Que dit la législation?

La loi sur la vie privée (1) a pour objectif de protéger le citoyen contre l’utilisation abusive de ses données personnelles. Elle décrit aussi bien les droits et les obligations de la personne dont les données sont traitées que les droits et obligations de celle qui les traite.

Par données à caractère personnel, la législation relative à la protection de la vie privée entend « toute information concernant une personne physique identifiée ou identifiable ». Est répertoriée comme identifiable une personne qui peut être identifiée directement ou indirectement par des éléments propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

Concrètement, ces données sont notamment: le nom d'une personne, une photo, un numéro de téléphone (même un numéro de téléphone au travail), un code, un numéro de compte bancaire, une adresse e-mail, une empreinte digitale, …

Quelles sont les conditions assorties à l'utilisation de données personnelles?

Une donnée sera considérée comme anonyme que si il n’existe pas de moyen raisonnable (une possibilité technique même abstraite) d’identifier la personne concernée, soit dans le chef du responsable du traitement, soit même par un tiers.

Le responsable du traitement ne peut traiter les données à caractère personnel (c-à-d les collecter, les utiliser, les gérer, les communiquer) que s’il répond à une série de conditions.

• Il ne peut pas collecter et utiliser les données à caractère personnel sans indiquer dans quel objectif précis il le fait. Le responsable doit définir cet objectif dès le départ, ce qui détermine le traitement ultérieur des données. Le responsable qui utilise des données pour d'autres finalités incompatibles avec la finalité initiale est punissable.
• Le responsable ne peut pas poursuivre n'importe quel objectif. Il doit s'agir d'un objectif légitime. Cela signifie que les intérêts du responsable du traitement doivent être en équilibre avec les intérêts de la personne concernée. Une finalité susceptible de porter atteinte à la vie privée de la personne concernée n’est pas une finalité légitime. Par exemple : la constitution d'un fichier reprenant des personnes qui approchent des soixante ans en vue de leur envoyer, lors de leur soixantième anniversaire, de la documentation sur une assurance obsèques "parce qu'il est temps d'y penser", n'est pas une finalité légitime. Le préjudice subi par ces personnes dans ce cas est indubitablement plus grand que l'intérêt commercial de la personne qui constitue le fichier.
• Il ne peut traiter les données que si :
  • la personne concernée a donné son consentement de manière libre, explicite et informée ;
  • le traitement est nécessaire à l'exécution d'un contrat que la personne concernée a conclu avec le responsable (ex. une banque qui a concédé un prêt hypothécaire) ;
  • la loi l'exige. L'employeur est par exemple obligé de communiquer à la sécurité sociale certaines données relatives à son personnel ;
  • le traitement est d'un intérêt vital pour la personne concernée. Par exemple, lorsqu'on récolte des données médicales relatives à une victime d'accident inconsciente afin de pouvoir lui prodiguer des soins ;
  • le traitement doit être effectué pour exécuter une mission d'intérêt public. Ainsi, la Poste a le droit de constituer un fichier avec les changements d'adresse de ses clients afin de pouvoir leur faire suivre leur courrier après le déménagement ;
  • ou si le traitement de données est nécessaire à la réalisation d'un intérêt légitime du responsable ou d'une autre personne, à condition que ne prévalent pas les intérêts de la personne concernée.

Quid des données sensibles?

Certaines données sont si délicates qu'elles ne peuvent être traitées que dans des cas très spécifiques. Les noms et adresse sont plutôt des données anodines, mais ce n'est pas le cas pour la race, la santé, les opinions politiques, les convictions philosophiques (croyant ou athée, etc.), les préférences sexuelles ou le passé judiciaire.

En principe, il est donc interdit de collecter, d’enregistrer ou de demander à pouvoir communiquer les données sensibles déjà citées, sauf quelques exceptions. Le responsable peut traiter des données sensibles (à l'exception des données judiciaires) :

• s'il a obtenu le consentement écrit de la personne concernée ;
• si c'est indispensable pour prodiguer les soins nécessaires à la personne concernée;
• si la législation du travail ou l'application de la sécurité sociale l'impose ;
• si la personne concernée elle-même a rendu les données publiques ;
• si c'est nécessaire en vue de l'établissement, de l'exercice ou de la défense d'un droit ;
• ou si c'est nécessaire dans le contexte d'une recherche scientifique.

Les données judiciaires (relatives à des suspicions, des poursuites et des condamnations, casier judiciaire) ne peuvent être traitées que si:

• la loi où la réglementation le permet;
• ou encore lorsqu'elles sont nécessaires à la gestion par le responsable du traitement de son propre contentieux = phase immédiatement préliminaire à un procès.

Questions relatives à la vie privée du candidat

La CCT nr. 38 impose à l’employeur l’obligation de respecter la vie privée du candidat à l’embauche (2). Elle interdit dès lors les questions qui n’ont pas de rapport avec la fonction à pourvoir. Par exemple, les questions relatives au domaine de la conviction ou des pratiques religieuses, l’origine, la conviction syndicale ou politique (hormis lorsque ces questions sont en rapport avec l’exercice des fonctions à pourvoir). Cette règle ne s’applique pas uniquement à l’employeur mais également aux personnes qui participent au nom de l’employeur à la sélection: médecin ou psychologue par exemple.

Il s’agit cependant uniquement d’une recommandation: elle n'est pas juridiquement contraignante dans la mesure où la disposition de l’article 11 de la CCT nr. 38 n’a pas été déclarée obligatoire à l’encontre des employeurs individuels. Concrètement, cela signifie que les partenaires sociaux se sont uniquement engagés à promouvoir le respect de ces règles de conduite et, notamment, à respecter la vie privée des candidats travailleurs. 

Les règles relatives au respect de la vie privée restent toutefois d'application pour les employeurs individuels. Un juge pourrait en outre utiliser les recommandations de la CCT nr. 38 ou du Code de conduite qu’elle contient comme justification pour mettre en cause la responsabilité civile de l’employeur (3) sur base d’un comportement fautif de sa part (4).

Un employeur peut donc être tenu civilement responsable du non-respect de la vie privée d’un candidat travailleur dès lors que le fait de poser ce type de questions ne peut être justifié de manière raisonnable compte tenu de la nature de la fonction à pourvoir et du contexte de son exercice.

Ces règles sont également applicables hors du champ d’application strict de la CCT nr. 38, par exemple, dans le champ de la fonction publique (voir le jugement du tribunal du travail d’Anvers du 30 juin 2004).

(1) Loi du 8 décembre 1992

(2) art. 11

(3) art 1382CC

(4) théorie de la faute contractuelle