Cours: Le numérique dans l'entreprise et la protection des personnes

Thème 4 : L’impact du numérique sur la vie de l’entreprise : dans quelle mesure le droit répond-il aux questions posées par le développement du numérique.

Chapitre 1 : Le numérique dans l’entreprise et la protection des personnes.

Donnée à caractère personnel, l’exploitation et l’utilisation que l’on pourrait faire de ces données.

1. L’exploitation des données à caractère personnelle.

1. Le respect par l’entreprise d’un cadre réglementaire

1. De la loi informatique et liberté au RGPD.

La loi informatique et liberté du 6 janvier 1978 est le texte fondamental en matière de protection des données personnelles, ce texte étant complété aujourd’hui par le Règlement Général de la Protection des Données (RGDP), applicable depuis mai 2018.

Le RGPD est un texte commun à tous les pays membres de l’Union Européenne qui concerne tous les organismes publiques ou privés et tous les secteurs d’activités. Il renforce le droit des personnes, et accroit les obligations des responsables des traitements. Il s’applique pour le traitement de données personnelles réalisés sur support informatique (Site web, Blog, Base de données) mais également sur support papier.

1. L’autorité interlocutrice des entreprises.

La CNIL créée en 1978, par la loi informatique et liberté, il s’agit d’une autorité administrative indépendante qui ne reçoit aucune instruction d’aucune autorité. Les ministres, les autorités publiques, les dirigeants d’entreprises publiques ou privées ne peuvent s’opposés à son action.

La CNIL est le régulateur des données personnelles, elle a 4 fonctions principales :

Elle informe et protège quant au respect des droits des personnes. Toute personne, particulier ou professionnel peut s’adresser à la CNIL en cas de difficulté dans l’exercice de ses droits en lui adressant une plainte.

Elle accompagne la conformité et donne des conseils aux professionnels et aux particuliers, notamment pour la maitrise de leurs données personnelles et l’exercice de leurs droits. La mise en conformité constitue l’objectif prioritaire de la CNIL.

Elle contrôle et sanctionne. Les contrôles interviennent le plus souvent suite à des dénonciations, ou pour donner suite à des requêtes faites par des particuliers. La CNIL peut contrôler les organismes en cas de manquement constatés, elle peut décider de les mettre en demeure ou de les sanctionnés.

Elle anticipe et innove. Dans le cadre de son activité d’innovation et de prospection, la CNIL contribue au développement de solution technique, pour protéger la vie privée des particuliers.

1. Nouvelles règles vis-à-vis des clients.

1. Les nouveaux droits créer par le RGPD.

4 nouveaux droits sont créés par le RGPD :

• Droit à la portabilité de ses données : Toutes personnes doit pouvoir récupéré les données qu’il a fournies à une platform et les transférer gratuitement à une autre.
• Droit à la notification en cas de piratage des données : La personne concernée doit être rapidement averti par le responsable du traitement pour notamment faire opposition.
• L’action de groupe : Toute personne peut mandaté une association ou un organisme actif dans le domaine de la protection des données pour introduire une réclamation, un recours, et obtenir une réparation.
• Droit à réparation du dommage matériel ou moral : Celui qui est victime d’un dommage matériel ou moral peut avoir un dédommagement de ce dommage.

B) Les risques en cas de défaillances dans la protection des données.

Ne pas protéger suffisamment les données de ses clients peut coûter cher à l’entreprise. Par exemple l’enseigne Darty a été sanctionné par la CNIL au paiement d’une amande de 100k euros, pour avoir exposé imprudemment, les données de ses clients, ayant effectué en ligne une demande de service après-vente.

En février 2017, la CNIL avait été alerté d’un incident de sécurité, plus de 900k fiches étaient potentiellement accessible. La CNIL avait alerté Darty de cet incident de sécurité or malgré l’information Darty n’avait pas réagi d’où la sanction de la CNIL.

1. Les enjeux des règles du numérique dans l’entreprise

L’identité numérique de l’entreprise & de ses salariés.

1. Les composants de l’identité numérique.

L’identité numérique, est constituée de ce que nous sommes, de ce qui nous appartiens, qui nous détermine. Celle-ci se dessine grâce aux traces que nous laissons sur Internet. Il existe 3 types de traces :

• Les traces volontaires 🡪 Elles sont laissées à travers ce que nous publions ou disons sur nous.
• Les traces héritées 🡪 Ce sont celles laissées par ce que l’on dit ou diffuse de nous, sans que nous soyons au courant.
• Les traces involontaires 🡪Ce sont celles laissées et retenues sur la personne, par les systèmes informatiques.

1. Les enjeux de l’E-réputation.

La gestion de son E-réputation devient un enjeu majeur pour l’entreprise hors les comportements des salariés peuvent être un problème pour l’entreprise, notamment lors de leur vie sociale virtuelle, ils donnent leurs avis sur leur entreprise. Les avis peuvent être positif ou négatif ce qui dans ce cas peut porter préjudice notamment si les propos dénigrent l’activité ou le produit de l’entreprise. On constate également l’émergence de site de notation d’entreprise qui permettent aux internautes d’évaluer l’entreprise sur ses produits, sur ses services. L’entreprise doit dans ce cas prendre conscience de l’impact de ses avis sur sa réputation. Elle doit donc apprendre à gérer et maîtriser son E-réputation.

1. Les obligations de respect de la vie privée des salariés.

1. Le respect de la vie privée au travail.

L’article 9 du code civil rappelle que chacun a le droit au respect de sa vie privée. Le salarié a le droit, lors de son temps de travail et sur son lieu de travail, au respect de l’intimité de sa vie privée. Cette règle impose notamment le secret des correspondances, l’employeur dans ce cas transgresse cette liberté fondamentale lorsqu’il prend connaissance des messages personnels émis et reçu par le salarié grâce à l’outil informatique mis à disposition pour son travail et même si l’employeur avait interdit l’utilisation non professionnel de l’ordinateur.

L’employeur peut dans ce cas sanctionné le salarié pour faute grave, cependant la sanction ne sera possible que si les messages n’ont pas été identifié comme personnel et si ce comportement est préjudiciable pour l’entreprise.

1. Les principes de transparence et de proportionnalité

Article L1222-4 du Code du Travail aucune information concernant personnellement un salarié ne peut être collecter par un dispositif qui n’a pas été porté préalablement à sa connaissance. Principe de transparence.

Article L1121-1 du Code du Travail nul ne peut apporter au droit des personnes et aux libertés individuelles et collectives, de restrictions qui ne serait pas justifié par la nature de la tâche à accomplir ni proportionner au but rechercher. Principe de proportionnalité.

1. Les salariés et l’usage du numérique au travail.

Usage personnel de l’informatique par les salariés.

1. Une absence d’interdiction mais une limitation justifiée.

L’utilisation de l’outil informatique dans l’entreprise est largement développée. L’utilisation personnelle de ces outils est tolérée, si il reste raisonnable et n’affecte pas la sécurité des réseaux ou la productivité. L’employeur doit fixé les contours de cette tolérance et en informer les salariés. Le non-respect des règles par les salariés permettra à l’employeur de prononcer une sanction, qui peut être le licenciement pour faute grave du salarié.

1. Le contrôle des mails et des fichiers.

Les mails rédigés avec l’ordinateur professionnel ont un caractère professionnel, l’employeur peut les lire comme il peut prendre connaissance des sites consultés y compris en dehors de la présence du salarié. Pour qu’ils soient protégés les messages personnels doivent être identifié comme tel, par exemple en précisent dans leur objet, « personnel » ou « privé », ou encore en les stockant dans un répertoire intitulé « personnel » ou « privé ». Les identifiants et MDP sont confidentiels et ne doivent pas être transmis à l’employeur. Si un employé absent détient sur son poste des informations indispensable à la continuité de l’activité, son employeur peut exigé la communication de ses codes si l’administrateur réseau n’est pas en mesure de fournir l’accès au poste.