Un salarié consulte des données sans autorisation : que faire ?

Introduction

L’accès indu par un membre du personnel est un incident fréquent et mal traité : consultation de dossiers par curiosité, extraction de fichiers clients avant un départ, compte d’un ancien salarié resté actif.

La qualification au titre des données personnelles

L’accès non autorisé à des données personnelles constitue une violation, quelle qu’en soit l’origine.

L’origine interne ne l’écarte pas : la question est celle de l’autorisation, non de la position de l’auteur.

Les obligations habituelles s’appliquent : appréciation du risque, notification le cas échéant, information des personnes en cas de risque élevé, inscription au registre.

Les trois situations types

La consultation par curiosité, sans usage ultérieur : un salarié consulte le dossier d’un collègue, d’un voisin, d’une personne connue. Le risque pour les personnes est réel lorsque les données sont sensibles.

L’exfiltration avant un départ : copie du fichier clients, des tarifs, des contacts. S’y ajoutent alors des enjeux de concurrence déloyale et de secret des affaires.

Le compte non révoqué : un ancien salarié conserve un accès actif. Ce cas révèle un manquement du responsable lui-même en matière de gestion des habilitations.

Le volet probatoire

La preuve repose généralement sur la journalisation des accès.

Elle n’est utilisable que si le dispositif de journalisation a été régulièrement mis en place : information des salariés, consultation des représentants du personnel lorsqu’elle est requise, inscription au registre des traitements, durée de conservation proportionnée.

Une journalisation occulte fragilise la preuve et expose l’employeur à un grief supplémentaire.

Le constat doit être établi avec soin, le cas échéant par un commissaire de justice, avant toute manipulation des supports.

Le volet disciplinaire

La sanction suppose une règle préexistante et connue.

Une charte informatique, une clause du règlement intérieur ou une note de service définissant les règles d’accès et l’interdiction des consultations hors besoin professionnel constitue le fondement nécessaire.

En son absence, la sanction est fragile : le salarié disposait techniquement de l’accès et aucune règle explicite ne le lui interdisait.

La proportionnalité de la sanction s’apprécie au regard de la nature des données, de l’usage fait, de l’ancienneté et des fonctions.

Le volet pénal

Le code pénal réprime l’accès et le maintien frauduleux dans un système de traitement automatisé de données.

Il réprime également le détournement de la finalité d’un traitement de données personnelles.

L’extraction de données à des fins concurrentielles peut par ailleurs relever du vol de données et de l’atteinte au secret des affaires.

Le dépôt de plainte se décide au regard de la gravité, de la volonté de l’entreprise et des suites civiles envisagées.

Le volet organisationnel

Chaque incident de ce type révèle une faiblesse de la gestion des habilitations.

Un salarié n’aurait pas dû pouvoir consulter des dossiers étrangers à ses fonctions ; un compte n’aurait pas dû rester actif après le départ.

La revue des habilitations, la procédure de départ et la restriction des accès au besoin d’en connaître constituent les mesures correctives attendues, et seront examinées par l’autorité si elle est saisie.

Traiter les trois volets ensemble

Discipline, pénal et données personnelles s’articulent, et une erreur sur l’un compromet les autres. Notre expertise en droit du travail accompagne ces dossiers.

En résumé

• L’accès indu interne est une violation de données à part entière.
• La preuve suppose une journalisation régulièrement déclarée et proportionnée.
• La sanction disciplinaire suppose une règle préexistante et connue.
• Un volet pénal existe : accès frauduleux, détournement de finalité, atteinte au secret des affaires.
• Chaque incident révèle une faiblesse d’habilitation, qui doit être corrigée.