Indemnité pour violation du droit à l'information

En mai 2021, le tribunal du travail de Hamm a condamné un employeur à verser à une employée licenciée un dédommagement de 1.000 euros pour violation par l'employeur de son droit à l'information en vertu de l'article 15 du RGPD.

Vous trouverez ici ce qui s'est passé et ce à quoi il faut faire attention pour éviter de tels incidents.

Que s'est-il passé ?

Une employée a été licenciée. Elle a alors non seulement introduit une action en protection contre le licenciement, mais a également fait valoir que son employeur avait réagi tardivement et de manière incomplète à sa demande d'information (article 15 du RGPD) et qu'elle avait donc droit à des dommages et intérêts en vertu de l'article 82 du RGPD.

La salariée avait notamment demandé à l'employeur des informations sur les données relatives à l'enregistrement du temps de travail. Ces données avaient été enregistrées par l'employeur au cours de la relation de travail.

Ce n'est que sept mois après sa demande que la travailleuse a reçu une réponse sous la forme d'un relevé des heures de travail. Toutefois, les informations requises par la législation sur la protection des données concernant la finalité du traitement (article 15 I, lettre a du RGPD) et la catégorie des données traitées (article 15 I, lettre b du RGPD) faisaient défaut.

Qu'en dit le tribunal ?

En première instance, le tribunal du travail de Herne a considéré que la plainte était encore infondée. Le tribunal a certes admis une violation de l'article 12 III et IV du RGPD, mais il n'a pas encore considéré que cela justifiait une demande de dommages et intérêts de la part de l'employée.

La situation s'est toutefois inversée en appel devant le tribunal du travail de Hamm : l'employée s'est vue accorder des dommages et intérêts d'un montant de 1.000 euros.

La demande de dommages et intérêts était fondée sur la violation des articles 12 et 15 du RGPD par l'employeur. L'employeur ayant répondu tardivement et de manière incomplète, l'employée a subi un préjudice moral qui doit être réparé en vertu de l'article 82 I du RGPD. Selon le tribunal, le RGPD ne fait justement pas de différence entre les "violations qualifiées" et les "cas mineurs" en matière de droit à réparation, de sorte que toute violation peut donner lieu à une obligation de réparation.

Le montant des dommages et intérêts a été fixé par le tribunal. Celui-ci a pris en compte les critères énumérés à l'article 83 II du RGPD pour l'imposition d'amendes par les autorités de contrôle.

Le tribunal a également fait remarquer à la charge de l'employée qu'elle n'avait pas poursuivi sa demande de renseignements de manière plus urgente et que le degré d'implication personnelle était encore assez faible. Dans le cas contraire, le montant de la demande aurait pu être plus élevé.

Conséquences pour la pratique

L'évolution de la jurisprudence des tribunaux du travail révèle une nette tendance à l'indemnisation des violations du droit à la protection des données dans le cadre des actions en protection de l'emploi. En revanche, cette tendance n'existe pas (encore) dans les juridictions ordinaires.

L'article 82 du RGPD est encore interprété de manière très différente d'un tribunal à l'autre. Il en sera ainsi jusqu'à ce qu'une jurisprudence suprême soit rendue à ce sujet. Mais il ne faut pas s'attendre à ce qu'elle le fasse dans un avenir proche.

Dans la pratique, il est néanmoins nécessaire de mettre en place des processus organisationnels fonctionnels afin d'éviter totalement de tels incidents. La formation des employés en matière de protection des données joue également un rôle important dans la prévention. Pour former ces deux facteurs de manière optimale, il est recommandé de faire appel à des conseils professionnels.