Quel est l’impact de la loi sur la recherche privée sur votre conformité au RGPD ? 

Pourquoi la loi sur la recherche privée est-elle aussi une question de RGPD ?

La législation remplacée par la loi sur la recherche privée datait de 1991, soit plus de vingt ans avant l’entrée en application du RGPD. Il n’est donc pas surprenant que ce texte ait été largement dépassé et ne soit plus adapté aux exigences actuelles en matière de protection des données. L’un des objectifs de la nouvelle loi était précisément de remédier à cette situation. Elle confirme ainsi expressément que le RGPD reste pleinement applicable, sauf lorsqu’elle fait usage de la marge de manœuvre laissée aux États membres par ce règlement.

Sur le papier, c’est très prometteur. En pratique, sa mise en œuvre soulève toutefois presque autant de questions qu’elle n’en résout, voire davantage. L’Autorité de protection des données avait déjà rendu un avis sur le projet de loi en 2020 et formulé plusieurs objections, mais celles-ci n’ont pas été prises en compte sur les points essentiels.

La loi Recherche privée est donc une loi qui veut garantir le respect du RGPD, mais qui va justement à son encontre à plusieurs endroits. Nous expliquons ci-dessous quelles peuvent être les conséquences pour votre organisation.

2. Quel est l’impact de la loi Recherche privée sur la conformité au RGPD au sein de votre organisation ?

Vous devez obligatoirement désigner un DPO, même si le RGPD ne l’exige pas

La loi sur la recherche privée impose à chaque entreprise ou service interne de recherche privée de désigner un délégué à la protection des données (DPO ou DPD). Cette obligation s’applique quelle que soit la taille de votre organisation ou le nombre d’enquêtes menées, même si le RGPD ne vous imposait pas jusqu’ici de désigner un DPO. Pour déterminer si vous disposez d’un tel service interne, le mieux est de lire notre autre article. Le seuil est plus bas que vous ne le pensez.

Votre documentation doit éventuellement être (ré)examinée

La loi Recherche privée exige que vous rédigiez et teniez à jour un certain nombre de documents. Il s’agit avant tout :

• du règlement de recherche, que vous disposiez ou non d’un service interne ;
• du document de mission ou du registre des missions lorsque vous êtes, en tant que donneur d’ordre, l’employeur de l’enquêteur.

Ces documents sont davantage liés à vos obligations RGPD et à votre documentation existante qu’il n’y paraît. En effet, les enquêtes privées impliquent également le traitement de données à caractère personnel. Or, votre organisation dispose probablement déjà de politiques relatives, par exemple, au contrôle des e-mails ou de l’utilisation d’internet, qui peuvent être directement concernées par ces enquêtes. Il est donc utile de réexaminer ces documents et de les adapter si nécessaire, afin de garantir leur cohérence avec les nouvelles exigences applicables aux enquêtes privées.

Pensez par exemple à :

• la politique de sécurité de l’information ;
• le règlement relatif aux caméras ;
• la politique relative aux e-mails ou à internet (p. ex. en ce qui concerne leur contrôle) ;
• la politique de géolocalisation ;
• le registre des activités de traitement (p. ex. ajouter de nouveaux destinataires, car un nouveau responsable du traitement signifie aussi un nouveau destinataire) ;
• les mesures de sécurité techniques et organisationnelles ;
• la politique d’accès (p. ex. limiter l’accès aux dossiers d’enquête) ;

Il arrive régulièrement que certains documents soient manquants, que les documents existants ne soient pas cohérents entre eux ou, plus souvent encore, qu’ils ne soient tout simplement pas appliqués dans la pratique.

Tenez compte des nouveaux responsables du traitement au sein de votre organisation

La loi sur la recherche privée désigne trois responsables du traitement :

• le service interne, pour les données qu’il collecte et traite ;
• la personne qui accepte la mission d’enquête, pour les informations qu’elle rapporte ;
• le donneur d’ordre, pour les données qu’il fournit et l’utilisation qu’il fait ensuite du rapport d’enquête.

Cette qualification se justifie dans le cas d’une entreprise externe de recherche privée. Elle est toutefois moins évidente lorsqu’il s’agit d’un service interne. En effet, les personnes concernées sont généralement des travailleurs qui traitent des données sur le réseau informatique de leur employeur et conformément à ses instructions. Au regard du RGPD, elles agissent sous l’autorité du responsable du traitement et ne peuvent donc pas être considérées comme des responsables du traitement distincts. En tant qu’employeur, vous ne pouvez généralement pas vous décharger de votre responsabilité sur votre propre service interne ou sur vos enquêteurs.

L’Autorité de protection des données a été claire à ce sujet dans son avis : même lorsqu’un enquêteur privé dispose d’une large marge d’appréciation, il ne peut pas être considéré comme responsable conjoint du traitement avec son employeur. Elle a ajouté qu’en cas de plainte, elle ne s’estimerait pas liée par ces qualifications. À la suite de cet avis, l’enquêteur privé a été retiré de la liste, mais le reste a été maintenu.

Si vous retenez malgré tout la qualification prévue par la loi, bien qu’elle soulève certaines interrogations, il est recommandé de conclure un accord entre les parties afin de préciser leurs responsabilités respectives au regard du RGPD. Cette répartition doit également être communiquée de manière transparente aux personnes concernées. Le règlement de recherche, dont la rédaction est de toute façon obligatoire, constitue le support le plus approprié pour formaliser cet accord. À cela s’ajoutent les obligations habituelles en matière de conformité au RGPD, évoquées précédemment.

Gardez cependant à l’esprit que cette qualification peut considérablement alourdir les obligations de votre service interne. En effet, selon une interprétation littérale de la loi, ce service devrait assumer l’ensemble des obligations qui incombent à un responsable du traitement : tenir son propre registre des activités de traitement, informer les personnes concernées de leurs droits, mettre en place des mesures techniques et organisationnelles appropriées, etc. En pratique, cette approche semble difficilement applicable.

Vous devez déterminer comment gérer le consentement exigé par la loi sur la recherche privée

Si vous contrôlez l’utilisation des e-mails ou d’internet par vos collaborateurs, vous ne le faites probablement pas sur la base de leur consentement, mais dans le cadre de votre pouvoir de surveillance en tant qu’employeur. Il est en effet reconnu depuis longtemps que le consentement est difficilement considéré comme libre dans le cadre d’une relation de travail, en raison du déséquilibre entre l’employeur et le travailleur. Ce pouvoir de surveillance est encadré par le RGPD et par les conventions collectives de travail, notamment la CCT n° 81 relative au contrôle des communications électroniques en réseau et la CCT n° 68 relative à la surveillance par caméras sur le lieu de travail.

Or, à plusieurs endroits, la loi sur la recherche privée exige justement un consentement, par exemple pour un entretien avec un collaborateur dans le cadre d’une enquête.

La consultation de fichiers internes soulève une difficulté supplémentaire. La loi sur la recherche privée prévoit qu’un enquêteur ne peut pas consulter de données à caractère personnel provenant de « fichiers automatisés non accessibles au public » sans le consentement de la personne concernée et du responsable du traitement. La loi ne précise toutefois pas ce que recouvre exactement cette notion. L’Autorité de protection des données l’interprète comme désignant une « base de données ». Selon une interprétation large, le réseau informatique de votre entreprise, y compris les e-mails, le trafic internet et les images de vidéosurveillance, pourrait également entrer dans cette définition.

En pratique, le contrôle des e-mails et de l’utilisation d’internet est toutefois déjà encadré par la CCT n° 81, mentionnée précédemment.

La gestion du consentement exigé par la loi sur la recherche privée nécessite donc une approche pragmatique, que nous présentons brièvement ci-dessous.

Vous devez informer les personnes concernées de leurs droits RGPD avant de pouvoir donner suite au rapport d’enquête

Comme nous l’indiquions dans notre autre blog, un rapport final est établi à l’issue de l’enquête interne, après quoi vous disposez de 30 jours pour décider si vous y donnez suite.

Si vous décidez d’y donner suite, la loi Recherche privée vous interdit d’utiliser les informations du rapport d’enquête tant que les personnes concernées n’ont pas pu exercer leurs droits, comme le droit d’accéder à leurs données, de les compléter ou de les faire rectifier. Pour que les personnes concernées puissent exercer ces droits, elles doivent d’abord être informées par écrit.

Cette obligation soulève régulièrement des questions en pratique, notamment lorsqu’un employeur souhaite licencier la personne visée par l’enquête pour motif grave. Dans notre autre article, nous expliquons comment cette obligation s’articule avec le délai de trois jours ouvrables applicable au licenciement pour motif grave.

Vous devez supprimer les informations d’un rapport d’enquête auquel vous ne donnez pas suite

Si vous ne donnez pas suite au rapport d’enquête mentionné ci-dessus, vous ne pouvez plus utiliser les informations qu’il contient. Les rapports concernés doivent donc être détruits et aucune information n’est communiquée à la personne visée par l’enquête.

Si la suppression de ces informations est envisageable en pratique, elle peut néanmoins sembler surprenante au regard du RGPD. En effet, un traitement potentiellement important de données à caractère personnel peut avoir eu lieu sans que la personne concernée en soit jamais informée.

Cette situation a des conséquences concrètes sur votre politique de conservation des données, puisque trois délais de conservation distincts s’appliquent à un même dossier. Le dossier d’enquête doit être conservé pendant trois ans, puis détruit par l’entreprise ou le service interne de recherche privée. Le registre des missions d’enquête doit quant à lui être conservé pendant cinq ans par l’enquêteur privé. Enfin, l’entreprise, en sa qualité de donneur d’ordre, peut conserver les données pendant la durée nécessaire à la poursuite de son intérêt légitime ou au respect d’une obligation légale de conservation. L’Autorité de protection des données avait recommandé un délai de conservation de cinq ans pour le dossier d’enquête, les infractions aux règles de protection des données ne se prescrivant qu’après cinq ans. Une plainte pourrait donc encore être introduite alors que le dossier aurait déjà été détruit. Cette recommandation n’a toutefois pas été suivie par le législateur.

3. Comment gérer concrètement le consentement exigé par la loi sur la recherche privée ?

Comment demander le consentement pour un entretien avec un travailleur ?

Pour les entretiens avec les travailleurs, le mieux est de travailler avec un règlement de recherche bien défini ainsi que d’un formulaire d’information et de consentement.

Vous devez notamment communiquer au préalable :

• que la personne concernée n’est pas tenue de répondre,
• qu’elle peut relire et corriger le procès-verbal,
• qu’elle n’est pas tenue de le signer,
• qu’elle peut mettre fin à l’entretien à tout moment, et
• qu’elle peut se faire assister par une personne de son choix.

Précisez explicitement qu’un refus n’entraîne aucune conséquence négative, afin que ce consentement reste aussi libre que possible.

Comment demander le consentement pour consulter des e-mails, le trafic internet et des images de caméras ?

Pour le contrôle des e-mails et de l’utilisation d’internet, la réponse est moins évidente.

Une interprétation juridiquement défendable consiste à considérer que vous pouvez continuer à appliquer la CCT existante. Cette interprétation repose notamment sur une exception prévue par la loi elle-même : le consentement de la personne concernée n’est pas requis pour les données traitées dans le même but que l’enquête privée ou obtenues sur la base d’une autre réglementation, pour autant que le responsable du traitement concerné y consente.

Les travaux préparatoires confirment cette interprétation. Lorsqu’une autre loi autorise déjà le donneur d’ordre à utiliser certains moyens, l’enquêteur peut également y recourir.

Selon nous, il est juridiquement défendable de considérer que le contrôle des e-mails et du trafic internet reste possible, à condition de respecter la CCT applicable et le RGPD. C’est précisément pour cette raison que votre politique relative aux e-mails ou à l’utilisation d’internet et votre règlement relatif aux caméras doivent être examinés conjointement avec votre règlement de recherche.

Le Conseil national du Travail avait d’ailleurs explicitement demandé d’inscrire dans la loi que la surveillance réglée par des CCT nationales continue de se dérouler selon les règles de ces CCT. Cela n’a pas été fait.

Une interprétation stricte de la loi pourrait toutefois conduire à considérer qu’en cas de conflit, un consentement est nécessaire pour effectuer ce type de contrôle.

Que pouvez-vous faire dès maintenant ?

• Désignez un DPO si vous disposez d’un service interne de recherche privée et veillez à ce qu’il ne participe pas aux enquêtes qu’il est chargé de contrôler.
• Complétez votre registre des activités de traitement en y intégrant les enquêtes internes et les nouveaux destinataires des données.
• Veillez à ce que votre règlement relatif aux caméras, votre politique de contrôle des e-mails, votre politique de géolocalisation et vos autres politiques internes soient cohérents avec votre règlement de recherche.
• Intégrez les obligations d’information dans votre formulaire d’entretien et veillez à ce que leur respect soit documenté dans le procès-verbal.
• Harmonisez vos délais de conservation : trois ans pour le dossier d’enquête, cinq ans pour le registre des missions et un délai propre à votre organisation en tant que donneur d’ordre.

Conclusion

La loi sur la recherche privée visait non seulement à combler le vide juridique entourant les enquêtes internes, mais aussi à renforcer leur conformité au RGPD. Comme nous l’avons expliqué dans nos deux articles, cet objectif n’a été que partiellement atteint. Qu’il s’agisse de la répartition des responsabilités, du consentement dans le cadre d’une relation de travail, de l’articulation avec les CCT existantes ou des délais de conservation, la loi entre sur plusieurs points en contradiction avec les principes qu’elle entendait pourtant garantir.

Comme nous l’avons également souligné dans notre autre article, cela ne change toutefois rien à vos obligations. Les nouvelles exigences sont d’ores et déjà applicables et l’Autorité de protection des données a précisé qu’en cas de plainte, elle ne se considérerait pas liée par les qualifications prévues par cette loi.

N’envisagez donc pas vos enquêtes internes indépendamment du RGPD aujourd’hui, car elles interagissent bien plus que vous ne le pensez.