La collecte de données personnelles en libre accès sur internet peut être déloyale

La collecte de données personnelles en libre accès sur internet peut être déloyale

Faits : A la demande du directeur de la sécurité d’une société, un enquêteur privé a effectué des recherches sur les salariés, candidats à l'embauche, clients ou prestataires de cette société portant sur leurs données à caractère personnel (antécédents judiciaires, renseignements bancaires et téléphoniques, véhicules, propriétés, qualité de locataire ou de propriétaire, situation matrimoniale, santé, des déplacements à l'étranger).

Les informations collectées sont issues de la capture et du recoupement d’informations diffusées sur des sites publics.

Décision
Le moyen de collecte de ces données est considéré comme déloyal dans les rapports employeur/employé dès lors que, issues de la capture et du recoupement d'informations diffusées sur des sites publics tels que sites web, annuaires, forums de discussion, réseaux sociaux, sites de presse régionale, de telles données ont fait l'objet d'une utilisation sans rapport avec l'objet de leur mise en ligne et ont été recueillies à l'insu des personnes concernées, ainsi privées de leur droit d'opposition.

Pour la Cour, le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte, dès lors qu'une telle collecte, de surcroît réalisée à des fins de profilage des personnes concernées et d'investigation dans leur vie privée, à l'insu de celles-ci, ne pouvait s'effectuer sans qu'elles en soient informées.

Que retenir ?

  • Les données doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée(RGPD art. 5,1 a)
  • la collecte de ces données requiert l’informationde cette personne (RGPD, art 12,1) afin de lui permettre d’exercer son droit d’opposition (RGPD art. 21)
  • Il est sans incidence queles données soient accessibles librement sur internet dès lors que leur utilisation est sans rapport avec l’objet de leur mise en ligne. La Cour de cassation française réaffirme ici ce principe dans une contexte impliquant des rapports employeur et employé.