{"id":21048,"date":"2026-10-23T12:49:41","date_gmt":"2026-10-23T11:49:41","guid":{"rendered":"https:\/\/www.cranium.eu\/wat-is-de-impact-van-de-wpo-op-je-gdpr-compliance\/"},"modified":"2026-10-23T13:50:38","modified_gmt":"2026-10-23T12:50:38","slug":"quel-est-limpact-de-la-loi-sur-la-recherche-privee-sur-votre-conformite-au-rgpd","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/quel-est-limpact-de-la-loi-sur-la-recherche-privee-sur-votre-conformite-au-rgpd\/","title":{"rendered":"Quel est l&rsquo;impact de la loi sur la recherche priv\u00e9e sur votre conformit\u00e9 au RGPD ?\u00a0"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"21048\" class=\"elementor elementor-21048 elementor-21008\" data-elementor-settings=\"{&quot;element_pack_global_tooltip_width&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_padding&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true}}\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-3921566 e-con e-atomic-element e-flexbox-base e-default-div e-0e07e2b \" data-id=\"3921566\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"3921566\" data-e-type=\"e-flexbox\" data-id=\"3921566\">\n    \t\t<div class=\"elementor-element elementor-element-0e74572 elementor-widget elementor-widget-text-editor\" data-id=\"0e74572\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Points cl\u00e9s<\/h2>\n<ul>\n<li><strong>La loi sur la recherche priv\u00e9e visait \u00e0 s\u2019aligner sur le RGPD, mais cet objectif n\u2019a \u00e9t\u00e9 que partiellement atteint.<\/strong> La loi confirme que le RGPD reste pleinement applicable, tout en y ajoutant des r\u00e8gles sp\u00e9cifiques qui, sur plusieurs points, vont \u00e0 l\u2019encontre de sa logique. L\u2019Autorit\u00e9 de protection des donn\u00e9es avait d\u00e9j\u00e0 formul\u00e9 des objections \u00e0 ce sujet en 2020, mais celles-ci n\u2019ont pas \u00e9t\u00e9 prises en compte sur les points essentiels.<\/li>\n<li><strong>Vous devez d\u00e9signer un DPO, m\u00eame si le RGPD ne l\u2019exige pas.<\/strong> Chaque entreprise ou service interne de recherche priv\u00e9e doit disposer d\u2019un DPO, quelle que soit la taille de l\u2019organisation ou le nombre d\u2019enqu\u00eates men\u00e9es.<\/li>\n<li><strong>La loi r\u00e9partit les responsabilit\u00e9s entre trois parties, mais votre responsabilit\u00e9 reste engag\u00e9e<\/strong>. Dans le cas d\u2019un service interne, cette qualification est toutefois discutable, puisqu\u2019il s\u2019agit de travailleurs agissant sous l\u2019autorit\u00e9 de leur employeur. Il est donc recommand\u00e9 de pr\u00e9voir un accord pr\u00e9cisant les responsabilit\u00e9s de chaque partie et de l\u2019int\u00e9grer \u00e0 votre r\u00e8glement de recherche.<\/li>\n<li><strong>La loi exige un consentement alors que vos pratiques de contr\u00f4le reposent g\u00e9n\u00e9ralement sur le pouvoir de surveillance de l\u2019employeur<\/strong>. Cette exigence concerne notamment les entretiens avec les collaborateurs et pourrait \u00e9galement avoir des cons\u00e9quences sur le contr\u00f4le des e-mails, de l\u2019utilisation d\u2019internet et de la surveillance par cam\u00e9ras.<\/li>\n<li><strong>Trois d\u00e9lais de conservation diff\u00e9rents s\u2019appliquent \u00e0 un m\u00eame dossier<\/strong>. Trois ans pour le dossier d\u2019enqu\u00eate, cinq ans pour le registre des missions et un d\u00e9lai propre \u00e0 votre organisation en tant que donneur d\u2019ordre. Votre politique de conservation des donn\u00e9es doit tenir compte de ces diff\u00e9rentes exigences.<\/li>\n<\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-bbcd586 e-con e-atomic-element e-flexbox-base e-default-div e-a6e5639 \" data-id=\"bbcd586\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"bbcd586\" data-e-type=\"e-flexbox\" data-id=\"bbcd586\">\n    \t\t<div class=\"elementor-element elementor-element-2a0d1fd elementor-widget elementor-widget-text-editor\" data-id=\"2a0d1fd\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p style=\"font-weight: 400;\"><strong>Depuis le 16 d\u00e9cembre 2024, les enqu\u00eates internes portant sur les collaborateurs d\u2019organisations belges rel\u00e8vent de la loi r\u00e9glementant la recherche priv\u00e9e, \u00e9galement appel\u00e9e loi sur la recherche priv\u00e9e. Cette loi confirme express\u00e9ment que le RGPD reste applicable, tout en y ajoutant des r\u00e8gles sp\u00e9cifiques. Dans cet article, nous expliquons les cons\u00e9quences concr\u00e8tes de ces r\u00e8gles sur votre conformit\u00e9 au RGPD et les points sur lesquels elles entrent en contradiction avec sa logique.<\/strong><\/p>\n<p style=\"font-weight: 400;\"><strong>Vous souhaitez d\u2019abord savoir dans quels cas la loi sur la recherche priv\u00e9e s\u2019applique \u00e0 vos enqu\u00eates et comment \u00e9viter leur nullit\u00e9 ? Consultez notre<a href=\"https:\/\/www.cranium.eu\/fr\/recherche-privee-comment-eviter-la-nullite-de-vos-enquetes-internes\/\"> autre article.<\/a><\/strong><\/p>\n<p style=\"font-weight: 400;\">\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-cce7027 e-con e-atomic-element e-flexbox-base e-default-div e-e8dfe7c \" data-id=\"cce7027\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"cce7027\" data-e-type=\"e-flexbox\" data-id=\"cce7027\">\n    \t\t<div class=\"elementor-element elementor-element-9e525bb elementor-widget elementor-widget-text-editor\" data-id=\"9e525bb\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Pourquoi la loi sur la recherche priv\u00e9e est-elle aussi une question de RGPD ?<\/h2>\n<p style=\"font-weight: 400;\">La l\u00e9gislation remplac\u00e9e par la loi sur la recherche priv\u00e9e datait de 1991, soit plus de vingt ans avant l\u2019entr\u00e9e en application du RGPD. Il n\u2019est donc pas surprenant que ce texte ait \u00e9t\u00e9 largement d\u00e9pass\u00e9 et ne soit plus adapt\u00e9 aux exigences actuelles en mati\u00e8re de protection des donn\u00e9es. L\u2019un des objectifs de la nouvelle loi \u00e9tait pr\u00e9cis\u00e9ment de rem\u00e9dier \u00e0 cette situation. Elle confirme ainsi express\u00e9ment que le RGPD reste pleinement applicable, sauf lorsqu\u2019elle fait usage de la marge de man\u0153uvre laiss\u00e9e aux \u00c9tats membres par ce r\u00e8glement.<\/p>\n<p style=\"font-weight: 400;\">Sur le papier, c\u2019est tr\u00e8s prometteur. En pratique, sa mise en \u0153uvre soul\u00e8ve toutefois presque autant de questions qu\u2019elle n\u2019en r\u00e9sout, voire davantage. L\u2019Autorit\u00e9 de protection des donn\u00e9es avait d\u00e9j\u00e0 rendu un avis sur le projet de loi en 2020 et formul\u00e9 plusieurs objections, mais celles-ci n\u2019ont pas \u00e9t\u00e9 prises en compte sur les points essentiels.<\/p>\n<p style=\"font-weight: 400;\">La loi Recherche priv\u00e9e est donc une loi qui veut garantir le respect du RGPD, mais qui va justement \u00e0 son encontre \u00e0 plusieurs endroits. Nous expliquons ci-dessous quelles peuvent \u00eatre les cons\u00e9quences pour votre organisation.<\/p>\n<h2>2. Quel est l\u2019impact de la loi Recherche priv\u00e9e sur la conformit\u00e9 au RGPD au sein de votre organisation\u00a0?<\/h2>\n<h3><span style=\"color: #dc3b51;\">Vous devez obligatoirement d\u00e9signer un DPO, m\u00eame si le RGPD ne l\u2019exige pas<\/span><\/h3>\n<p style=\"font-weight: 400;\">La loi sur la recherche priv\u00e9e impose \u00e0 chaque entreprise ou service interne de recherche priv\u00e9e de d\u00e9signer un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es (DPO ou DPD). Cette obligation s\u2019applique quelle que soit la taille de votre organisation ou le nombre d\u2019enqu\u00eates men\u00e9es, m\u00eame si le RGPD ne vous imposait pas jusqu\u2019ici de d\u00e9signer un DPO. Pour d\u00e9terminer si vous disposez d\u2019un tel service interne, le mieux est de lire notre autre article. Le seuil est plus bas que vous ne le pensez.<\/p>\n<h3><span style=\"color: #dc3b51;\">Votre documentation doit \u00e9ventuellement \u00eatre (r\u00e9)examin\u00e9e<\/span><\/h3>\n<p style=\"font-weight: 400;\">La loi Recherche priv\u00e9e exige que vous r\u00e9digiez et teniez \u00e0 jour un certain nombre de documents. Il s\u2019agit avant tout\u00a0:<\/p>\n<ul>\n<li>du r\u00e8glement de recherche, que vous disposiez ou non d\u2019un service interne ;<\/li>\n<li>du document de mission ou du registre des missions lorsque vous \u00eates, en tant que donneur d\u2019ordre, l\u2019employeur de l\u2019enqu\u00eateur.<\/li>\n<\/ul>\n<p style=\"font-weight: 400;\">Ces documents sont davantage li\u00e9s \u00e0 vos obligations RGPD et \u00e0 votre documentation existante qu\u2019il n\u2019y para\u00eet. En effet, les enqu\u00eates priv\u00e9es impliquent \u00e9galement le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel. Or, votre organisation dispose probablement d\u00e9j\u00e0 de politiques relatives, par exemple, au contr\u00f4le des e-mails ou de l\u2019utilisation d\u2019internet, qui peuvent \u00eatre directement concern\u00e9es par ces enqu\u00eates. Il est donc utile de r\u00e9examiner ces documents et de les adapter si n\u00e9cessaire, afin de garantir leur coh\u00e9rence avec les nouvelles exigences applicables aux enqu\u00eates priv\u00e9es.<\/p>\n<p style=\"font-weight: 400;\">Pensez par exemple \u00e0\u00a0:<\/p>\n<ul>\n<li>la politique de s\u00e9curit\u00e9 de l\u2019information\u00a0;<\/li>\n<li>le r\u00e8glement relatif aux cam\u00e9ras\u00a0;<\/li>\n<li>la politique relative aux e-mails ou \u00e0 internet (p. ex. en ce qui concerne leur contr\u00f4le)\u00a0;<\/li>\n<li>la politique de g\u00e9olocalisation\u00a0;<\/li>\n<li>le registre des activit\u00e9s de traitement (p. ex. ajouter de nouveaux destinataires, car un nouveau responsable du traitement signifie aussi un nouveau destinataire)\u00a0;<\/li>\n<li>les mesures de s\u00e9curit\u00e9 techniques et organisationnelles\u00a0;<\/li>\n<li>la politique d\u2019acc\u00e8s (p. ex. limiter l\u2019acc\u00e8s aux dossiers d\u2019enqu\u00eate)\u00a0;<\/li>\n<\/ul>\n<p style=\"font-weight: 400;\">Il arrive r\u00e9guli\u00e8rement que certains documents soient manquants, que les documents existants ne soient pas coh\u00e9rents entre eux ou, plus souvent encore, qu\u2019ils ne soient tout simplement pas appliqu\u00e9s dans la pratique.<\/p>\n<h3><span style=\"color: #dc3b51;\">Tenez compte des nouveaux responsables du traitement au sein de votre organisation<\/span><\/h3>\n<p style=\"font-weight: 400;\">La loi sur la recherche priv\u00e9e d\u00e9signe trois responsables du traitement :<\/p>\n<ul style=\"font-weight: 400;\">\n<li>le service interne, pour les donn\u00e9es qu\u2019il collecte et traite ;<\/li>\n<li>la personne qui accepte la mission d\u2019enqu\u00eate, pour les informations qu\u2019elle rapporte ;<\/li>\n<li>le donneur d\u2019ordre, pour les donn\u00e9es qu\u2019il fournit et l\u2019utilisation qu\u2019il fait ensuite du rapport d\u2019enqu\u00eate.<\/li>\n<\/ul>\n<p style=\"font-weight: 400;\">Cette qualification se justifie dans le cas d\u2019une entreprise externe de recherche priv\u00e9e. Elle est toutefois moins \u00e9vidente lorsqu\u2019il s\u2019agit d\u2019un service interne. En effet, les personnes concern\u00e9es sont g\u00e9n\u00e9ralement des travailleurs qui traitent des donn\u00e9es sur le r\u00e9seau informatique de leur employeur et conform\u00e9ment \u00e0 ses instructions. Au regard du RGPD, elles agissent sous l\u2019autorit\u00e9 du responsable du traitement et ne peuvent donc pas \u00eatre consid\u00e9r\u00e9es comme des responsables du traitement distincts. En tant qu\u2019employeur, vous ne pouvez g\u00e9n\u00e9ralement pas vous d\u00e9charger de votre responsabilit\u00e9 sur votre propre service interne ou sur vos enqu\u00eateurs.<\/p>\n<p style=\"font-weight: 400;\">L\u2019Autorit\u00e9 de protection des donn\u00e9es a \u00e9t\u00e9 claire \u00e0 ce sujet dans son avis\u00a0: m\u00eame lorsqu\u2019un enqu\u00eateur priv\u00e9 dispose d\u2019une large marge d\u2019appr\u00e9ciation, il ne peut pas \u00eatre consid\u00e9r\u00e9 comme responsable conjoint du traitement avec son employeur. Elle a ajout\u00e9 qu\u2019en cas de plainte, elle ne s\u2019estimerait pas li\u00e9e par ces qualifications. \u00c0 la suite de cet avis, l\u2019enqu\u00eateur priv\u00e9 a \u00e9t\u00e9 retir\u00e9 de la liste, mais le reste a \u00e9t\u00e9 maintenu.<\/p>\n<p style=\"font-weight: 400;\">Si vous retenez malgr\u00e9 tout la qualification pr\u00e9vue par la loi, bien qu\u2019elle soul\u00e8ve certaines interrogations, il est recommand\u00e9 de conclure un accord entre les parties afin de pr\u00e9ciser leurs responsabilit\u00e9s respectives au regard du RGPD. Cette r\u00e9partition doit \u00e9galement \u00eatre communiqu\u00e9e de mani\u00e8re transparente aux personnes concern\u00e9es. Le r\u00e8glement de recherche, dont la r\u00e9daction est de toute fa\u00e7on obligatoire, constitue le support le plus appropri\u00e9 pour formaliser cet accord. \u00c0 cela s\u2019ajoutent les obligations habituelles en mati\u00e8re de conformit\u00e9 au RGPD, \u00e9voqu\u00e9es pr\u00e9c\u00e9demment.<\/p>\n<p style=\"font-weight: 400;\">Gardez cependant \u00e0 l\u2019esprit que cette qualification peut consid\u00e9rablement alourdir les obligations de votre service interne. En effet, selon une interpr\u00e9tation litt\u00e9rale de la loi, ce service devrait assumer l\u2019ensemble des obligations qui incombent \u00e0 un responsable du traitement : tenir son propre registre des activit\u00e9s de traitement, informer les personnes concern\u00e9es de leurs droits, mettre en place des mesures techniques et organisationnelles appropri\u00e9es, etc. En pratique, cette approche semble difficilement applicable.<\/p>\n<h3><span style=\"color: #dc3b51;\">Vous devez d\u00e9terminer comment g\u00e9rer le consentement exig\u00e9 par la loi sur la recherche priv\u00e9e<\/span><\/h3>\n<p style=\"font-weight: 400;\">Si vous contr\u00f4lez l\u2019utilisation des e-mails ou d\u2019internet par vos collaborateurs, vous ne le faites probablement pas sur la base de leur consentement, mais dans le cadre de votre pouvoir de surveillance en tant qu\u2019employeur. Il est en effet reconnu depuis longtemps que le consentement est difficilement consid\u00e9r\u00e9 comme libre dans le cadre d\u2019une relation de travail, en raison du d\u00e9s\u00e9quilibre entre l\u2019employeur et le travailleur. Ce pouvoir de surveillance est encadr\u00e9 par le RGPD et par les conventions collectives de travail, notamment la CCT n\u00b0 81 relative au contr\u00f4le des communications \u00e9lectroniques en r\u00e9seau et la CCT n\u00b0 68 relative \u00e0 la surveillance par cam\u00e9ras sur le lieu de travail.<\/p>\n<p style=\"font-weight: 400;\">Or, \u00e0 plusieurs endroits, la loi sur la recherche priv\u00e9e exige justement un consentement, par exemple pour un entretien avec un collaborateur dans le cadre d\u2019une enqu\u00eate.<\/p>\n<p style=\"font-weight: 400;\">La consultation de fichiers internes soul\u00e8ve une difficult\u00e9 suppl\u00e9mentaire. La loi sur la recherche priv\u00e9e pr\u00e9voit qu\u2019un enqu\u00eateur ne peut pas consulter de donn\u00e9es \u00e0 caract\u00e8re personnel provenant de \u00ab fichiers automatis\u00e9s non accessibles au public \u00bb sans le consentement de la personne concern\u00e9e et du responsable du traitement. La loi ne pr\u00e9cise toutefois pas ce que recouvre exactement cette notion. L\u2019Autorit\u00e9 de protection des donn\u00e9es l\u2019interpr\u00e8te comme d\u00e9signant une \u00ab base de donn\u00e9es \u00bb. Selon une interpr\u00e9tation large, le r\u00e9seau informatique de votre entreprise, y compris les e-mails, le trafic internet et les images de vid\u00e9osurveillance, pourrait \u00e9galement entrer dans cette d\u00e9finition.<\/p>\n<p style=\"font-weight: 400;\">En pratique, le contr\u00f4le des e-mails et de l\u2019utilisation d\u2019internet est toutefois d\u00e9j\u00e0 encadr\u00e9 par la CCT n\u00b0 81, mentionn\u00e9e pr\u00e9c\u00e9demment.<\/p>\n<p style=\"font-weight: 400;\">La gestion du consentement exig\u00e9 par la loi sur la recherche priv\u00e9e n\u00e9cessite donc une approche pragmatique, que nous pr\u00e9sentons bri\u00e8vement ci-dessous.<\/p>\n<h3><span style=\"color: #dc3b51;\">Vous devez informer les personnes concern\u00e9es de leurs droits RGPD avant de pouvoir donner suite au rapport d\u2019enqu\u00eate<\/span><\/h3>\n<p style=\"font-weight: 400;\">Comme nous l\u2019indiquions dans notre autre blog, un rapport final est \u00e9tabli \u00e0 l\u2019issue de l\u2019enqu\u00eate interne, apr\u00e8s quoi vous disposez de 30 jours pour d\u00e9cider si vous y donnez suite.<\/p>\n<p style=\"font-weight: 400;\">Si vous d\u00e9cidez d\u2019y donner suite, la loi Recherche priv\u00e9e vous interdit d\u2019utiliser les informations du rapport d\u2019enqu\u00eate tant que les personnes concern\u00e9es n\u2019ont pas pu exercer leurs droits, comme le droit d\u2019acc\u00e9der \u00e0 leurs donn\u00e9es, de les compl\u00e9ter ou de les faire rectifier. Pour que les personnes concern\u00e9es puissent exercer ces droits, elles doivent d\u2019abord \u00eatre inform\u00e9es par \u00e9crit.<\/p>\n<p style=\"font-weight: 400;\">Cette obligation soul\u00e8ve r\u00e9guli\u00e8rement des questions en pratique, notamment lorsqu\u2019un employeur souhaite licencier la personne vis\u00e9e par l\u2019enqu\u00eate pour motif grave. Dans notre autre article, nous expliquons comment cette obligation s\u2019articule avec le d\u00e9lai de trois jours ouvrables applicable au licenciement pour motif grave.<\/p>\n<h3><span style=\"color: #dc3b51;\">Vous devez supprimer les informations d\u2019un rapport d\u2019enqu\u00eate auquel vous ne donnez pas suite<\/span><\/h3>\n<p style=\"font-weight: 400;\">Si vous ne donnez pas suite au rapport d\u2019enqu\u00eate mentionn\u00e9 ci-dessus, vous ne pouvez plus utiliser les informations qu\u2019il contient. Les rapports concern\u00e9s doivent donc \u00eatre d\u00e9truits et aucune information n\u2019est communiqu\u00e9e \u00e0 la personne vis\u00e9e par l\u2019enqu\u00eate.<\/p>\n<p style=\"font-weight: 400;\">Si la suppression de ces informations est envisageable en pratique, elle peut n\u00e9anmoins sembler surprenante au regard du RGPD. En effet, un traitement potentiellement important de donn\u00e9es \u00e0 caract\u00e8re personnel peut avoir eu lieu sans que la personne concern\u00e9e en soit jamais inform\u00e9e.<\/p>\n<p style=\"font-weight: 400;\">Cette situation a des cons\u00e9quences concr\u00e8tes sur votre politique de conservation des donn\u00e9es, puisque trois d\u00e9lais de conservation distincts s\u2019appliquent \u00e0 un m\u00eame dossier. Le dossier d\u2019enqu\u00eate doit \u00eatre conserv\u00e9 pendant trois ans, puis d\u00e9truit par l\u2019entreprise ou le service interne de recherche priv\u00e9e. Le registre des missions d\u2019enqu\u00eate doit quant \u00e0 lui \u00eatre conserv\u00e9 pendant cinq ans par l\u2019enqu\u00eateur priv\u00e9. Enfin, l\u2019entreprise, en sa qualit\u00e9 de donneur d\u2019ordre, peut conserver les donn\u00e9es pendant la dur\u00e9e n\u00e9cessaire \u00e0 la poursuite de son int\u00e9r\u00eat l\u00e9gitime ou au respect d\u2019une obligation l\u00e9gale de conservation. L\u2019Autorit\u00e9 de protection des donn\u00e9es avait recommand\u00e9 un d\u00e9lai de conservation de cinq ans pour le dossier d\u2019enqu\u00eate, les infractions aux r\u00e8gles de protection des donn\u00e9es ne se prescrivant qu\u2019apr\u00e8s cinq ans. Une plainte pourrait donc encore \u00eatre introduite alors que le dossier aurait d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9truit. Cette recommandation n\u2019a toutefois pas \u00e9t\u00e9 suivie par le l\u00e9gislateur.<\/p>\n<h2>3. Comment g\u00e9rer concr\u00e8tement le consentement exig\u00e9 par la loi sur la recherche priv\u00e9e\u00a0?<\/h2>\n<h3><span style=\"color: #dc3b51;\">Comment demander le consentement pour un entretien avec un travailleur ?<\/span><\/h3>\n<p style=\"font-weight: 400;\">Pour les entretiens avec les travailleurs, le mieux est de travailler avec un r\u00e8glement de recherche bien d\u00e9fini ainsi que d\u2019un formulaire d\u2019information et de consentement.<\/p>\n<p style=\"font-weight: 400;\">Vous devez notamment communiquer au pr\u00e9alable\u00a0:<\/p>\n<ul>\n<li>que la personne concern\u00e9e n\u2019est pas tenue de r\u00e9pondre,<\/li>\n<li>qu\u2019elle peut relire et corriger le proc\u00e8s-verbal,<\/li>\n<li>qu\u2019elle n\u2019est pas tenue de le signer,<\/li>\n<li>qu\u2019elle peut mettre fin \u00e0 l\u2019entretien \u00e0 tout moment, et<\/li>\n<li>qu\u2019elle peut se faire assister par une personne de son choix.<\/li>\n<\/ul>\n<p style=\"font-weight: 400;\">Pr\u00e9cisez explicitement qu\u2019un refus n\u2019entra\u00eene aucune cons\u00e9quence n\u00e9gative, afin que ce consentement reste aussi libre que possible.<\/p>\n<h3><span style=\"color: #dc3b51;\">Comment demander le consentement pour consulter des e-mails, le trafic internet et des images de cam\u00e9ras ?<\/span><\/h3>\n<p style=\"font-weight: 400;\">Pour le contr\u00f4le des e-mails et de l\u2019utilisation d\u2019internet, la r\u00e9ponse est moins \u00e9vidente.<\/p>\n<p style=\"font-weight: 400;\">Une interpr\u00e9tation juridiquement d\u00e9fendable consiste \u00e0 consid\u00e9rer que vous pouvez continuer \u00e0 appliquer la CCT existante. Cette interpr\u00e9tation repose notamment sur une exception pr\u00e9vue par la loi elle-m\u00eame : le consentement de la personne concern\u00e9e n\u2019est pas requis pour les donn\u00e9es trait\u00e9es dans le m\u00eame but que l\u2019enqu\u00eate priv\u00e9e ou obtenues sur la base d\u2019une autre r\u00e9glementation, pour autant que le responsable du traitement concern\u00e9 y consente.<\/p>\n<p style=\"font-weight: 400;\">Les travaux pr\u00e9paratoires confirment cette interpr\u00e9tation. Lorsqu\u2019une autre loi autorise d\u00e9j\u00e0 le donneur d\u2019ordre \u00e0 utiliser certains moyens, l\u2019enqu\u00eateur peut \u00e9galement y recourir.<\/p>\n<p style=\"font-weight: 400;\">Selon nous, il est juridiquement d\u00e9fendable de consid\u00e9rer que le contr\u00f4le des e-mails et du trafic internet reste possible, \u00e0 condition de respecter la CCT applicable et le RGPD. C\u2019est pr\u00e9cis\u00e9ment pour cette raison que votre politique relative aux e-mails ou \u00e0 l\u2019utilisation d\u2019internet et votre r\u00e8glement relatif aux cam\u00e9ras doivent \u00eatre examin\u00e9s conjointement avec votre r\u00e8glement de recherche.<\/p>\n<p style=\"font-weight: 400;\">Le Conseil national du Travail avait d\u2019ailleurs explicitement demand\u00e9 d\u2019inscrire dans la loi que la surveillance r\u00e9gl\u00e9e par des CCT nationales continue de se d\u00e9rouler selon les r\u00e8gles de ces CCT. Cela n\u2019a pas \u00e9t\u00e9 fait.<\/p>\n<p style=\"font-weight: 400;\">Une interpr\u00e9tation stricte de la loi pourrait toutefois conduire \u00e0 consid\u00e9rer qu\u2019en cas de conflit, un consentement est n\u00e9cessaire pour effectuer ce type de contr\u00f4le.<\/p>\n<h2>Que pouvez-vous faire d\u00e8s maintenant ?<\/h2>\n<ul>\n<li>D\u00e9signez un DPO si vous disposez d\u2019un service interne de recherche priv\u00e9e et veillez \u00e0 ce qu\u2019il ne participe pas aux enqu\u00eates qu\u2019il est charg\u00e9 de contr\u00f4ler.<\/li>\n<li>Compl\u00e9tez votre registre des activit\u00e9s de traitement en y int\u00e9grant les enqu\u00eates internes et les nouveaux destinataires des donn\u00e9es.<\/li>\n<li>Veillez \u00e0 ce que votre r\u00e8glement relatif aux cam\u00e9ras, votre politique de contr\u00f4le des e-mails, votre politique de g\u00e9olocalisation et vos autres politiques internes soient coh\u00e9rents avec votre r\u00e8glement de recherche.<\/li>\n<li>Int\u00e9grez les obligations d\u2019information dans votre formulaire d\u2019entretien et veillez \u00e0 ce que leur respect soit document\u00e9 dans le proc\u00e8s-verbal.<\/li>\n<li>Harmonisez vos d\u00e9lais de conservation : trois ans pour le dossier d\u2019enqu\u00eate, cinq ans pour le registre des missions et un d\u00e9lai propre \u00e0 votre organisation en tant que donneur d\u2019ordre.<\/li>\n<\/ul>\n<h2>Conclusion<\/h2>\n<p style=\"font-weight: 400;\">La loi sur la recherche priv\u00e9e visait non seulement \u00e0 combler le vide juridique entourant les enqu\u00eates internes, mais aussi \u00e0 renforcer leur conformit\u00e9 au RGPD. Comme nous l\u2019avons expliqu\u00e9 dans nos deux articles, cet objectif n\u2019a \u00e9t\u00e9 que partiellement atteint. Qu\u2019il s\u2019agisse de la r\u00e9partition des responsabilit\u00e9s, du consentement dans le cadre d\u2019une relation de travail, de l\u2019articulation avec les CCT existantes ou des d\u00e9lais de conservation, la loi entre sur plusieurs points en contradiction avec les principes qu\u2019elle entendait pourtant garantir.<\/p>\n<p style=\"font-weight: 400;\">\u00a0<\/p>\n<p style=\"font-weight: 400;\">Comme nous l\u2019avons \u00e9galement soulign\u00e9 dans notre autre article, cela ne change toutefois rien \u00e0 vos obligations. Les nouvelles exigences sont d\u2019ores et d\u00e9j\u00e0 applicables et l\u2019Autorit\u00e9 de protection des donn\u00e9es a pr\u00e9cis\u00e9 qu\u2019en cas de plainte, elle ne se consid\u00e9rerait pas li\u00e9e par les qualifications pr\u00e9vues par cette loi.<\/p>\n<p style=\"font-weight: 400;\">N\u2019envisagez donc pas vos enqu\u00eates internes ind\u00e9pendamment du RGPD aujourd\u2019hui, car elles interagissent bien plus que vous ne le pensez.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Points cl\u00e9s La loi sur la recherche priv\u00e9e visait \u00e0 s\u2019aligner sur le RGPD, mais cet objectif n\u2019a \u00e9t\u00e9 que partiellement atteint. La loi confirme que le RGPD reste pleinement applicable, tout en y ajoutant des r\u00e8gles sp\u00e9cifiques qui, sur plusieurs points, vont \u00e0 l\u2019encontre de sa logique. L\u2019Autorit\u00e9 de protection des donn\u00e9es avait d\u00e9j\u00e0 [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":21024,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[71],"post_folder":[],"class_list":["post-21048","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-droit-numerique"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/21048","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=21048"}],"version-history":[{"count":5,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/21048\/revisions"}],"predecessor-version":[{"id":21103,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/21048\/revisions\/21103"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/21024"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=21048"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=21048"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=21048"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=21048"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}