurs conseils juridiques doivent s’assurer que les dispositifs internes et les conventions collectives respectent strictement les principes et droits RGPD et qu’ils soient vérifiables par les autorités et les tribunaux.
Recommandations
G29
Avis sur le traitement des données sur le lieu de travail – 2/2017 (8 juin 2017)