.webp){kind=logo}
La fin d'une relation de travail présente souvent une situation délicate, d'autant plus que certaines obligations restent en vigueur pour les deux parties après la fin du contrat de travail. C'est notamment le cas en matière de confidentialité et de protection des données. Afin d'éviter des conséquences dommageables, notamment pour l'employeur, il convient de rappeler quelques principes de base :
L'article 17, 3°, a) de la loi du 3 juillet 1978 relative aux contrats de travail prévoit une obligation générale de confidentialité dans le chef du travailleur (secrets de fabrication, secrets d'affaires, etc.) tant pendant qu'après la fin du contrat. Le libellé de cet article est parfois repris intégralement dans le contrat de travail. Une clause de confidentialité peut également détailler les informations concernées et les sanctions possibles (généralement des dommages-intérêts, dont l'application reste toutefois à la discrétion du tribunal).
Pour protéger les données de l'entreprise, il est important que l'employeur rappelle à l'employé qui quitte l'entreprise le maintien de ses obligations légales de confidentialité (par exemple, dans la lettre de licenciement). S'il n'y a pas de clause de confidentialité dans le contrat de travail, il peut être conseillé de conclure un accord transactionnel comprenant une clause de confidentialité, voire d'autres clauses protectrices, telles qu'une clause interdisant à l'employé de copier et de supprimer les données de l'entreprise, une clause relative aux médias sociaux, etc.
Certaines entreprises ont l'habitude d'annoncer les changements de personnel par e-mail, sur leur intranet ou même sur leur site web. Si ces communications peuvent être considérées comme nécessaires à l'exécution du contrat de travail et de la politique du personnel, elles doivent respecter le principe du traitement minimal des données (art. 5.1.c LVP), c'est-à-dire qu'elles doivent être adéquates, pertinentes et limitées au strict nécessaire.
Dans ses récentes décisions (n° 14/2023 du 17 février 2023 et n° 63/2021 du 1er juin 2021), l'Autorité de protection des données rappelle que le traitement minimal des données est un droit fondamental de l'individu. 14/2023 du 17 février 2023 et n° 63/2021 du 1er juin 2021), l'Autorité de protection des données rappelle que l'employeur doit s'abstenir de communiquer des informations telles que : l'auteur du licenciement, l'effet immédiat du licenciement, ou si le licenciement a été décidé après des avertissements et des entretiens.
Le compte de messagerie professionnelle d'un salarié n'est pas toujours systématiquement bloqué une fois que le salarié a quitté l'entreprise, par exemple parce que l'employeur ne veut pas perdre des messages professionnels importants, ou tout simplement parce que le salarié l'a oublié. Toutefois, la conservation des comptes de courrier électronique des anciens employés est considérée comme contraire aux principes de limitation de la finalité, de licéité, de traitement minimal des données et de limitation du stockage.
Dans une décision historique (n° 64/2020 du 29 septembre 2020), l'Autorité de protection des données a sanctionné un employeur pour avoir fermé tardivement les comptes de courrier électronique professionnel des employés qui quittaient l'entreprise. Elle a également rappelé les lignes directrices en cas de départ d'un salarié (tri des courriels privés et professionnels par le salarié avant son départ effectif, blocage des comptes de messagerie au moment du départ effectif, notice d'information, suppression du compte après un délai raisonnable (par exemple 1 mois, maximum 3 mois). Il est fortement recommandé de fixer ces procédures dans une politique informatique.
Un salarié sortant peut demander l'accès à des données personnelles le concernant (art. 15.1 LVP), par exemple une copie de ses évaluations professionnelles. En pratique, une telle demande intervient souvent dans le cadre de la préparation d'un litige, en même temps qu'une demande de connaissance des motifs du licenciement basée sur la CCT n° 109 (ou à la place d'une telle demande, par exemple lorsque le travailleur ne remplit pas les conditions d'ancienneté prévues par la CCT n° 109). L'employeur ne peut pas simplement rejeter une telle demande ou retarder sa réponse au motif qu'elle porterait atteinte aux droits et libertés d'autrui ou à la confidentialité des informations de l'entreprise.
En vertu de la LVP (art. 12.3), le responsable du traitement de l'employeur doit fournir à la personne concernée des informations sur les mesures prises dans les meilleurs délais et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande, ou informer la personne concernée que le délai d'un mois est prolongé de deux mois compte tenu de la complexité de la demande (Autorité de protection des données, décision n° 70/2020 du 27 octobre 2020). Le cas échéant, les données personnelles de tiers peuvent être anonymisées par l'employeur pour répondre positivement à la demande de l'employé.
L'AVG (article 17) impose aux employeurs l'obligation de conserver les données relatives aux employés pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou traitées. Toutefois, aucun délai spécifique n'est fixé par l'AVG. Par contre, l'article 3, §3 de la loi du 3 juillet 1978 relative aux contrats de travail prévoit un délai de conservation de cinq ans à compter de la fin du contrat de travail pour l'archivage électronique, et les articles 2, 2° et 25 de l'arrêté royal du 8 août 1980 relatif à la conservation des documents sociaux prévoient un délai similaire pour certains documents sociaux.
Un délai de conservation de cinq ans à compter de la fin du contrat de travail est recommandé pour la conservation des données sortantes des travailleurs (à l'exception de l'adresse électronique professionnelle, voir plus haut). Cette période correspond aux dispositions légales mentionnées ci-dessus et au délai de prescription pour certaines créances découlant du contrat de travail (article 5.60 du code civil et article 162 du code pénal social). L'employeur veillera à ce que cette période soit mentionnée dans le registre des activités de traitement et dans la politique informatique.
Johan Collard - Senior Associate, Osborne Clarke & Elisabeth Vleurinck - Junior Associate, Osborne Clarke
Recevez toutes les mises à jour sur la recherche et les opportunités commerciales !