Afin de respecter les grands principes du Règlement Général sur la Protection des Données (ci-après « RGPD »), la Commission Nationale de l’Informatique et des Libertés (CNIL) a été amenée à préciser les grands principes en matière de collecte de données sensibles telles que les données de santé. Ainsi, la CNIL a rappelé ce que l’employeur peut et ne peut pas faire, même dans un contexte de crise sanitaire.
LES RECOMMANDATIONS DE LA CNIL
Ce que l’employeur ne peut pas faire
Les employeurs ne peuvent pas prendre des mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus.
La CNIL ordonne aux employeurs de s’abstenir de collecter de manière systématique et généralisée, ou au travers d’enquêtes et demandes individuelles, des informations relatives à la recherche d’éventuels symptômes présentés par un employé/agent et ses proches. L’employeur ne pourra donc pas mettre en place les procédures suivantes :
- Des relevés obligatoires des températures corporelles de chaque employé/agent/visiteur à adresser quotidiennement à sa hiérarchie ;
- La collecte de fiches ou questionnaires médicaux auprès de l’ensemble des employés/agents.
Ce que l’employeur peut faire
L’employeur est responsable de la santé et de la sécurité des salariés/agents conformément à l’article L4121-1 du Code du travail et des textes régissant la fonction publique.
L’employeur peut en revanche :
- Sensibiliser et inviter ses employés à effectuer des remontées individuelles d’information les concernant en lien avec une éventuelle exposition, auprès de lui ou des autorités sanitaires compétentes ;
- Faciliter leur transmission par la mise en place, au besoin, de canaux dédiés ;
- Favoriser les modes de travail à distance et encourager le recours à la médecine du travail.
C’est uniquement en cas de signalement, qu’un employeur pourra consigner la date et l’identité de la personne suspectée d’avoir été exposée et les mesures organisationnelles prises par ce dernier telles que le confinement, le télétravail ou encore l’orientation et prise de contact avec le médecin du travail
L’employeur pourra ainsi communiquer aux autorités sanitaires, sur demande de ces dernières, les éléments liés à la nature de l’exposition, nécessaires à une éventuelle prise en charge sanitaire ou médicale de la personne exposée.
Les entreprises peuvent également établir un « plan de continuité de l’activité » (PCA), qui a pour objectif de maintenir l’activité essentielle de l’organisation. Ce plan devra prévoir toutes les mesures pour protéger la sécurité des employés, identifier les activités essentielles devant être maintenues et également les personnes nécessaires à la continuité du service.
Conformément à l’article L4122-1 du Code du travail, chaque employé/agent doit pour sa part mettre en œuvre tous les moyens afin de préserver la santé et la sécurité d’autrui et de lui-même notamment en informant son employeur en cas de suspicion de contact avec le virus.
Enfin, des données de santé peuvent être collectées uniquement par les autorités sanitaires, qualifiées pour prendre les mesures adaptées à la situation. Par conséquent, l’évaluation et la collecte des informations relatives aux symptômes du coronavirus et des informations sur les mouvements récents de certaines personnes relèvent de la responsabilité de ces autorités publiques.
LES RÈGLES DE SÉCURITÉ EN TÉLÉTRAVAIL
Pour faire face à la crise sanitaire, un grand nombre d’employeur ont favorisé le télétravail mais quelles sont les règles à respecter pour garantir un niveau de sécurité et confidentialité maximum ?
Nos recommandations en sept (7) points :
- Equiper les ordinateurs d’un système d’exploitation Les recommandations en termes de système d’exploitation sont : Windows 8.1 ou Windows 10, Mac Ios 10. Si les systèmes d’exploitation ne sont pas conformes, nous vous recommandons d’interdire la connexion et de vous tourner vers votre prestataire informatique afin de mettre à jour le système d’exploitation ;
- Garantir que les mises à jour soient activées et gérées par le prestataire informatique. Nous vous conseillons d’informer le prestataire informatique pour tous les accès supplémentaires non identifiés au début de la mise en place des postes. Le risque étant d’infecter le système d’exploitation et de bloquer les accès aux autres employés ;
- Maitriser les usages notamment veiller à ce que les enfants n’aient pas accès aux ordinateurs utilisés par vos salariés ;
- Vérifier la robustesse des mots de passe d’ouverture des sessions : la CNIL recommande 12 caractères comprenant des minuscules, majuscules, chiffres et caractères spéciaux ;
- Equiper les postes d’un anti-virus et vérifier qu’il soit activé. Nous recommandons de faire un scan anti-virus avant tout accès au serveur, cloud, etc…
- Sécuriser la connexion entre l’ordinateur et le serveur par un VPN par exemple qui doit garantir la confidentialité des échanges. Nous vous conseillons de faire évoluer les pares-feux pour supporter toutes les connexions.
- Informer votre prestataire informatique pour ajouter des postes personnels ou professionnels actuellement non compris dans votre contrat initial afin qu’il puisse assurer une surveillance de ces postes ;
- Equiper les postes de travail de sauvegardes en ligne pour se prémunir de la perte de données personnelles.
