- Le tribunal a constaté une violation de l’article 15 du RGPD en raison d’une information tardive et incomplète et a accordé des dommages et intérêts de 5 000 euros.
- Le responsable n’est pas tenu de procéder à des perquisitions informatiques d’une ampleur disproportionnée en cas d’indications non étayées de l’employé.
- Outre le préjudice moral, la capacité financière du responsable et des considérations de proportionnalité entrent en ligne de compte pour déterminer le montant des dommages et intérêts.
Le 5 mars 2019, le tribunal du travail de Düsseldorf a statué sur une affaire concernant les droits à l’information et à l’indemnisation dans le cadre de la relation de travail (Jugement du 5 mars 2020, 9 Ca 6557/18). Le tribunal a considéré qu’il était prouvé que l’employeur avait violé l’article 15 du RGPD en fournissant des informations tardives et de surcroît incomplètes.
Le tribunal a tout de même retenu que le responsable n’est pas tenu, en tout cas en cas d’indications non étayées de l’employé, de fouiller toute l’infrastructure informatique à la recherche d’éventuelles données personnelles et d’en remettre une copie, parce que le principe de la bonne foi s’applique et qu’il n’est donc pas exigé du responsable un effort disproportionné en soi. De même, peu de temps auparavant, le Décision du tribunal de Heidelberg.
Le tribunal a accordé au requérant des dommages-intérêts au titre de l’article 82 du RGPD pour un montant total de 5 000 euros en raison des violations.. Le travailleur avait demandé 143.482,81 euros. Le tribunal a tenu compte du fait que
- le droit d’accès est important,
- l’infraction a duré quelques mois (bien que le délai de réponse prévu par l’article 12, paragraphe 3, du RGPD puisse aller jusqu’à trois mois),
- le droit d’accès a été violé non seulement dans le temps, mais aussi dans son contenu,
- l’employeur réalise un “chiffre d’affaires considérable”,
Comme les dommages-intérêts doivent avoir un effet approprié, leur montant dépend non seulement du préjudice moral subi, mais aussi de la personne responsable selon l’art. 4 ch. 7 E. responsable et de sa capacité financière. En d’autres termes : La violation de l’obligation d’information de l’art. 15 E. par un responsable financièrement plus faible entraînerait des dommages-intérêts moins élevés.
- mais qu’il fallait partir du principe que les infractions étaient commises par négligence,
- aucune autre infraction n’est connue de l’employeur,
- le montant de la rémunération du requérant n’était pas pertinent,
- des catégories particulières de données personnelles n’étaient pas “substantiellement concernées”,
- la proportionnalité doit être respectée,
- et que le préjudice moral subi par le requérant n’est “pas important”.
En conséquence, le tribunal a fixé l’indemnisation à 500 euros pour chacun des deux premiers mois de retard, à 1 000 euros pour chacun des trois mois suivants environ et à 500 euros pour chacun des deux défauts de contenu de l’information.
Législation nationale divergente n’existe pas sur ce point et n’est pas non plus admissible, car la réglementation des droits des personnes concernées du RGPD est exhaustive à cet égard :
aa) D’une part, le requérant fait valoir le droit à l’information en vertu de l’article 15, paragraphe 1, première phrase, E., visant à savoir si des données à caractère personnel du requérant sont traitées par la défenderesse. Les droits prévus au chapitre III de l’E., directement applicable en vertu de l’article 288, paragraphe 2, TFUE, existent également dans la relation de travail. Ces dispositions générales de l’E. contiennent une réglementation complète, y compris sur la protection des données des employés (voir LAG Baden-Württemberg 20 décembre 2018 – 17 Sa 11/18 – point 172). Une dérogation pertinente à cette règle au sens de l’art. Aucune dérogation à l’article 88 E. n’a été présentée ou n’est apparue.
La demande d’information visant à savoir si d’autres personnes et entreprises traitaient des données personnelles du requérant a tout d’abord été rejetée :
Un tel droit à l’information n’existe pas, notamment en vertu de l’article 15, paragraphe 1, première phrase du projet de loi. Le droit est dirigé contre le responsable au sens de l’art. 4 E. Celui-ci doit fournir des informations sur le traitement des données qu’il effectue. Cette disposition ne prévoit pas d’obligation de communiquer les traitements de données effectués par des tiers sous leur propre responsabilité.
Le critère déterminant est alors l’état des données au moment de la demande d’accès:
(a) Le responsable du traitement n’est en principe pas tenu de fournir des informations sur des données qu’il a traitées une fois dans le passé et dont il ne dispose éventuellement plus. D’autre part, il ne doit pas pouvoir se soustraire à l’obligation d’information en effaçant les données. L’étendue de la demande d’information est en principe déterminée par l’état des données au moment de la demande d’information (Bäcker, in Kühling/Buchner, E./BDSG, 2e édition, art. 15, point 8 avec références).
Déclencheur de délai pour l’information, au moment où la demande d’information est transmise au responsable – ou, dans ce cas, à un mandataire chargé de la réception, à savoir l’exploitant de la réception – selon les principes du droit civil a été reçu. Ce délai n’a pas été respecté dans le cas présent.
L’employeur avait fourni des informations, mais pas en conformité avec les principes de l’article 15 du RGPD :
La défenderesse déclare […] que le traitement de données aux fins de la relation d’emploiLa partie requérante fait valoir que le traitement des données à caractère personnel a lieu dans le cadre de l’exécution et de la cessation de la relation contractuelle, pour remplir des obligations légales existantes et pour défendre des intérêts légitimes conformément à l’article 26 de la loi fédérale sur la protection des données et à l’article 6, paragraphe 1, points (b,) c et f, du règlement. La défenderesse donne ainsi indique de manière globale presque toute la gamme des buts évidents dans les relations de droit privé, sans communiquer concrètement et en détail les objectifs poursuivis.
La transparence insuffisante est renforcée par le fait que la défenderesse renvoie en premier lieu à une annexe “I. […] La La référence à une annexe, a fortiori si elle comporte des centaines de pages, ne remplace pas une communication en termes de forme et de langue, conformément à l’article 12, paragraphe 1, première phrase, du projet de loi.
En revanche, le tribunal constate que l’employeur n’était pas tenu d’enquêter sur des affirmations non fondées selon lesquelles il y aurait d’autres données personnelles, des ordinateurs portables, des téléphones, etc. Le responsable n’est pas tenu de fournir un effort disproportionné pour la recherche de données personnelles.:
cc) Dans la mesure où, dans son mémoire du 21 janvier 2019, le requérant fait en outre valoir de manière non étayée que des supérieurs hiérarchiques et des collègues ont enregistré des données le concernant sur des ordinateurs portables, des téléphones, etc., que les données ont été diffusées plus loin, qu’elles ont été lues dans les systèmes informatiques de la défenderesse et nouvellement enregistrées de manière centralisée et que de nombreux courriels le concernant se trouvent sur les serveurs, il n’existe pas non plus de droit à la remise des copies de ces données. Les efforts déployés pour rechercher les données à caractère personnel du requérant en rechercher tous les serveurs, bases de données, applications web, boîtes aux lettres électroniques, structures de répertoire, supports de stockage, smartphones, ordinateurs portables et divers autres terminaux de la défenderesse, ainsi que tous les supérieurs hiérarchiques et collègues du demandeurPour pouvoir en délivrer une copie, il est écrit disproportionnée par rapport à l’intérêt de la prestation du requérant. Étant donné que le principe de bonne foi s’applique à l’ensemble du traitement des données en vertu de l’article 8, paragraphe 2, phrase 1 de la CCR et de l’article 5, paragraphe 1, lettre a E, n’exige pas en soi un effort disproportionné de la part du responsable du traitement (Franck, in Gola, E., 2e éd., art. 15, point 38).