Le Quotidien

► La détention provisoire de la personne mise en examen du chef d'apologie publique d'actes de terrorisme, en ce qu’elle constitue une ingérence dans l’exercice du droit à la liberté d’expression, entre dans le champ de l’article 10 de la CESDH. Elle doit dès lors présenter un caractère proportionné au regard du but légitime poursuivi de défense de l’ordre et de prévention des infractions pénales. Il appartient à la juridiction devant laquelle une telle atteinte est invoquée d’apprécier cette proportionnalité.

Rappel des faits et de la procédure. Un individu est mis en examen du chef d’apologie d’actes de terrorisme et placé en détention provisoire.

La détention provisoire a été prolongée une première fois pour une durée de six mois puis une seconde fois pour la même durée sur le fondement de l’article 706-24-3 du Code de procédure pénale N° Lexbase : L4871K8W.

Ces dispositions fixent la durée des détentions provisoires pouvant être ordonnées pour l’instruction d’infractions en matière de terrorisme.

L’intéressé a formé appel de cette dernière ordonnance de prolongation.

En cause d’appel, la chambre de l’instruction a confirmé l’ordonnance attaquée.

Le mis en examen a formé un pourvoi contre cet arrêt confirmant la prolongation de sa détention provisoire.

Moyens du pourvoi.

Le pourvoi soutenait notamment que l’application des dispositions dérogatoires de l’article 706-24-3 du Code de procédure pénale N° Lexbase : L4871K8W aux personnes mises en examen du chef d’apologie d’actes de terrorisme était contraire à la liberté de communication (DDHC, art. 11 N° Lexbase : L1358A98) , au principe du pluralisme des courants d’idées et d’opinions (Const., art. 4 N° Lexbase : L1300A9Z) et au principe selon lequel la liberté individuelle ne peut être entravée par une rigueur non nécessaire.

Sur ces différents fondements, l’intéressé a présenté à la Cour une question prioritaire de constitutionnalité (QPC).

Le mis en examen estimait que le placement en détention provisoire d’une personne mise en examen du chef d’apologie d’actes de terrorisme était incompatible avec le droit à la liberté d’expression (CESDH, art. 10 N° Lexbase : L4743AQQ). Dès lors, la prolongation initialement critiquée heurtait également ce droit.

Enfin, l’intéressé faisait valoir que son droit à la liberté d’expression était également affecté de manière disproportionnée par la durée même de sa détention provisoire. Il reprochait à l’ordonnance attaquée d’avoir porté la durée totale de cette mesure à 18 mois, sans répondre à cet argument et en s’abstenant d’apprécier la proportionnalité de cette détention en la mettant en balance avec la situation personnelle du mis en examen et les faits reprochés.

Décision.

Par arrêt du même jour, la Chambre criminelle a refusé de renvoyer la QPC au Conseil constitutionnel.

La Cour a par ailleurs cassé et annulé l’arrêt de la chambre de l’instruction en toutes ses dispositions.

La Haute juridiction rappelle qu’il résulte de l’article 10 de la CESDH que le droit à la liberté d’expression et son exercice ne peuvent être soumis à des restrictions prévues par la loi et s’avérant nécessaire dans une société démocratique.

La détention provisoire d’une personne mise en examen du chef d’apologie publique d’actes de terrorisme constitue précisément une ingérence dans l’exercice du droit à la liberté d’expression. Une telle mesure de contrainte entre dès lors dans le champ de l’article 10 de la CESDH et doit dès lors respecter la condition de nécessité.

En l’espèce, la limitation à la liberté d’expression était bien prévue par la loi et répondait à l’objectif de défense de l’ordre et de prévention des infractions pénales.

Toutefois, la chambre de l’instruction n’avait pas, comme l’y invitait le mémoire produit devant elle, vérifié le caractère proportionné de la détention provisoire au regard du but légitime poursuivi.

© Reproduction interdite, sauf autorisation écrite préalable

Mots-clés : diagnostic immobilier • diagnostiqueur • responsabilité • dossier technique • diagnostic amiante • accessibilité • diagnostic de performance énergétique • état parasitaire • termites • mérule • mesurage « Carrez » • obligation de conseil • obligation de moyen • indemnisation du préjudice • travaux réparatoires • perte de chance

L’actualité jurisprudentielle sur les diagnostics immobiliers ne cesse d’enfler. D’autant plus que les nouvelles réglementations applicables au diagnostic de performance énergétique et à l’audit énergétique ont été largement médiatisées. Lexbase Droit privé vous propose de retrouver la chronique semestrielle d’actualité de Juliette Mel, Docteur en droit, Avocat associé, M2J Avocats, Chargée d’enseignements à l’UPEC et Paris Saclay, Responsable de la Commission Marchés de Travaux, Ordre des avocats et Manon Brauge, Avocat, M2J Avocats, sur ce sujet aussi prégnant et dont le devenir le sera encore davantage.

Les décisions récentes des juridictions du fond relevées dans cette nouvelle chronique, sur la période du premier semestre de l’année 2023, permettent, d’une part, de revenir sur l’étendue de l’examen visuel (I), et d’autre part sur l’indemnisation du préjudice subi une fois que le dommage est établi (II).

I. Déterminer l’étendue de l’examen visuel

L’étendue des missions du diagnostiqueur dépend du diagnostic à réaliser et des conditions de son intervention : avant la vente d’un bien immobilier dans le cadre de la constitution du dossier technique préalable ou, alors, avant la réalisation de travaux. En matière de diagnostic amiante par exemple, le champ d’intervention du diagnostiqueur et les éléments à investiguer seront différents selon que l’on se situe dans un cas ou dans un autre. Le rapport de diagnostic renvoie, le plus souvent, à des normes AFNOR / à des dispositions légales (A) qui peuvent s’avérer, dans certains cas, non obligatoires et/ou renforcées par une obligation de conseil accrue (B).  

A. La précision contractuelle

Le périmètre de repérage du diagnostiqueur est défini par les normes et règles de l’art applicables au diagnostic réalisé. Très souvent, il sera rappelé en première page du diagnostic qu’il est limité aux seules parties de l’immeuble visibles et accessibles sans déplacement de meuble et, surtout, sans travaux destructifs.

En matière de diagnostic amiante, la cour d’appel de Paris vient, en ce sens, de rappeler que dès lors que les éléments que le diagnostiqueur aurait dû identifier sont accessibles sans travaux destructifs et reconnaissables visuellement alors sa responsabilité est engagée (CA Paris, 12 mai 2023, n° 19/11962 N° Lexbase : A71569UL). La solution est plutôt classique.

Il résulte, néanmoins, toujours en matière d’amiante, de la combinaison des articles R. 1334-20 N° Lexbase : L4156IQY et R. 1334-21 N° Lexbase : L4155IQX du Code de la santé publique que le repérage est limité aux produits et matériaux accessibles sans travaux destructifs mais qu’en cas de doute de l’opérateur, il doit réaliser des prélèvements aux fins d’analyse. Il s’en déduit que le diagnostic n’est pas limité à un simple contrôle visuel. La cour d’appel de Grenoble, le 23 mars 2023, a, là encore, assez classiquement, retenu la responsabilité du diagnostiqueur pour ne pas avoir réalisé les investigations supplémentaires nécessaires pour lever les doutes sur la présence d’amiante ou non (CA Grenoble, 23 mars 2023, n° 21/02938 N° Lexbase : A38599LI). La notion de « doute » échappe, en revanche, à toute tentative de définition juridique et est laissé à libre appréciation des juges du fond.

La notion d’accessibilité est discutée et discutable. Toute la question est de savoir où s’arrête l’obligation de moyen du diagnostiqueur. La cour d’appel de Bordeaux a, dans le cadre de l’examen visuel en matière de recherche de termites, considéré que le diagnostiqueur n’était pas déchargé de son obligation de moyen en indiquant seulement que la sous-face d’un plancher n’était pas accessible. Les juges ont considéré qu’il aurait dû interroger son donneur d’ordre sur la possibilité d’accéder à cette sous-face et, le cas échéant, qu’il aurait dû déplacer quelques objets encombrants (CA Bordeaux, 9 mars 2023, n° 20/01622 N° Lexbase : A55889HG). Les juges ont une fâcheuse tendance à en demander plus aux diagnostiqueurs que la norme à laquelle ils sont tenus toujours dans un souci de (sur)protection du vendeur/de l’acquéreur, tous deux qualifiés, dans la majorité des cas, de profanes.

Les contentieux en matière de diagnostic de performance énergétique sont de plus en plus nombreux. Bien que la tendance soit à l’incompréhension de la valeur des prescriptions du diagnostiqueur, son champ d’intervention est plutôt bien compris. La cour d’appel de Rennes (CA Rennes 23 mai 2023, n° 20/05887 N° Lexbase : A06889XR), après avoir rappelé que :

• le diagnostiqueur devait calculer la performance énergétique d’un bien immobilier sur la base de la surface habitable fournie par le propriétaire et, qu’à défaut, il devait l’estimer lui-même ; et que
• l’estimation de mesurage qui pourrait être faite ne constitue pas une garantie de la surface pour l’acheteur ;

a retenu qu’il n’était pas démontré que le diagnostiqueur, qui n’était débiteur que d’une obligation de moyen, avait commis une faute en retenant l’indication d’une surface erronée. Partant, que sa responsabilité délictuelle ne pouvait pas être engagée par les acquéreurs. En l’espèce, la surface habitable communiquée par le vendeur était erronée ce qui a conduit une mauvaise appréciation de la classe énergétique du bien immobilier.

B. L’imprécision contractuelle

Le diagnostiqueur, au-delà ses obligations contractuelles, doit être « normalement » diligent et avoir une vigilance accrue lorsqu’il identifie un potentiel risque. C’est-à-dire que supplémentairement à ce qu’il doit contractuellement, le diagnostiqueur doit formuler des observations annexes voir même proposer la réalisation d’investigations supplémentaires. Les juges du fond ont tendance à être particulièrement sévères à l’encontre du diagnostiqueur au titre de son obligation de conseil. Toute la question, là encore, est de savoir où s’arrête cette obligation.

En matière de diagnostic de performance énergétique, la cour d’appel de Rouen a jugé que bien que le diagnostiqueur ne devait pas effectuer de sondage destructif pour connaître l’épaisseur de l’isolation, il lui incombait d’indiquer son impossibilité d’y procéder (CA Rouen, 7 juin 2023, n° 21/04522 N° Lexbase : A34369ZB). C’est donc au titre de l’omission d’indication de l’absence de vérification possible que le diagnostiqueur engage sa responsabilité pour ne pas avoir permis aux acquéreurs de poser des questions / faire un intervenir des professionnels qualités. La cour d’appel de Douai a statué dans le même sens s’agissant de l’absence de mention d’accessibilité d’une partie du bien lors de la réalisation d’un diagnostic amiante (CA Douai, 2 mars 2023, n° 22/01077 N° Lexbase : A24539HC). Le diagnostiqueur engage, également, sa responsabilité lorsqu’il n’attire pas l’attention de son donneur d’ordre sur l’absence de réalisation de sondage destructif (CA Rennes, 14 mars 2023, n° 20/05766 N° Lexbase : A82259IH).

La cour d’appel de Rennes est allée plus loin encore en matière d’état parasitaire (CA Rennes, 31 mai 2023, n° 21/00464 N° Lexbase : A07629YU). Les juges ont considéré que, dès lors que le diagnostic fait référence à une norme applicable, bien qu’elle n’ait pas un caractère obligatoire et que le manquement aux prescriptions ne pouvait donc pas être constitutif d’une faute en tant que tel, le diagnostic était privé de tout intérêt s’il n’était pas possible d’identifier les zones infestées. En l’espèce, le diagnostiqueur avait analysé 45 zones avec la mention « néant » mais avait bien indiqué au titre des constatations diverses la présence de trous de sortie de petites et grosses vrillettes et d’un excès d’humidité. Les juges ont, néanmoins, considéré que le diagnostic était « largement insuffisant au titre des constatations » (sic) et, surtout, contradictoire avec le reste des constats. À bien comprendre, le diagnostiqueur doit faire des parallèles entre le diagnostic qu’il réalise et ses constats ET les conséquences de ses constats s’il était en train de réaliser un autre diagnostic.

Dans un arrêt similaire rendu par la  cour d’appel de Pau, il a été jugé que le diagnostiqueur a engagé sa responsabilité lors de la réalisation d’un diagnostic termites pour ne pas avoir formulé d’observation particulière sur la constatation d’insectes xylophage alors qu’une colonne était prévue à cette effet (CA Pau, 9 mai 2023, n° 21/02142 N° Lexbase : A01919UM).

La cour d’appel de Rennes a, encore, condamné un diagnostiqueur pour la présence de mérule alors qu’il était intervenu pour réaliser un diagnostic termites (CA Rennes, 16 mai 2023, n° 20/06148 N° Lexbase : A71579WY). Les juges ont retenu que diagnostiqueur a manqué à son obligation de conseil pour ne pas avoir repéré les indices évidents de présence de mérules et ne pas l’avoir signalé au titre des constatations diverses alors même qu’il avait bien précisé la présence de pourriture cubique dans un endroit de la maison. La faute du diagnostiqueur n’est pas si simple à identifier. Il doit, impérativement, alerter le donneur d’ordre très explicitement sur la nécessité de réaliser des investigations plus poussées au titre de son devoir de conseil. En l’espèce, le diagnostiqueur aurait dû conseiller la réalisation d’un état parasitaire. Dans le même sens, pour ne pas avoir alerté l’acquéreur sur le risque d’infestation fongique (CA Rennes, 7 mars 2023, n° 20/04761 N° Lexbase : A33669H7).

Pour un diagnostic termites, la cour d’appel de Rennes a, encore, dans un arrêt du 14 mai 2023, retenu la responsabilité d’un diagnostiqueur au titre d’un manquement à son devoir de conseil pour ne pas avoir mentionné avoir constaté la présence d’un réceptacle rempli d’eau dans un vide sanitaire lors de la réalisation d’un état parasitaire alors même qu’il avait bien signalé la présence d’humidité et le décollement du parquet (CA Rennes, 14 mai 2023, n° 20/00617 N° Lexbase : A50129XW).

Le lecteur l’a bien compris, le diagnostiqueur est tenu d’une obligation de moyen voir même d’une obligation de moyen renforcé.

L’obligation du diagnostiqueur est, toutefois, différente en matière de mesurage « Carrez ». Il est tenu d’une obligation de résultat. La cour d’appel de Pau vient de le rappeler (CA Pau, 28 février 2023, n° 21/00188 N° Lexbase : A65189GI).

II. Établir la réalité d’un préjudice

Le diagnostic, qu’il soit prévu ou non par la loi, doit permettre à l’acquéreur de prendre sa décision en connaissance de cause en ce qui concerne l’état du bien dont l’achat est envisagé. Si l’information est inexacte, le diagnostic est privé de tout intérêt. Le diagnostiqueur peut donc être tenu d’indemniser l’acquéreur au titre des travaux réparatoires (A) mais, également, le vendeur au titre d’une perte de chance d’avoir pu vendre son bien au même prix ou l’acheteur d’avoir pu négocier (B).

Les juges du fond rappellent, néanmoins, que pour tendre à la condamnation du diagnostiqueur sur le fondement délictuelle, un lien de causalité entre la faute du diagnostiqueur et les dommages pour lesquels une indemnisation est sollicitée doit, nécessairement être démontré (CA Bordeaux, 9 mars 2023, n° 20/01622 N° Lexbase : A55889HG).

Le lecteur notera, également, que la preuve du dommage doit impérativement être rapportée. L’acquéreur qui se borne à communiquer seulement la partie normalisée d’un acte authentique de vente et un devis pour des travaux de désamiantage ne suffit pas à démontrer l’existence d’un préjudice au titre de la présence d’amiante en toiture (CA Rouen, 24 mai 2023, n° 22/02952 N° Lexbase : A51449XS).

A. Les travaux « réparatoires »

Depuis un célèbre arrêt rendu par la Chambre mixte de la Cour de cassation le 8 juillet 2015 (Cass. mixte, 8 juillet 2015, n° 13-26.686 N° Lexbase : A6242NM7), dès lors que le préjudice de l’acquéreur est certain :

• le diagnostiqueur doit indemniser l’intégralité du préjudice résultant de l’inexactitude du rapport même s’il n’est prouvé aucun danger pour les occupants ;
• le préjudice correspond au coût des travaux réparatoires, c’est-à-dire par exemple au coût des travaux de désamiantage.

La solution est constante :

• la cour d’appel de Rennes a, dans un arrêt du 14 mars 2023, rappelé que le diagnostiqueur fautif doit indemniser intégralement les acquéreurs, non pas seulement au titre de la perte de chance, mais, également, au titre des travaux nécessaires pour, en l’espèce, traiter les zones atteintes par les infestations (CA Rennes, 14 mars 2023, n° 20/05766 N° Lexbase : A82259IH) ;

• la cour d’appel de Douai a, de son côté, en matière d’amiante, rappelé que le diagnostiqueur doit indemniser l’intégralité du préjudice résultant de l’inexactitude de son rapport même s’il n’est prouvé aucun danger sanitaire pour les occupants (CA Douai, 9 mars 2023, n° 21/05179 N° Lexbase : A56689HE).

Les travaux réparatoires sont, cependant et il est important d’insister sur ce point, limités à ce qui est réparatoire et sont exclus, par exemple les travaux de peinture considérés comme des travaux d’embellissement qui, dans l’arrêt d’espèce rendu par la cour d’appel de Pau le 9 mai 2023, n’étaient pas prévus à l’origine (CA Pau, 9 mai 2023, n° 21/02142 N° Lexbase : A01919UM).

Le lecteur notera, néanmoins, une position divergente dont la portée semble toutefois limitée, de la cour d’appel de Paris dans un arrêt rendu le 12 mai 2023, qui après avoir pris acte du lien causal entre la faute du diagnostiqueur qui ne relève pas la présence d’amiante et la diminution de la valeur du bien immeuble a condamné les assureurs du diagnostiqueur au titre d’une perte de chance de négocier une réduction du prix de vente (CA Paris, 12 mai 2023, n° 19/11962 N° Lexbase : A71569UL).

B. La perte de chance

La formule est inlassablement reprise « la réparation de la perte de chance doit être mesurée à la chance perdue et ne peut pas être égale à l’avantage qu’aurait procuré cette chance si elle s’était réalisée » (CA Rouen, 7 juin 2023, n° 21/04522 N° Lexbase : A34369ZB).

Le montant de la chance perdue de négocier le prix ou de vendre le bien au même prix est laissé à la libre appréciation des juges du fond.

Par exemple, la cour d’appel de Rennes a limité la perte de chance à hauteur de 20 % pour le vendeur d’avoir pu vendre son bien au même prix lorsqu’il n’est pas établi que le vendeur aurait renoncé à vendre son bien immobilier s’il avait eu connaissance d’un diagnostic de performance énergétique défavorable et qu’il conteste avoir dû faire face à des difficultés pour chauffer la maison / réfute tout défaut d’isolation (CA Rennes, 23 mai 2023, n° 20/05887 N° Lexbase : A06889XR).

Lorsque des travaux d’ampleur étaient en toute hypothèse prévus, la perte de chance de mieux apprécier l’opportunité de contracter a été évaluée, par la cour d’appel de Rennes le 16 mai 2023, à hauteur de 10 % (CA Rennes, 16 mai 2023, n° 20/06148 N° Lexbase : A71579WY).

Le lecteur notera, parallèlement, que le vendeur tenu à l’égard de l’acquéreur d’une indemnisation en diminution du prix résultant d’une moindre mesure par rapport à la superficie convenue ne constitue pas un préjudice indemnisable permettant une action en garantie ni à l’encontre du notaire ni à l’encontre de l’agent immobilier ni même à l’encontre du diagnostiqueur (CA Rennes, 6 juin 2023, n° 22/02409 N° Lexbase : A27899ZC). L’acquéreur peut, toutefois, agir à leur encontre au titre d’une perte de chance d’avoir vendu son bien au même prix pour une surface moindre.

© Reproduction interdite, sauf autorisation écrite préalable

Mots clés : RGPD • droits fondamentaux • protection des salariés • données à caractère personnel • CNIL • obligation de transparence • traitement des données

Ce second numéro de notre chronique de droit du travail et de droit des données à caractère personnel nous offre l’occasion de faire un éclairage sur deux droits fondamentaux accordés aux salariés en leur qualité de personnes concernées au sens du RGPD : le droit d’être informé des conditions d’utilisation de leurs données personnelles et le droit d’accéder aux données collectées dans le cadre de leur relation de travail.

Concernant l’obligation de transparence, la CNIL a rappelé, dans ses recommandations récentes, qu’il était tout aussi important de s’attacher au contenu de l’information et de veiller à distribuer une information complète, que de s’attacher à la forme de la communication et de veiller à distribuer une information lisible, compréhensible et facilement accessible. Le fond et la forme sont indissociables dans la mise en conformité de l’entreprise. Reste à savoir sous quelles conditions la forme de l’information est jugée adéquate aux exigences du RGPD.

Quant à la Cour de justice de l’Union européenne, celle-ci nous apporte des précisions utiles sur le contenu et l’étendue du droit d’accès de la personne concernée à ses données à caractère personnel, mais également sur les conditions d’octroi du droit à réparation dans l’hypothèse d’un traitement de données à caractère personnel illicite.

I. La mise en pratique de l’obligation de transparence par l’employeur

L’un des enjeux du Règlement général sur la protection des données N° Lexbase : L0189K8I (ci-après « RGPD ») a été de redonner aux personnes concernées dont les données font l’objet d’une collecte et d’un traitement, un pouvoir de contrôler l’utilisation faite de leurs données. Or, pour qu’un tel droit soit effectif, il est nécessaire que tout responsable de traitement communique aux personnes concernées les informations indispensables à l’exercice de leur pouvoir de contrôle. À cet égard, l’article 5 du RGPD met à la charge du responsable du traitement une obligation de transparence aux termes de laquelle il doit fournir à toute personne concernée une information précise, compréhensible, aisément accessible et concise. Les conditions de mise en œuvre de cette obligation sont précisées aux articles 12 à 14 du RGPD.

Au fil de sa jurisprudence et de ses recommandations, la CNIL est venue préciser de manière plus claire le contour de cette obligation et sa mise en pratique, qu’il apparaît important de rappeler ici.

En effet, un employeur, qui collecte de très nombreuses données personnelles sur ses salariés, n’échappe pas à cette obligation. Or, nombre d’entre eux sont tentés de limiter cette obligation à l’insertion dans le contrat de travail d’une clause générale d’information sur le traitement des données à caractère personnel, ce que proposent d’ailleurs de nombreux sites de vulgarisation juridique dans leurs modèles de contrat de travail.

Pourtant, cette pratique doit être proscrite puisqu’elle ne permet pas à elle seule de remplir l’obligation générale de transparence de l’employeur à l’égard de ses salariés, en tant que personnes concernées au sens du RGPD. En effet, le contrat de travail ne semble pas être l’instrument juridique adéquat pour remplir cette obligation de transparence. Il est donc important de préciser ce que signifie juridiquement et opérationnellement cette obligation de transparence.

Quel est le périmètre de l’obligation d’information ?

L’obligation de transparence est définie sommairement à l’article 12 du RGPD, reprenant ainsi les termes du considérant 39 venant préciser le sens et l’effet de ce principe dans le cadre du traitement des données :

« Le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples. Ce principe vaut, notamment, pour les informations communiquées aux personnes concernées sur l’identité du responsable du traitement et sur les finalités du traitement ainsi que pour les autres informations visant à assurer un traitement loyal et transparent à l’égard des personnes physiques concernées et leur droit d’obtenir la confirmation et la communication des données à caractère personnel les concernant qui font l’objet d’un traitement ».

Le Comité européen de la protection des données (ci-après CEPD) rappelle quant à lui que : « La transparence est une obligation globale au sens du RGPD qui s’applique à trois domaines centraux :

• la communication aux personnes concernées d’informations relatives au traitement équitable de leurs données ;
• la façon dont les responsables du traitement communiquent avec les personnes concernées leurs droits au titre du RGPD ;
• la façon dont les responsables du traitement facilitent l’exercice par les personnes concernées de leurs droits » [1].

En synthèse, cette obligation de transparence impose à l’employeur de communiquer aux salariés de l’entreprise une information devant, d’une part, être exhaustive quant à l’existence, au nombre et à la finalité des traitements des données qu’il exploite et, d’autre part, être concise, compréhensible et facilement accessible sur la forme.

Les deux aspects de l’obligation de transparence sont tout aussi importants l’un que l’autre, comme le rappelle d’ailleurs le CEPD : « Les exigences pratiques (informations) sont exposées aux articles 12 à 14 du RGPD. Cependant, la qualité, l’accessibilité et l’intelligibilité des informations sont aussi importantes que le contenu réel des informations en matière de transparence devant être fournies aux personnes concernées » [2]. 

Le contenu de l’obligation de transparence ne pose pas de difficultés, dès lors que les informations qui doivent obligatoirement être communiquées aux salariés sont clairement listées aux articles 12 à 14 du RGPD. Cependant, il apparaît en pratique que la forme de cette information est bien trop souvent négligée, et mérite que l’on s’attarde dessus. Or, comme précédemment indiqué, le fait de délivrer une information dans des termes ou sous une forme que ne permet pas de répondre à l’exigence de qualité, d’accessibilité et d’intelligibilité exigée par les textes, constitue en soit un manquement au RGPD, passible de sanction.

Ainsi, la CNIL a notamment lourdement sanctionné la société Critéo, par une décision du 15 juin 2023 [3], lui infligeant une amende de 40 millions d’euros pour divers manquements, dont un manquement à l’obligation d’information et de transparence. La CNIL a, en l’espèce, estimé que la politique de confidentialité de la société n’était pas complète, dès lors qu’elle ne comportait pas l’ensemble des finalités poursuivies par le traitement et que certaines finalités étaient exprimées dans des termes vagues et larges qui ne permettaient pas à l’utilisateur de comprendre précisément quelles données personnelles étaient utilisées et pour quels objectifs, rappelant ainsi l’obligation d’utiliser des termes simples et compréhensibles.

Une telle sanction se justifie dans la mesure où l’ambiguïté de l’information délivrée a pour effet de vider l’obligation de transparence de son sens en faisant de fait obstacle à l’exercice de ses droits de contrôle par la personne concernée. Si la personne ne détient pas l’information nécessaire lui permettant de penser que le traitement de ses données n’est pas réalisé de manière loyale, elle ne pourra pas exercer de manière effective son pouvoir de contrôle. L’ambiguïté confine ici à la dissimulation.

Il est donc essentiel de veiller à délivrer à ses salariés une information complète, sans erreur, et répondant aux exigences de clarté, d’accessibilité et d’intelligibilité précitées.

En pratique, comment délivrer cette information ?

L’article 12 du RGPD précise que cette information doit être présentée « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ». Le CEPD définit ces termes de la manière suivante :

1. « Concise et transparente » signifie que les responsables du traitement devraient présenter les informations/communications de façon efficace et succincte afin d’éviter de noyer d’informations les personnes concernées. Ces informations devraient être clairement différenciées des autres informations non liées à la vie privée telles que des clauses contractuelles ou des modalités d’utilisation générale » [4] ;

Ainsi la première recommandation est d’établir un document portant spécifiquement sur cette information. Il en découle notamment que les informations ne sauraient valablement être mentionnées dans une clause du contrat de travail ou du règlement intérieur de l’entreprise, au risque de se voir sanctionner pour avoir « noyé » l’information au milieu d’autres mesures contractuelles n’ayant pas de rapport avec celle-ci et de compromettre ainsi la qualité de l’information.

La pratique est donc désormais de communiquer aux salariés un document autonome détaché du contrat de travail ou du règlement intérieur, appelé selon les cas « charte de confidentialité » ou « politique de protection des données », portant strictement sur la délivrance de l’information relative au traitement des données du salarié ou du candidat à un emploi.

Ce document ne doit pas non plus être trop long. Une longueur excessive aurait également pour conséquence de priver l’information d’effectivité. Il convient d’aller à l’essentiel et d’expurger le texte de toute précision ou mention inutile à la bonne compréhension de l’information fournie. Notamment, la copie des textes de loi dans leur intégralité est à prohiber.

La CNIL rappelle enfin dans ses recommandations qu’une bonne information est une information efficace et succincte, consistant à amener les informations les plus pertinentes au bon moment. De ce fait, plus l’information à communiquer est riche et complexe, plus il importe de mettre en place plusieurs niveaux d’information permettant, d’une part, de disséminer l’information dans un premier niveau d’information au fil du temps en fonction du besoin et du moment opportun et contenant l’information strictement essentielle et, d’autre part, de centraliser l’ensemble des informations dans un document unique qui constitue un second niveau d’information, contenant des informations plus détaillées par exemple.

En effet, la mise à disposition de l’ensemble des informations en un seul bloc ne permet pas d’atteindre efficacement l’objectif de lisibilité. De ce fait, et dans le cadre d’une information à plusieurs niveaux, il convient de prioriser l’information la plus utile dans un premier niveau d’information, et de la compléter dans un second niveau d’informations. La CNIL a pu rappeler à cet égard que « prioriser ne signifie pas transmettre une information incomplète aux personnes concernées : il s’agit de mettre en avant les informations essentielles et d’offrir un accès simple et immédiat aux autres informations ».

Ainsi, le CEPD recommande « que l’intégralité des informations adressées aux personnes concernées soit également consultable à un endroit unique ou dans un même document (sous forme numérique sur un site internet ou au format papier) qui serait aisément accessible dans le cas où elles souhaiteraient consulter l’intégralité des informations » [5].

En d’autres termes, il est essentiel pour remplir son obligation de transparence, de travailler l’ergonomie des documents d’information et d’utiliser toutes les techniques de legal design permettant de rendre les documents le plus lisible possible (liens cliquables, menus dépliants, push notice, multi-supports, etc.).

2. « L’exigence que ces informations soient « compréhensibles » signifie qu’elles devraient pouvoir être comprises par la majorité du public visé. La compréhensibilité est étroitement liée à l’exigence d’utiliser des termes clairs et simples » [6] ;

Notamment, il découle de cette exigence que la communication doit être adaptée au public visé. L’information délivrée à des enfants, des personnes en situation de handicap ou des professionnels ne saurait en effet être faite de la même manière. S’agissant de l’information faite aux salariés, il convient donc également d’adapter la manière de délivrer l’information en fonction de la qualification et des aptitudes des personnels concernés et ce d’autant plus que d’un point de vue juridique, le salarié est considéré comme une personne vulnérable compte tenu de sa relation de subordination au responsable du traitement.

À titre d’illustration, si l’entreprise emploie des personnels étrangers maîtrisant mal la langue française, l’obligation de délivrer une information compréhensible implique de fournir à ces personnels une information dans une langue qu’ils comprennent.

3. « L’exigence de termes clairs et simples signifie que les informations devraient être fournies de la façon la plus simple possible, en évitant des phrases et des structures linguistiques complexes. Les informations devraient être concrètes et fiables, elles ne devraient pas être formulées dans des termes abstraits ou ambigus ni laisser de place à différentes interprétations. Plus particulièrement, les finalités et fondements juridiques du traitement des données à caractère personnel devraient être clairs » [7].

Il conviendra donc d’utiliser un vocabulaire adapté au public visé, de faire des phrases courtes et d’utiliser un style direct, en évitant les termes juridiques et techniques, complexes, abstraits ou ambigus.

À cet égard, la CNIL propose aux entreprises, sur son site internet, un glossaire de termes simplifiés en lieu et place des termes légaux relatifs à la protection des données à caractère personnel afin d’améliorer la lisibilité des documents d’information des personnes [8].

4. « Le critère « aisément accessible » signifie que la personne concernée ne devrait pas avoir à rechercher les informations, mais devrait pouvoir tout de suite y accéder […] » [9].

Encore une fois l’effectivité du pouvoir de contrôle conféré à la personne concernée implique que lesdites personnes ne doivent pas avoir à chercher l’information. À cet égard, l’obligation de transparence implique pour l’employeur de mettre en place toutes mesures propres à garantir un accès simplifié et immédiat à l’information. La CNIL a notamment rappelé que plus un traitement est complexe ou intrusif, ce qui est le cas des traitements en matière de ressources humaines, plus la transparence doit être garantie par des dispositifs efficaces.

Les articles 13 et 14 du RGPD imposent à l’employeur de « prendre des mesures concrètes pour fournir les informations en question à la personne concernée ou pour diriger activement la personne concernée vers l’emplacement desdites informations » [10].

Ainsi, l’employeur doit mettre l’information à disposition du salarié et lui permettre d’y accéder à tout moment pendant toute la durée de la relation de travail, de manière simple. L’information peut se faire de plusieurs manières cumulatives : par distribution d’une politique de confidentialité à l’entrée dans l’entreprise, sur les panneaux d’affichage de l’entreprise, à côté des conventions et accords collectifs, ou sur une page d’accueil de l’intranet interne, par envoi d’emails. Il est en tout état de cause conseillé de favoriser un moyen permettant de garantir que chaque salarié a eu connaissance de la politique de confidentialité de l’entreprise (à cet égard, la remise de la politique avec le pack de bienvenue du salarié paraît la technique la plus appropriée) et que chacun peut continuer d’y accéder facilement sans avoir besoin de la redemander au service des ressources humaines.

Il pourrait être tentant d’annexer la politique de confidentialité au contrat de travail ou au règlement intérieur, afin de la rendre opposable aux salariés et pour l’employeur, de se former facilement la preuve de la communication de la politique à tous ses salariés.

Pourtant cette pratique n’apparaît pas pertinente et présente plusieurs inconvénients. En premier lieu, il convient de rappeler que la politique de confidentialité n’est pas un document contractuel : il n’est pas nécessaire de la rendre opposable aux salariés. Il s’agit d’un document d’information à destination des salariés, qui ne fait naître aucun droit ni aucune obligation à leur égard, mais les informe sur la réalité des traitements réalisés par l’employeur et leur rappelle leurs droits de contrôle.

Or, contractualiser cette information pourrait faire naître dans l’esprit du salarié une fausse croyance selon laquelle son accord serait nécessaire pour que l’employeur puisse mettre en œuvre les traitements de données personnelles des salariés, ce qui est parfaitement faux. Un grand nombre de traitements réalisés pour des finalités de ressources humaines ont pour base légale une obligation légale ou l’exécution de mesures contractuelles. Le salarié ne peut pas s’opposer à ces traitements.

La CNIL a rappelé à de nombreuses reprises qu’il était essentiel de ne pas confondre entre elles les différentes bases légales et notamment de ne pas confondre les traitements réalisés sur la base du consentement, qui impliquent que la personne concernée peut refuser ou retirer son consentement sans préjudice dans la fourniture des services, et les traitements réalisés sur la base de mesures contractuelles, qui impliquent que le traitement des données soit nécessaire à la réalisation du contrat et donc que le traitement s’impose à la personne concernée. Dans le champ des relations de travail, le salarié consent à travailler avec l’employeur en signant son contrat de travail, mais ne consent pas à la réalisation des traitements qui en découleront et qui s’imposent à lui.

Or, la CNIL a, à de nombreuses reprises, sanctionné des entreprises qui avaient faussement laissé croire aux personnes concernées que leur consentement était requis pour traiter leurs données alors que tel n’était pas le cas. Il est donc vivement déconseillé d’introduire une telle ambiguïté en annexant la politique de confidentialité au contrat de travail. Il est préférable, comme précédemment indiqué, de la mettre à disposition dans un pack de bienvenue par exemple, contre signature si nécessaire, afin de se constituer la preuve de la mise à disposition de la politique de confidentialité.

En second lieu, la politique de confidentialité est un document vivant, qui doit pouvoir évoluer facilement et être mis à jour régulièrement. Il est donc préférable de bénéficier d’une grande flexibilité pour modifier sa politique de confidentialité. À cet égard, il convient d’éviter d’annexer la politique de confidentialité au règlement intérieur, dont la moindre modification nécessite le suivi d’une procédure relativement lourde. Il convient également, outre ce qui a été précédemment indiqué, d’éviter de l’annexer au contrat de travail, pour ne pas avoir à rédiger un avenant à chaque fois que la politique de confidentialité évolue.

En effet, la politique de confidentialité devra être modifiée à chaque création ou modification d’un traitement pour lequel les données à caractère personnel ont été initialement obtenues [11].

En conclusion, l’obligation de transparence nécessite une grande vigilance et implique pour les directions de ressources humaines de déterminer les pratiques opérationnelles les plus adaptées aux spécificités de l’entreprise afin de garantir une information claire, complète, compréhensible et aisément accessible.

Cette information, encore trop souvent négligée et réduite à une simple clause dans les contrats de travail, est pourtant essentielle. Outre le fait qu’elle découle de l’un des principes fondamentaux du RGPD, il convient de souligner qu’il s’agit également des seuls documents mis à disposition du salarié détaillant la politique de protection des données de l’entreprise. Or, il ne faut pas négliger le fait que de plus en plus de salariés et anciens salariés, syndicats ou autres représentants du personnel, mécontents de leurs relations avec l’employeur, forment de plus en plus de réclamations auprès de la CNIL pour dénoncer des comportements non conformes, qu'ils soient avérés ou présumés. Sous cet éclairage, la documentation d’information apparaît pour l’employeur comme la partie émergée de l’iceberg, donnant aux salariés les indices de sa conformité. On ne saurait que trop conseiller aux entreprises de veiller d’autant plus à être irréprochables sur la mise en pratique de leur obligation de transparence.

II. Précisions utiles sur le droit de communication et sur les conditions du droit à réparation en cas de traitement de données personnelles en violation du RGPD 

Le 4 mai 2023, la Cour de justice de l’Union européenne a rendu deux arrêts intéressants deux droits conférés par le RGPD à la personne concernée par un traitement de données à caractère personnel.

La première affaire [12] a été l’occasion pour la CJUE d’apporter des précisions sur le contenu et l’étendue du droit d’accès de la personne concernée à ses données à caractère personnel, collectées et traitées par un responsable de traitement.

En effet, en application de l’article 15, § 3 du RGPD : « le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement […] ».

Dans ce litige, une personne avait sollicité et obtenu, de la part du responsable de traitement, une copie de ses données qui était présentée sous la forme d’un tableau synthétique. Le requérant contestait cette communication en estimant être bien fondé à réclamer une copie intégrale et non une copie sous une forme synthétique.

Il était donc demandé à la CJUE de bien vouloir donner son interprétation quant à la notion de « copie » au sens de l’article 15, § 3.

La CJUE estime qu’un responsable de traitement doit fournir à la personne concernée qui le demande « une reproduction fidèle et intelligible de l’ensemble de ces données », ce qui implique que cette personne soit destinatrice, le cas échéant, de la « copie d’extraits de documents voire de documents entiers ou encore d’extraits de bases de données qui contiennent, entre autres, lesdites données, si la fourniture d’une telle copie est indispensable pour permettre à la personne concernée d’exercer effectivement les droits qui lui sont conférés par ce règlement, étant souligné qu’il doit être tenu compte, à cet égard, des droits et libertés d’autrui » [13].

En somme, le responsable de traitement doit fournir à la personne concernée qui le demande toutes les données à caractère personnel qu’il détient sur celle-ci sans pouvoir réduire cette communication à une synthèse des données traitées. Cette obligation de communication peut se traduire par l’obligation de transmettre à la personne concernée tout ou partie de documents internes dès lors que ceux-ci contiennent des données à caractère personnel sur la personne concernée.  

La seule limite à cette communication intégrale concerne l’éventualité d’une atteinte aux droits et libertés d’autrui telle que, par exemple, une violation du secret des affaires, de la propriété intellectuelle ou encore du secret des correspondances. Mais dans cette hypothèse, il appartient au responsable de traitement d’opérer une mise en balance entre les droits et libertés en question, par exemple, en caviardant les parties du document dont la communication emporterait violation auxdits droits et libertés d’autrui. En tout état de cause, relevons que le risque d’atteinte aux droits et libertés d’autrui ne saurait être un motif permettant, au responsable de traitement, de refuser à la personne concernée le droit d’obtenir une copie de ses données [14].

Dans la deuxième affaire [15], la CJUE a apporté des précisions quant aux conditions d’octroi du droit à réparation dans l’hypothèse d’une violation, par un responsable de traitement, des règles issues du RGPD.

Dans les faits, ce litige opposait un usager à une entreprise postale autrichienne qui collectait des informations sur les affinités politiques de la population et, avec l’aide d’un algorithme, définissait des « adresses de groupes cibles » qu’elle revendait ensuite à des organisations politiques pour leur permettre de procéder à des envois de publicité ciblée.

Cet usager avait saisi une juridiction afin, d’une part, qu’elle ordonne à cette société de mettre un terme à ce traitement de données et, d’autre part, qu’elle condamne la société à lui verser la somme de 1 000 euros en réparation de son préjudice moral constitué, selon lui, par le fait que l’affinité politique qui lui avait été attribuée était insultante, honteuse et diffamante et, qu’au demeurant, elle avait suscité une grave contrariété, une perte de confiance et un sentiment d’humiliation.

En première instance et en appel, le requérant avait obtenu des magistrats la cessation du traitement, mais avait été débouté de sa demande d’indemnisation au titre de son préjudice moral. Puis l’affaire avait été portée devant la Cour suprême autrichienne qui avait décidé de surseoir à statuer et de poser à la CJUE plusieurs questions préjudicielles, dont celle de savoir si la simple violation des dispositions du RGPD ouvrait droit à réparation, qu’elle ait causé ou non un dommage.

À cette question, la CJUE juge que la simple violation des dispositions du RGPD ne suffit pas à conférer, à elle seule, un droit à réparation et, partant, qu’il est nécessaire pour le demandeur de rapporter la preuve de trois conditions cumulatives à savoir un traitement de données à caractère personnel effectué en violation des dispositions du RGPD, un préjudice matériel ou moral résultant de cette violation et un lien de causalité entre ce préjudice et cette violation.

Cette solution paraît conforme à la lettre de l’article 82 du RGPD qui précise les conditions d’octroi du droit à réparation [16] en recourant au triptyque classique de la responsabilité civile. En l’absence de préjudice identifiable, la seule voie de recours de la personne concernée par le traitement de données sera la saisine de l’autorité administrative, à savoir la CNIL.

Néanmoins, la solution retenue par la CJUE est critiquable car en exigeant du demandeur que celui-ci rapporte la preuve de son entier préjudice matériel ou moral, sans aucun aménagement probatoire, elle affaiblit la fonction normative (préventive, prescriptive et sanctionnatrice) des dispositions du RGPD en conditionnant, de facto, la saisine des juridictions aux cas les plus graves.

En effet, l’avocat général de la CJUE relève, dans ses conclusions, que ce droit à réparation, alors même qu’il existait déjà dans la réglementation précédente [17] a « été peu exercé […] », à tel point que la Cour n’a pas eu l’occasion d’interpréter spécifiquement les dispositions relatives à ce droit à indemnisation [18].

Reste à savoir comment la Chambre sociale de la Cour de cassation pourrait s’emparer de cette décision dans le cas d’un litige opposant un salarié et un employeur concernant un traitement de données personnelles illégal et ce notamment au regard de sa jurisprudence relative au préjudice nécessaire, certes fluctuante, mais toujours existante.

Par exemple, le fichage des salariés de l’entreprise en raison de leurs opinions syndicales et politiques, ce qui rappelons-le, caractérise un traitement de données à caractère personnel interdit aux termes de l’article 9 du RGPD [19], ne caractérise-t-elle pas une atteinte à la vie privée du salarié ouvrant droit à réparation, indépendante de la preuve ou de l’existence d’un préjudice [20] ?

© Reproduction interdite, sauf autorisation écrite préalable

► Le litige relatif aux décisions par lesquelles le préfet compétent admet dans une unité pour malades difficiles (UMD) un patient placé en soins psychiatriques sans consentement sous la forme d’une hospitalisation complète, ou refuse sa sortie d’une telle unité, relève de la compétence du juge judiciaire.

Les faits et procédure. M. D a été admis au sein d’une UMD en 2005. La mesure d’hospitalisation d’office, devenue mesure de soins psychiatriques sans consentement sous forme d’une hospitalisation complète, a été depuis renouvelée et s’est poursuivie au sein de la même UMD. Par requête du 4 avril 2022, la préfète de la Gironde a sollicité la prolongation de la mesure d’hospitalisation complète. Lors de cette instance, M. D, favorable au maintien de la mesure, a demandé sa sortie de l’UMD. Par ordonnance du 9 juin 2022, le juge des libertés et de la détention a ordonné le maintien de la mesure hors de l’UMD. Le premier président de la cour d’appel a infirmé l’ordonnance en ce qu’elle a ordonné la mainlevée du placement en UMD et a déclaré la juridiction judiciaire incompétente pour connaître de cette demande.

M. D a alors saisi le tribunal administratif en annulation de la décision implicite de rejet de sa demande du 18 août 2022 de sortie de l’UMD pour une poursuite de ses soins psychiatriques sans consentement dans un établissement de santé ordinaire. Par jugement du 4 avril 2023, le tribunal administratif de Bordeaux a renvoyé au Tribunal des conflits, la question de la compétence.

La décision. Le Tribunal des conflits décide que la juridiction judiciaire est compétente pour connaître du litige relatif aux décisions par lesquelles le préfet compétent admet dans une UMD un patient placé en soins psychiatriques sans son consentement sous la forme d’une hospitalisation complète, ou refuse sa sortie d’une telle unité. Le Tribunal rappelle que toute action relative à la régularité et au bien-fondé d’une mesure d’admission en soins psychiatriques sans consentement prononcée sous la forme d’une hospitalisation complète et aux conséquences qui peuvent en résulter ressortit à la compétence de la juridiction judiciaire. Il ajoute qu’en vertu de l’article R. 3222-1 du Code de la santé publique N° Lexbase : L4245KYU, seuls peuvent être admis dans une UMD les patients faisant l’objet d’une mesure d’admission en soins psychiatriques sans consentement sous la forme d'une hospitalisation complète prononcée soit par le représentant de l’État dans le département ou, à Paris, le préfet de police en application des chapitres III et IV du titre Ier du livre II de la troisième partie du même code, soit par une juridiction pénale en application de l'article 706-135 du Code de procédure pénale N° Lexbase : L7018IQY. Il en résulte la compétence du juge judiciaire pour connaître du litige lié à la demande de sortie d’UMD.  

© Reproduction interdite, sauf autorisation écrite préalable