L’article L.1222-2 du Code du travail prévoit que « les informations demandées, sous quelque forme que ce soit, à un salarié ne peuvent avoir comme finalité que d'apprécier ses aptitudes professionnelles » et que « ces informations doivent présenter un lien direct et nécessaire avec l'évaluation de ses aptitudes ».

Ces informations peuvent être demandées à tout moment de la relation professionnelle, tant lors de l’embauche qu’au cours de l’exécution du contrat de travail. En pratique, les entretiens professionnels sont l’occasion de collecter des informations qui auront vocation à être utilisées dans le cadre de l’appréciation et de l’évaluation des aptitudes professionnelles du collaborateur.

Ainsi, le fichage des salariés est, en principe, autorisé et l’employeur peut donc tenir un registre contenant des informations sur ses collaborateur. Néanmoins, en vertu des principes rappelés à l’article 5 du RGPD, ces données doivent être traitées de manière licite, loyale et transparente. Ces données doivent également être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités déterminées, explicites et légitimes pour lesquelles elles sont traitées.

Dès lors, le fait d’adjoindre aux documents collectés pour des motifs professionnels des appréciations non professionnelles mais personnelles et subjectives, est illégal.

La sanction peut être alors particulièrement élevée, comme nous le rappelle le Tribunal de Brive-La-Gaillarde.

Dans cette affaire, une DRH d’un grand groupe de construction était en possession d’un fichier visant 180 salariés comprenant un ensemble de commentaires dégradants et personnels sur les salariés de l’entreprise tels que : « fainéant », « mytho », « élu syndical pas possible de la licencier », « suspicion d’alcoolisme », etc.

En matière de traitement de données de manière illicite, le risque pénal est, au regard des articles 226-16 et suivants du Code pénal, de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Ayant eu recours à la procédure de comparution sur reconnaissance préalable de culpabilité, ou procédure de plaider-coupable, la DRH a reconnu les faits qui lui étaient reprochés et a été condamnée à six mois de prison avec sursis sans inscription au casier judiciaire. 

Il est donc impératif pour les sociétés de réaffirmer la responsabilité qui pèse sur les salariés, responsables du traitement, et de veiller au respect de la collecte, du traitement et de la conservation des données personnelles sous peine de faire l’objet de sanctions importantes.