Pour faire face à la propagation du Covid-19, les entreprises et les autorités publiques sont contraintes de prendre des mesures internes de prévention en matière d'organisation du travail (horaires flexibles, télétravail, report des fêtes du personnel, ...) ainsi que de sensibilisation à la distanciation sociale et à l'hygiène sur le lieu de travail. Toutefois, dès lors que ces mesures s'accompagnent d'un traitement de données à caractère personnel, l’employeur a l’obligation de respecter les dispositions du RPGD en la matière.
Comment concilier ses obligations (i) de prendre des mesures préventives et (ii) de se conformer au RGPD ?
Afin de fournir des lignes directrices aux employeurs, l’Autorité de protection des données (APD) a récemment publié sur son site une communication dédiée au traitement des données à caractère personnel sur le lieu de travail.
L’APD rappelle notamment que :
- même dans le cadre de la prise de mesures sanitaires préventives, le principe général est que tout traitement de données à caractère personnel doit reposer sur une des bases de légitimité ;
- l'évaluation des risques pour la santé ne doit pas être effectuée par les entreprises et les employeurs, mais par le médecin du travail ;
- Toute mesure impliquant un traitement de données à caractère personnel doit tenir compte du principe de proportionnalité et du principe de minimisation (les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire en lien avec la finalité pour laquelle elles sont traitées) ;
- les entreprises doivent être transparentes par rapport aux mesures prises et informer suffisamment leurs travailleurs et leurs visiteurs à propos des finalités de traitement et de la durée de conservation des données à caractère personnel collectées.
Elle conclut en répondant à une série de questions posées fréquemment (FAQ).
N’hésitez pas à nous contacter si vous vous posez une quelconque question quant à l’implémentation de mesures de prévention au sein de votre organisation !