Décision, Autorité de protection des données, 2024-09-06

Chambre Contentieuse
Décision quant au fond 114/2024 du 6 septembre 2024
Numéro de dossier : DOS-2022-00896
Objet : Enregistrement du temps de travail via des données biométriques
La Chambre Contentieuse de l'Autorité de protection des données, composée de Monsieur Hielke Hijmans, président, et de Messieurs Dirk Van Der Kelen et Jelle Stassijns, membres ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après "RGPD" ;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données, ci-après "LCA" ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
A pris la décision suivante concernant :
Le plaignant : X, représenté par Me Gert Buelens, dont le cabinet se situe à 2800 Mechelen, Nekkerspoelstraat 97, ci-après “le plaignant”;
Les défenderesses : Y1, représentée par Me Bernard Dewit, dont le cabinet se situe à 1050 Bruxelles, Place Albert Leemans 20, ci-après “la première défenderesse” ;
Y2, représentée par Me Jos De Wachter et Me Charlotte Peeters, dont le cabinet se situe à 3600 Genk, Jaarbeurslaan 19, boîte 3, ci-après “la deuxième défenderesse” ;
dénommées conjointement "les défenderesses".
I. Faits et procédure
1. Le 3 février 2022, le plaignant a porté plainte auprès de l'Autorité de protection des données contre la première défenderesse. Dans un premier temps, cette plainte n'était pas recevable.
La plainte a été réintroduite et déclarée recevable le 29 mars 2022.
Le plaignant a travaillé auprès de la première défenderesse de mars 2021 au 24 février 2022 inclus, d'abord en tant qu'intérimaire et à partir de juin 2021, comme travailleur avec un contrat à durée indéterminée. Le 16 mars 2020, la première défenderesse a mis en place sur ses deux sites pour tous les membres du personnel y travaillant un système d'enregistrement du temps par empreintes digitales. Selon la première défenderesse, le système s'applique ainsi à quelque 200 travailleurs, dont 44 employés, 74 ouvriers, 29 intérimaires et, pour le reste, des "travailleurs étrangers". Le fournisseur du système (la deuxième défenderesse) est une filiale d'un groupe international ayant son siège au Japon et des activités entre autres aux États-Unis et en Chine. Le plaignant estime que le traitement de ses empreintes digitales (une de chaque main) viole son droit à la protection des données à caractère personnel parce qu'il n'a pas fourni volontairement ces empreintes digitales et parce qu'il n'a pas été informé des modalités de conservation des données ni du délai de conservation. Enfin, le plaignant s'inquiète également dans sa plainte d'un éventuel transfert vers un pays tiers n'offrant pas de garanties suffisantes, compte tenu de la situation géographique du siège de la société mère de la première défenderesse.
2. Le 29 mars 2022, la plainte est déclarée recevable par le Service de Première Ligne sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre Contentieuse en vertu de l'article 62, § 1er de la LCA.
3. Le 21 avril 2022, conformément à l’article 96, § 1er de la LCA, la demande de la Chambre Contentieuse de procéder à une enquête est transmise au Service d’Inspection, de même que la plainte et l’inventaire des pièces.
4. Le 29 août 2022, l’enquête du Service d’Inspection est clôturée, le rapport est joint au dossier et celui-ci est transmis par l’inspecteur général au président de la Chambre Contentieuse (article 91, § 1er et § 2 de la LCA).
Le rapport comporte des constatations relatives à l'objet de la plainte et formule les constatations suivantes dans le chef de la première défenderesse :
1. une violation des articles 5.1.a), 6.1 et 9.1 du RGPD ;
2. une violation de l‘article 5.1.b) du RGPD ;
3. pas de violation de l‘article 5.1.c) du RGPD ;
4. une violation des articles 5.1.a) j° 12.1 et 13 du RGPD ;
Décision quant au fond 114/2024 – 3/72
5. une violation des articles 5.1.a) j° 12.1 et 15 du RGPD ;
6. une violation de l'article 5.2 du RGPD ;
7. une violation de l‘article 28.3 du RGPD ;
8. une violation de l'article 28.1 du RGPD ;
9. une violation de l‘article 32 du RGPD ;
10. une violation de l‘article 35 du RGPD ;
11. aucune indication de transferts éventuels de données biométriques vers des pays tiers ou des organisations internationales.
Le rapport comporte des constatations relatives à l'objet de la plainte dans le chef de la deuxième défenderesse et établit que celle-ci n'a pas respecté son obligation en vertu de l'article 28.3 du RGPD de conclure un contrat de sous-traitance valable.
Le rapport comporte en outre des constatations qui dépassent l’objet de la plainte.
Le Service d’Inspection constate, dans les grandes lignes, qu'il est question :
1. d'une violation de l'article 30 du RGPD dans le chef de la première défenderesse pour ne pas avoir tenu de registre des activités de traitement préalablement à l'enquête d'inspection et en raison du contenu incomplet de l'actuel registre des activités de traitement ;
2. d'une violation de l'obligation de désigner un délégué à la protection des données en vertu de l'article 37.1.b) et c) du RGPD dans le chef de la deuxième défenderesse.
5. Le 1er septembre 2022, la Chambre Contentieuse décide, en vertu de l’article 95, § 1 er, 1° et de l’article 98 de la LCA, que le dossier peut être traité sur le fond.
6. Le 1er septembre 2022, les parties concernées sont informées par envoi recommandé des dispositions telles que reprises à l'article 95, § 2 ainsi qu'à l'article 98 de la LCA. Elles sont également informées, en vertu de l'article 99 de la LCA, des délais pour transmettre leurs conclusions.
Pour les constatations relatives à l’objet de la plainte, la date limite pour la réception des conclusions en réponse des défenderesses a été fixée au 13 octobre 2022, celle pour les conclusions en réplique du plaignant au 3 novembre 2022 et enfin celle pour les conclusions en réplique des défenderesses au 24 novembre 2022.
En ce qui concerne les constatations dépassant l’objet de la plainte, la date limite pour la réception des conclusions en réponse de la deuxième défenderesse a été fixée au 13 octobre 2022.
7. Le 9 septembre 2022, la deuxième défenderesse demande une copie du dossier (art. 95, § 2, 3° de la LCA), qui lui a été transmise le 13 septembre 2022.
8. Le 25 septembre 2022, le plaignant demande une copie du dossier (art. 95, § 25, 3° de la LCA), qui lui a été transmise le 5 octobre 2022.
9. Le 25 septembre 2022, le plaignant accepte de recevoir toutes les communications relatives à l'affaire par voie électronique et manifeste son intention de recourir à la possibilité d'être entendu, ce conformément à l'article 98 de la LCA.
10. Le 28 septembre 2022, la première défenderesse accepte de recevoir toutes communications relatives à l’affaire par voie électronique et demande une copie du dossier (art. 95, § 2, 3° de la LCA), laquelle lui est envoyée le 5 octobre 2022 , et elle indique qu’elle souhaite utiliser la possibilité d’être entendue, conformément à l’article 98 de la LCA.
11. Le 13 octobre 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la première défenderesse concernant les constatations relatives à l’objet de la plainte.
Tout d'abord, la première défenderesse décrit la relation de travail tendue avec le plaignant.
Les constatations du Service d'Inspection concernant la licéité du traitement, le principe de transparence, le principe de limitation des finalités et le principe de minimisation des données ne sont pas contestées par la première défenderesse. Elle affirme avoir entre-temps mis fin à ces violations. La première défenderesse conteste toutefois les constatations relatives au droit d'accès du plaignant et affirme y avoir donné suite conformément au RGPD. La première défenderesse conteste également la constatation selon laquelle elle n'a pas pris suffisamment de mesures de sécurité. Elle a fait appel à un expert en la matière et a reçu une documentation suffisante pour s'assurer du sérieux des mesures prises par le fournisseur (la deuxième défenderesse).
12. Le 13 octobre 2022, la Chambre Contentieuse reçoit les conclusions en réponse de la deuxième défenderesse concernant les constatations relatives à l’objet de la plainte.
La deuxième défenderesse affirme être capable de partager les connaissances exactes sur le système. Elle soutient aussi avoir transmis les informations pertinentes à temps à la première défenderesse. Par ailleurs, la deuxième défenderesse fait valoir qu'elle ne traite pas de données à caractère personnel, et donc pas non plus de données biométriques à caractère personnel, vu que les personnes concernées ne sont pas identifiables pour elle, puisqu'elle ne dispose que de fichiers cryptés. Ces conclusions comportent également la réaction de la deuxième défenderesse concernant les constatations effectuées par le Service d'Inspection en dehors du cadre de la plainte. La deuxième défenderesse affirme qu'elle n'était tenue de désigner un délégué à la protection des données ni en vertu de l'article 37.1.b), ni en vertu de l'article 37.1.c) du RGPD. Entre-temps, la deuxième défenderesse a spontanément désigné un délégué à la protection des données.
13. Le 3 novembre 2022, la Chambre Contentieuse reçoit les conclusions en réplique de la part du plaignant. Tout d'abord, le plaignant fait valoir que la description par la première défenderesse de l'état de la relation de travail entre les deux parties n'est pas pertinente dans le cadre de la présente procédure. En ce qui concerne les constatations du Service d'Inspection à propos de l'objet de la plainte, il en demande confirmation à la Chambre Contentieuse.
14. Le...