Questions relatives à la protection des données dans le cadre de la gestion des pandémies

Questions relatives à la protection des données dans le cadre de l'utilisation du coronavirus

La pandémie actuelle oblige les gouvernements et les entreprises à prendre des décisions rapides et de grande envergure.

Compte tenu de cette évolution fulgurante, nous souhaitons vous tenir à nouveau informés des derniers développements dans le domaine Protection des données vous tenir informé afin que vous puissiez, en tant qu'employeur, répondre sans délai inutile aux questions soulevées ayant des implications en matière de protection des données.

Entre-temps, le Commissaire fédéral à la protection des données et à la liberté d'information (BfDI) s'est également prononcé sur la question du traitement des données dans le contexte de la pandémie. Selon le BfDI, les traitements de données suivants – y compris ceux effectués par Données de santé – sont considérées comme autorisées dans le cadre de la prévention et de la lutte contre la pandémie :

Enquête et Traitement données à caractère personnel (y compris les Données de santé) des salariés par l'employeur ou l'autorité de tutelle afin d'empêcher ou de limiter au mieux la propagation du virus parmi les salariés. Cela comprend notamment des informations sur les cas…

• au cours desquels une infection a été constatée ou un contact a été établi avec une personne dont l'infection est avérée.
• au cours desquelles un séjour dans une zone classée à risque par l'Institut Robert Koch (RKI) a eu lieu pendant la période concernée.
• ont séjourné pendant la période concernée dans une zone classée à risque par le RKI.
• la collecte et Traitement données à caractère personnel (y compris les Données de santé) des clients et des visiteurs, notamment afin de déterminer s'ils sont eux-mêmes infectés ou s'ils ont été en contact avec une personne dont l'infection a été confirmée.
• En revanche, la divulgation des données à caractère personnel de personnes dont l'infection est avérée ou suspectée, dans le but d'informer leurs contacts, n'est licite que si la connaissance de leur identité est, à titre exceptionnel, nécessaire à la mise en place de mesures de prévention pour ces contacts.

Sur la base des informations dont nous disposons actuellement, la situation juridique en Allemagne en la matière est comparable à celle qui prévaut au États-Unis comparables. Nos remarques à ce sujet devraient donc servir de référence et de Obligations d'information et les possibilités correspondantes s'appliquent.

FAQ pour les entreprises

En tant qu'entreprise, suis-je tenu de signaler un cas suspect aux autorités sanitaires ?

Réponse : Non. L'obligation de déclaration ne s'applique pas aux entreprises, mais uniquement aux médecins et aux hôpitaux qui constatent un cas d'infection. Cette obligation de déclaration est prévue par la loi sur la protection contre les infections. Si vous signalez un cas suspect aux autorités sanitaires, cela peut, du point de vue de la protection des données, constituer une divulgation de Données de santé sans base juridique. Il s'agirait d'une Violation contre les RGPDqui a été équipé d'un Amende peut être sanctionné.

Même si vous vous sentez tenu de signaler ces soupçons, veuillez garder à l'esprit que les médecins et les hôpitaux sont déjà soumis à une obligation de signalement. Il n'y a donc aucune raison impérieuse pour que vous interveniez vous aussi.

À la demande d'une autorité sanitaire, il convient de données à caractère personnel concernant des employés malades ou ayant séjourné dans des zones à risque. Il n'existe toutefois pas encore d'obligation de déclaration. Cela pourrait toutefois changer.

En tant qu'entreprise, ai-je le droit de collecter les coordonnées personnelles de mes collaborateurs afin de pouvoir les informer des dernières actualités ?

Réponse : La collecte de données de contact personnelles, telles que les numéros de téléphone portable ou fixe ou les adresses e-mail, est autorisée et justifiée par l'intérêt légitime de l'entreprise à assurer une diffusion rapide des informations dans le contexte de la pandémie. Cela doit permettre à l'employeur d'informer les salariés de la fermeture des locaux et des consignes relatives au télétravail, etc., sans que ceux-ci aient à se rendre au bureau au préalable.

Veuillez toutefois noter que ces données, collectées dans ce but précis, ne doivent pas être utilisées à d'autres fins et doivent être supprimées à la fin de la crise ou dès qu'elles ne sont plus nécessaires.

En tant qu'entreprise, dois-je informer le personnel en cas de soupçon ?

Réponse : L'employeur a un devoir de diligence envers ses propres salariés. Il peut en découler une obligation d'informer le personnel d'un cas suspect. Veuillez toutefois garder à l'esprit que le fait d'indiquer qu'un collègue X est peut-être infecté par le virus constitue une divulgation de Données de santé est un problème. Celle-ci est sans Consentement du collègue potentiellement infecté n'est en principe pas autorisée. Demandez donc au collègue concerné de vous confirmer par écrit ou par voie électronique que vous pouvez également mentionner son nom dans une déclaration à ses collègues.

Puis-je communiquer le nom de la personne susceptible d'être infectée au personnel, même sans le nom ? Consentement de la personne ?

Réponse : Cela n’est possible que dans des cas tout à fait exceptionnels, lorsque le salarié n’est pas en mesure de le faire lui-même, parce qu’il reste injoignable malgré des tentatives répétées de le contacter ou qu’il n’est plus en mesure de donner son consentement, et que la protection du personnel ne peut être assurée d’aucune autre manière. En règle générale, il ne sera toutefois pas nécessaire de communiquer le nom de la personne potentiellement infectée au personnel.

Un tel cas exceptionnel pourrait par exemple se présenter si l'infection d'un collègue a été détectée positivement, mais que celui-ci n'est plus joignable ou est si gravement malade qu'aucune communication n'est possible. En raison de la forte probabilité de contamination d'autres collègues, toute personne ayant été en contact avec la personne infectée doit se faire tester le plus rapidement possible. Dans ce cas, il serait utile de mentionner le nom de la personne infectée, même sans son consentement. Consentement admissible.

Les autorités de surveillance considèrent également qu'une approche progressive est admissible. Ainsi, dans un premier temps, l'information relative à un cas d'infection doit être communiquée au niveau du service ou de l'équipe, sans mentionner de noms concrets.

Si, à titre exceptionnel, cela ne suffit pas, l'employeur doit prendre contact avec les autorités sanitaires et solliciter leur décision. Compte tenu de la charge de travail des autorités sanitaires, cette mesure doit toutefois être envisagée avec prudence.

S'il n'est pas possible d'obtenir une réponse des autorités sanitaires, les autres employés peuvent être informés, en citant le nom de l'employé concerné, du soupçon d'infection ou de maladie de celui-ci, afin de localiser et de contenir les sources d'infection.

En tant qu'entreprise, dois-je enquêter moi-même sur les contacts de l'employé en cas de soupçon ?

Réponse : Non. Si vous avez informé publiquement le personnel du risque d’infection virale au sein de l’entreprise afin de protéger vos salariés, vous avez rempli votre devoir de diligence. Une entreprise n’est pas tenue de collecter d’autres données pour identifier les contacts potentiels du collègue susceptible d’être infecté. Il vous appartient bien sûr de prendre les mesures préventives appropriées, comme par exemple demander au personnel – dans la mesure du possible – de renoncer aux déplacements professionnels et aux rendez-vous en présentiel chez ou avec des partenaires commerciaux et/ou de recourir au télétravail.

Du point de vue des autorités de contrôle, il est autorisé de recueillir des informations sur les personnes avec lesquelles un salarié malade a été en contact.

Puis-je demander à mes collaborateurs s'ils ont été infectés par le virus ?

Réponse : À moins d’être soumis à une obligation légale en la matière, vous n’avez pas le droit de poser cette question sous cette forme. Les employeurs du secteur de la santé ou de la restauration peuvent être soumis à une telle obligation légale. Dans les autres professions, la santé des salariés relève en principe de leur vie privée. Si vous posez néanmoins cette question de manière concrète, vous agissez très probablement sans fondement juridique.

Il serait toutefois admissible de demander où le salarié s'est rendu ces derniers jours ou ces dernières semaines. La réponse à cette question ne permet bien sûr pas à elle seule de tirer des conclusions directes sur l’état de santé du salarié. En tant qu’employeur, vous pourriez toutefois, en cas de séjour dans une zone à risque, prendre les mesures de sécurité qui s’imposent, comme par exemple mettre le salarié en congé jusqu’à nouvel ordre ou, dans la mesure du possible, le faire passer en télétravail.

Du point de vue des autorités de contrôle également, il est autorisé de demander aux employés s'ils ont séjourné dans une zone à risque.

Dois-je informer mes partenaires commerciaux d'un cas suspect de pandémie au sein de mon entreprise ?

Réponse : La législation sur la protection des données ne prévoit pas d'obligation d'information à cet égard. Toutefois, s'il existe un risque de contamination, une obligation d'information peut découler des obligations générales de diligence entre les parties contractantes.

Si vous informez vos partenaires commerciaux d'un cas suspect, sachez toutefois que la mention du nom de la personne potentiellement infectée ne peut se faire qu'avec son accord. Consentement est possible et qu'elle doit par ailleurs être évitée.

Dois-je établir des listes de participants lors des événements afin de pouvoir les transmettre aux autorités sanitaires si un cas d'infection venait à être détecté par la suite ?

Réponse : Il n'existe aucune obligation légale d'établir une telle liste. Vous pouvez toutefois, sur demande, transmettre les noms recueillis aux autorités sanitaires dans l'intérêt général. Si vous avez l'intention d'établir une telle liste avant même la tenue d'un événement, vous devez informer les participants dans le cadre de la Obligations d'information selon l'art. 13 RGPD informer que les données collectées peuvent être transmises aux autorités sanitaires en cas d'infection par le virus.

Ai-je le droit de transmettre une liste de participants déjà existante aux autorités sanitaires si celles-ci m'en font la demande ?

Réponse : Une liste de participants déjà établie à d'autres fins peut être communiquée dans un nouveau but, à savoir la recherche des personnes ayant été en contact avec des cas confirmés. La protection de la vie et de la santé des personnes potentiellement concernées prime et autorise un changement de finalité correspondant. Si ce cas se présente et que vous transmettez la liste, vous devez en informer les personnes figurant sur cette liste. Un e-mail ou une simple lettre suffit à cet effet.

Dois-je répondre à la question de l'employeur concernant une infection pandémique ?

Réponse : Vous n’êtes tenu de répondre honnêtement à une telle question posée par votre employeur que dans les cas où vous-même ou votre employeur êtes soumis à une obligation légale en la matière. Une telle obligation existe, par exemple, pour les professionnels de santé et les personnes travaillant dans le secteur de la restauration. Si vous ne travaillez pas dans ces secteurs et que vous n’avez pas connaissance d’une autre obligation de communiquer votre état de santé, vous n’êtes pas tenu de répondre à cette question. Si une autre obligation existait, dont vous n’aviez pas connaissance jusqu’à présent, votre employeur vous en informera généralement dans le cadre de l’entretien.

Il suffit donc en principe d'informer l'employeur d'une incapacité de travail pour cause de maladie, comme cela se fait habituellement au moyen d'un arrêt de travail.

Vous êtes toutefois libre, afin de protéger vos collègues et vos clients, d'informer votre employeur d'une éventuelle infection par le virus.

Dois-je informer mon employeur si je me suis rendu dans une zone d'épidémie ?

Réponse : La législation allemande ne prévoit actuellement pas que vous soyez tenu de communiquer cette information. Toutefois, là encore, vous êtes libre de la transmettre à votre employeur dans l'intérêt de vos collègues et de vos clients.

Approche spécifique des États européens

Italie

Seules les personnes travaillant dans le secteur de la santé ou dans la protection civile sont autorisées à demander des informations sur l'état de santé des personnes concernées. Les salariés chez qui l'on soupçonne une infection sont toutefois tenus d'en informer leur employeur et les services de santé.

Compte tenu de la situation critique dans laquelle nous nous trouvons, l'employeur devrait prendre les mesures suivantes :

Faciliter la communication entre le personnel de santé et les collaborateurs (par exemple, en leur communiquant un numéro central qu'ils peuvent appeler)

Recommandez aux personnes qui se sont rendues dans les pays à risque d'en informer les services de santé

Informer les autorités sanitaires des cas d'infection présumés au sein de l'entreprise

Source : garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9282117

Grande-Bretagne

La situation en matière de protection des données est comparable à celle qui prévaut en Italie. Le gouvernement britannique a par ailleurs publié des directives très détaillées sur la manière de se comporter dans de telles situations.

Seuls les professionnels de santé agréés peuvent collecter des données de santé ou médicales. Par conséquent, l'employeur ne peut pas Données de santé auprès des salariés. En cas de suspicion d'infection par le virus chez un salarié, la direction de l'entreprise doit en informer Public Health England (PHE), qui la conseillera alors sur les mesures appropriées à prendre.

Pour l'instant, les autorités ne recommandent pas encore la fermeture des bureaux, etc., mais elles préconisent les mesures suivantes :

Il est recommandé aux personnes qui se sont rendues dans les zones à risque de surveiller leur état de santé

Le Public Health England (PHE) doit être informé si l'on soupçonne que l'infection se propage au sein de l'entreprise.

Source : gov.uk/government/publications/guidance-for-social-or-community-care-and-residential- settings-on-covid-19/guidance-for-social-or-community-care-and-residential-settings-on-covid-19

France

Comme on pouvait s'y attendre, en France aussi, l'employeur peut prendre des mesures générales, telles que la diffusion de consignes sanitaires à l'ensemble des salariés et le rappel de la recommandation du gouvernement invitant les salariés à informer leur employeur s'ils reviennent d'une de ces zones à risque. Par ailleurs, selon la législation française, les employeurs devraient autorité de contrôle La CNIL s'abstient de collecter des informations relatives à la recherche de symptômes potentiels, que ce soit de manière systématique et générale ou à la suite de demandes individuelles.

Il est recommandé au salarié d'informer ses collègues avant de reprendre le travail s'il revient de l'une de ces zones à risque. L'employeur n'a toutefois pas le droit de demander à un salarié s'il a passé ses vacances dans l'une de ces zones à risque.

Si l'employeur a connaissance du retour d'un salarié en provenance d'une des zones à risque, il doit recommander à ce salarié, dans le cadre de son obligation en matière de santé et de sécurité (article L.4121-1 du Code du travail), de travailler à domicile ou d’aménager son poste de travail de manière à limiter le risque de contamination.

Si l'employeur ne peut pas adapter le poste de travail du salarié afin de limiter les contacts, et si le télétravail n'est pas compatible avec la nature de son activité, l'employeur peut demander au salarié de rester chez lui.

Comme dans les deux autres pays, un salarié doit informer son employeur s’il soupçonne avoir été en contact avec le virus. En cas de risque avéré, le salarié concerné ou, si cela n’est pas possible, l’employeur doit appeler le service d’urgence médicale (SAMU). Dans ce cas, l'employeur peut consigner la date et l'identité de la personne qui a pu être exposée au virus afin de pouvoir communiquer aux autorités sanitaires, à leur demande, les informations relatives au type d'exposition nécessaires à la prise en charge sanitaire ou médicale de la personne potentiellement atteinte.

L'employeur devrait prendre contact avec le médecin du travail de l'entreprise afin de discuter de la meilleure façon de mettre en œuvre les recommandations du gouvernement concernant la protection des autres salariés.

Source :

gouvernement.fr/info-coronavirus https://www.cnil.fr/fr/coronavirus-covid-19-les-rappels-de-la-cnil-sur-la-collecte-de-donnees-personnelles https://travail-emploi.gouv.fr/actualites/l-actualite-du-ministere/coronavirus-questions-reponses-entreprises- salaires

Bien que nous estimions que les informations contenues dans le présent document sont exactes, il s’agit d’informations juridiques et commerciales générales qui ne sont pas adaptées aux spécificités de votre situation.  Elles ne constituent en aucun cas un conseil juridique. Pour obtenir des conseils juridiques adaptés à vos besoins, veuillez vous adresser à un avocat habilité à exercer dans votre pays.