Dans cette affaire – dans laquelle MD-LEX a assisté et représenté la plaignante – du 19 septembre 2025, l’Autorité de protection des données (APD) a été saisie après qu’un employeur ait diffusé à l’ensemble de son personnel une décision de justice concernant l’entreprise. Le jugement communiqué faisait apparaître les noms, prénoms et adresses privées de plusieurs travailleurs impliqués dans la procédure, sans aucune anonymisation ni pseudonymisation.
Les points essentiels de la décision
Absence de préjudice personnel ≠ abus de droit
L’APD rappelle d’abord qu’une plainte ne peut pas être déclarée “abusive” au seul motif que le plaignant ne démontre pas un dommage personnel. En vertu de l’article 77.1 du RGPD, toute personne peut déposer une plainte lorsqu’elle estime que ses données personnelles ont été traitées en violation du règlement, indépendamment de l’existence d’un préjudice concret.
L’intérêt légitime doit être démontré par le responsable du traitement
Le RGPD impose au responsable du traitement (ici l’employeur) de pouvoir démontrer le respect de trois critères afin de pouvoir justifier un intérêt légitime :
-
Il faut pouvoir démontrer l’existence d’un intérêt légitime,
-
Le traitement de données personnelles doit être nécessaire pour atteindre l’objectif (pas d’alternative moins intrusive),
-
Le traitement doit respecter un équilibre entre l’intérêt de l’employeur et les droits fondamentaux des personnes dont les données sont traitées.
Dans le cas d’espèce, l’employeur invoquait son intérêt légitime pour justifier la communication interne du jugement à ses employés, estimant nécessaire d’informer l’ensemble des travailleurs d’une décision ayant un impact sur la société.
L’APD a reconnu que cet objectif peut être légitime, mais juge que la transmission de données personnelles telles que noms et adresses privées n’était pas nécessaire pour atteindre cet objectif. Une version anonymisée ou un simple résumé aurait permis de poursuivre le même objectif sans porter atteinte à la vie privée des salariés concernés. L’intérêt légitime ne pouvait donc pas servir de base juridique valable.
Un rappel utile : la transparence reste indispensable même dans le cadre des communications internes d’une entreprise.
L’APD souligne aussi dans cette décision que la politique interne de protection des données (charte vie privée des employés) produite par l’employeur ne permettait pas d’établir que les travailleurs avaient été correctement informés des finalités, des destinataires et des modalités du traitement, comme l’exigent les articles 12 à 14 du RGPD et que par ailleurs l’employeur ne pouvait pas démontrer que celle-ci avait été communiquée aux employés en temps voulu.
Enseignements pratiques
Cette décision offre plusieurs rappels concrets aux employeurs :
-
Il faut éviter la diffusion même interne de documents judiciaires non anonymisés lorsque ceux-ci contiennent des données personnelles et privilégier, lorsque c’est nécessaire, des versions anonymisées, pseudonymisées ou des résumés dépourvus d’informations identifiantes
-
Il est important de réaliser et documenter en amont un véritable test “intérêt légitime – nécessité – proportionnalité” avant toute communication interne impliquant des données personnelles ;
-
Il est important de veiller à ce que la politique interne de protection des données de l’entreprise (charte vie privée des employés) soit claire, complète et effectivement portée à la connaissance de tous les travailleurs de manière démontrable au plus tard au moment de leur entrée en service.
📄 Décision complète (version anonymisée – FR)
Disponible sur le site de l’APD : ICI
Comment le cabinet MD-LEX peut vous aider ?
Vous avez des questions sur le traitement des données personnelles ou sur vos obligations en tant qu’employeur ? MD-LEX vous accompagne dans l’audit, la mise en conformité RGPD et la gestion de situations sensibles comme celles abordées dans cette décision.
Pour toute information ou pour une consultation personnalisée, vous pouvez nous contacter à : info@md-lex.be