Business Tech & Privacy – Confidentialité et négligence
Confidentialité et négligence : de l’e-mail groupé au TGV, deux exemples récents de données mal protégées.
De quoi parle-t-on ?
Deux incidents récents soulèvent des questions quant à l’intégration effective du RGPD dans les pratiques quotidiennes des entreprises.
Le 21 août 2025, un passager d’un TGV a entendu une conversation téléphonique entre deux responsables des ressources humaines, discutant ouvertement du licenciement imminent d’un salarié. Les échanges évoquaient même une faute « à trouver » pour motiver le licenciement.
Le 11 septembre 2025, une responsable des ressources humaines d’une entreprise en recherche d’un collaborateur en CDD a envoyé un e-mail de refus groupé aux 340 postulants pour le poste, suite à un oubli d’utiliser le champ « CCI » (copie cachée).
Un clic, une conversation, et la donnée fuit
Il ne fait aucun doute que ces deux histoires entrent dans le champ d’application du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »).
En effet, la notion de « données à caractère personnel » est définie à l’article 4 (1) du RGPD et se compose de quatre éléments cumulatifs, à savoir :
- « toute information »
- « se rapportant à »
- « une personne physique »
- « identifiée ou identifiable »
En effet, la notion « toute information » a une portée volontairement très large, ce qui inclut :
- Une information objective : comme une caractéristique d’une personne (nom, prénom) ou un fait (lieu de travail) ;
- Une information subjective : comme une opinion, une appréciation ou une évaluation (un commentaire d’un supérieur hiérarchique, une appréciation tant positive que négative).
Le support de l’information est indifférent, car une donnée orale peut, selon les cas, être qualifiée de donnée à caractère personnel.
Il n’est pas non plus requis que l’information soit exacte, vérifiée ou complète.
Si la qualification de données à caractère personnel est une question de contexte et doit faire l’objet d’une analyse au cas par cas, il est néanmoins constant que les noms, prénoms, adresses électroniques, ainsi que l’association d’éléments identifiants à un lieu de travail, relèvent indiscutablement du champ d’application du RGPD.
Ainsi, les informations entendues et aperçues dans le train qui ont permis de retrouver le salarié, ainsi que les adresses e-mails qui ont permis de rassembler les 340 postulants, entrent dans cette définition.
Des erreurs banales aux conséquences graves pour le responsable du traitement
L’envoi d’un e-mail de refus à 340 candidats en copie visible a ainsi exposé leurs adresses électroniques à l’ensemble des destinataires.
De même, évoquer un licenciement imminent, en citant le prénom et/ou le nom d’un salarié, ainsi que le nom de l’entreprise, et en laissant apparaître des informations professionnelles sur un ordinateur portable dans un espace public, tel qu’un train, revient à exposer des données personnelles à des tiers non autorisés.
Dans les deux cas, les entreprises, en tant que responsable du traitement, sont confrontées au principe de l’article 5 point 1. (f.) du RGPD, à savoir le principe d’intégrité et de confidentialité des données.
Ce principe impose de traiter les données à caractère personnel de façon à garantir, à l’aide de mesures techniques ou organisationnelles appropriées, une sécurité appropriée des données à caractère personnel, y compris contre le traitement non autorisé, illicite et la perte.
L’article 32 du RGPD précise cette obligation et impose la mise en œuvre de moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement.
En cas de violation, comme en l’espèce, l’article 33 du RGPD prévoit l’obligation de notifier l’autorité de contrôle compétente dans les meilleurs délais, et si possible dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées.
Le considérant 85 du RGPD rappelle que l’objectif de cette notification est de limiter les dommages subis par les personnes physiques, tels qu’une atteinte à leur réputation, une perte de confidentialité de données à caractère personnel protégées par le secret professionnel ou encore tout autre dommage économique ou social important.
Bien que d’autres principes puissent trouver à s’appliquer en l’espèce et conduire à des sanctions, il apparaît évident qu’une enquête d’une autorité de contrôle mettrait en lumière des défaillances dans les mesures internes des entreprises concernées.
Enfin, selon la nature des violations constatées, l’article 83 du RGPD prévoit des amendes administratives pouvant atteindre 20.000.000 d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.
À cela s’ajoutent les conséquences indirectes, mais tout aussi importantes, telles qu’un risque réputationnel majeur, une perte de confiance des collaborateurs et autres parties prenantes, voire un risque de poursuite judiciaire.
Prévenir plutôt que subir : les bons réflexes RGPD en entreprise
Ces deux incidents prouvent que la protection des données personnelles repose avant tout sur des mesures quotidiennes simples, concrètes et répétées.
Parmi les points essentiels, on compte :
- La formation et sensibilisation des collaborateurs à l’utilisation correcte des outils informatiques, notamment de messagerie et à l’importance de la confidentialité dans les échanges internes et externes et aux risques liés au non-respect du RGPD ;
- La mise en place d’une charte interne relative aux données à caractère personnel et de politiques strictes de confidentialité pour tout échange sensible, que ce soit en réunion, en déplacement, par téléphone ou à distance ;
- L’encadrement de l’utilisation des outils informatiques, notamment par la fourniture de matériel adéquat renforçant la confidentialité et encourageant les bonnes pratiques en matière de communication ;
- La mise en place et la mise à jour régulière des politiques internes et procédures de gestion des incidents, telles qu’une notification interne, évaluation des risques pour les personnes, documentation et, le cas échéant, notification à la CNPD sous 72 heures.
- La protection des traitements de données grâce à des mesures techniques (sécurisation informatique) et organisationnelles (procédures, contrôles internes) effectives ;
- L’information claire des personnes concernées (internes et externes) sur la protection de leurs données et garantir l’exercice effectif de leurs droits (accès, rectification, effacement, opposition).
La conformité RGPD n’est pas une checklist standardisée, les autorités de contrôle repèrent rapidement les approches génériques et voient qu’elles ne répondent pas aux besoins réels de l’entreprise.
Les mesures de mise en conformité ne sont pas universelles et doivent être adaptées à la réalité de chaque organisation, selon sa taille, son secteur, ses données et ses pratiques internes.
Nous accompagnons nos clients dans cette démarche et sommes à votre disposition pour en parler.
➡️ Pour toute question relative à la matière IP/IT ou plus précisément liée à la protection des données, n’hésitez pas à contacter Mathilde Wazana Moock ou Nicolas Thieltgen.