19 mars 2020
Coronavirus et collecte des données personnelles au travail : ce que dit la Cnil
Dans le contexte épidémiologique particulièrement tendu que nous connaissons actuellement, salariés et employeurs s’interrogent sur les données de santé qu’ils doivent fournir ou demander.
Les Accueils Collectifs de Mineurs (ACM), bien que fermés depuis l’arrêté du 14 mars 2020, demeurent des lieux de travail où de telles questions peuvent se poser. Les données de santé sont-elles protégées ? Sont-elles des données sensibles ? Quelles précautions doivent être prises par l’organisateur ?
La Commission nationale de l’informatique et des libertés (Cnil) propose de faire le point sur la question.
Les données de santé, des données protégées
Afin d’éviter des dérives, la Cnil rappelle aux employeurs publics et privés que les données de santé sont des données protégées par le Règlement Général sur la Protection des Données (RGPD), précisément en ce qu’elles sont une catégorie particulière de données personnelles, dites sensibles (article 9 du RGPD).
Les pratiques interdites
La Cnil rappelle qu’il est notamment interdit aux employeurs :
- d’obliger leurs employés (ou les visiteurs) à transmettre chaque jour à leur hiérarchie des relevés de température ;
- de collecter des questionnaires médicaux auprès de tous leurs employés.
De manière générale, les employeurs doivent s’abstenir de collecter de manière systématique et généralisée, ou au travers d’enquêtes et demandes individuelles, des informations relatives à la recherche d’éventuels symptômes présentés par un employé/agent et ses proches.
Les pratiques autorisées
Les employeurs sont tenus à une obligation contractuelle de sécurité envers leurs employés. Au titre de cette obligation, la Cnil rappelle que les entreprises et administrations doivent sensibiliser leurs employés aux gestes barrières et lorsque cela est possible, permettre le télétravail.
Les salariés ou agents publics doivent informer leur employeur en cas de suspicion de contact avec le virus et réciproquement, les employeurs peuvent inviter leurs personnels à révéler des informations personnelles en lien avec leur éventuelle exposition au covid-19.
En cas de signalement, l’employeur peut consigner la date et l’identité de l’employé suspecté d’avoir été exposé et communiquer ces informations aux autorités sanitaires à leur demande.
Pour faire face à la crise sanitaire, les entreprises et les administrations peuvent aussi mettre en place un plan de continuité de l’activité (PCA), définissant les activités essentielles à maintenir et les personnels indispensables à leur continuité.
La Cnil invite enfin à suivre les recommandations des autorités sanitaires et à ne collecter que les données sur la santé des personnes qui sont demandées par ces autorités.
