Pour rappel, en vertu du RGPD, un traitement de données à caractère personnel peut être effectué lorsque ce traitement est nécessaire au respect d’une obligation légale reposant sur le responsable du traitement.
Cela semble plutôt clair, et pourtant…
Dans une décision du 16 juin 2020, l’APD a précisé les conditions selon lesquelles une obligation légale peut être invoquée.
De quoi s’agissait-il ?
Afin de lutter contre le harcèlement scolaire, une école avait pris l’initiative de mettre au point une enquête. Cette enquête était appelée enquête « bien-être ». En pratique, les questions posées aux élèves visaient à évaluer leur environnement scolaire.
Parmi les questions posées, certaines encourageaient l’enfant à identifier d’autres élèves. Ces derniers étaient tantôt les victimes, tantôt les auteurs d’actes de harcèlement.
Un parent d’élève a déposé une plainte devant l’APD concernant cette enquête. Il estimait que l’enquête constituait un traitement de données contraire aux prescrits du RGPD.
A l’occasion de cette affaire, l’APD a déclaré que l’école ne pouvait pas s’appuyer sur une obligation légale pour ce traitement de données.
Dans un premier temps, l’APD a infligé une amende de 2.000 euros. Cette décision a fait l’objet d’un recours devant la Cour des Marchés. Finalement, l’APD a réduit l’amende à 1.000 euros suite à la limitation des infractions retenues. De manière surprenante, l’APD a estimé, et l’a confirmé dans sa deuxième décision, que l’école n’était pas une autorité publique dispensée d’amende administrative.
D’après l’APD, être une « autorité publique » au sens de l’article 5 §2 de la loi du 30 juillet 2018 n’implique pas de pouvoir invoquer l’exemption d’amendes administratives prévue à l’article 221§2 de la même loi. Cette exemption ne vise que les autorités publiques « classiques ». Pour plus d’informations sur la notion d’autorité publique, nous vous renvoyons à cette news.
N’existe-t-il pas une obligation légale pour l’école d’assurer le bien-être des élèves ?
A première vue, l’école à l’origine de l’enquête a défendu qu’elle était nécessaire au respect d’une obligation légale à laquelle l’école est soumise (art. 6.1. c) RGPD).
Après tout, l’école a l’obligation de mettre en place des mesures de prévention et d’encadrement dans les domaines suivants :
- la carrière scolaire,
- l’apprentissage et l’étude,
- le fonctionnement psychique et social,
- les soins de santé préventifs.
Il existe donc bien une obligation pour l’école de prendre des mesures en vue du fonctionnement psychique et social des enfants. Cependant, l’APD va qualifier cette obligation d’obligation « générale ».
Qu’est-ce que cela signifie ?
Une obligation générale ou spécifique ?
Ici, l’APD reconnait qu’il existe une obligation générale en matière d’encadrement des élèves.
En revanche, il n’existe aucune obligation spécifique de faire une enquête qui permet l’identification de la personne concernée.
Finalement, le choix de remplir cette obligation par une enquête est une décision autonome de l’école.
Un traitement de données nécessaire ?
Le traitement est justifié s’il est nécessaire au respect de l’obligation légale.
Cependant, pour l’APD, le traitement ne peut être considéré « nécessaire ». L’enquête telle qu’elle a été réalisée n’est pas le seul moyen possible pour remplir ces obligations. En réalité, l’école aurait pu se limiter à la réalisation d’une enquête anonyme.
En conclusion
Ainsi, une obligation légale générale d’obtenir un résultat n’est pas suffisante pour justifier à elle seule le traitement si cette finalité peut être atteinte par d’autres moyens.
Ici, la mise en œuvre concrète de l’obligation est laissée à l’appréciation des responsables du traitement. Ils prennent eux-mêmes la décision de procéder au traitement de données.
Par conséquent, ce traitement n’est pas justifié par l’obligation légale en elle-même s’il n’est pas nécessaire à l’accomplissement de l’obligation.
Mais alors, quelle base légale pourrait justifier ce traitement de données ?
En l’absence d’obligation légale spécifique, est-il possible d’invoquer la nécessité pour l’exécution d’une mission d’intérêt public ? Nous examinons cette question ici.
En l’espèce, ce n’est pas cette voie qu’indique l’APD. Elle considère que le consentement constitue la seule base juridique valable pour le traitement de données via l’enquête “bien-être”. Ce raisonnement est confirmé par la Cour des marchés.
Encore faut-il que le consentement soit récolté conformément au RGPD ! En l’espèce, ici se pose la question de la minorité digitale.
Our advice:
- Vérifiez si vous invoquez une obligation légale pour un traitement de données.
- Si c’est le cas, assurez-vous que :
- l’obligation légale soit “spécifique” ou
- le traitement soit nécessaire au respect de cette obligation.
Si ce n’est pas le cas, le traitement de données peut s’avérer contraire au RGPD et l’APD pourrait imposer une sanction administrative.