Coronavirus : Obligation de sécurité de l’employeur et vie privée du salarié

La gestion par l’employeur des cas de salariés victimes de l’épidémie pose nécessairement les enjeux toujours délicats de collecte de données sensibles. Dans une publication officielle du 6 mars 2020, la CNIL rappelle notamment que l’employeur ne peut pas prendre des mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus.

En vertu des dispositions du code du travail, l’employeur est tenu à une obligation de sécurité "de moyens renforcés" et doit prendre toutes les mesures utiles à la protection des salariés de l’entreprise. Sur le fondement des principes généraux de prévention, il revient à l’employeur d’appréhender les risques pouvant impacter la santé des salariés, dans tous les aspects liés au travail. Il doit donc être effectué un véritable travail d’analyse des modalités d’exposition des salariés à des dangers ou à des facteurs de risques. D’ailleurs, le Gouvernement rappelait, dans ses recommandations actualisées le 9 mars 2020, que le contexte épidémique actuel justifie la mise à jour du document unique d’évaluation des risques, en lien avec le CSE et les services de santé au travail. En cas de manquement fautif de l’employeur à ces obligations, s’il ne démontre pas avoir pris les mesures propres à préserver la santé et la sécurité des salariés, ces derniers peuvent prétendre à réparation.

Afin de prévenir les risques de contamination et les cas potentiels, du fait de contact avec la personne contaminée, l’employeur peut être tenté de demander aux salariés ayant eu contact avec le salarié malade de se manifester. S’il relève de la responsabilité de l’employeur d’informer ses salariés de faits importants présentant des risques sanitaires pour les employés, la diffusion de l’identité de la personne à l’ensemble des salariés peut être, dans certaines conditions, considérée comme une faute engageant la responsabilité de l’employeur.

Lorsqu’il est informé de l’état de santé d’un salarié, l’employeur est tenu à une obligation de discrétion. Dans le cadre du respect de la vie privée au sein de l’entreprise, le salarié est fondé à en obtenir la protection en fixant les limites de ce qui peut être rendu public, notamment sur son état de santé et les répercussions que cela peut entrainer¹. Des risques de discrimination envers l’employé concerné se posent également du fait de sa désignation individuelle et des conséquences attachées.

Sous l’angle du droit de la protection des données personnelles, il peut être envisagé que la diffusion de l’identité du salarié ne soit pas nécessairement un traitement de données, au sens de l’article 4-2 du RGPD, mais une action inédite et isolée.

En tout état de cause, s’il était qualifié comme tel, par dérogation à l’interdiction de traitement des données sensibles par l’employeur, la base légale du traitement envisagée pourrait être l’intérêt légitime ou l’obligation légale en matière de droit du travail, ou aux fins de la médecine préventive ou de la médecine du travail (RGPD, art. 9-2 h) + art 6 1c)). L’identification individuelle du salarié concerné à travers une communication à l’échelle globale de l’entreprise pourrait poser des enjeux de proportionnalité, de cybersécurité et ainsi remettre en cause la licéité du traitement.

Selon le Ministère du travail, une fois l’employeur informé de la maladie confirmée du salarié, il doit informer le médecin du travail qui dispose d’un rôle exclusif de prévention des risques professionnels et d’information des salariés. La diffusion de l’identité du salarié n’est donc pas nécessaire. Des informations factuelles peuvent, en revanche, être éventuellement communiquées (notamment aux représentants du personnel ou au reste des salariés, si les circonstances l’exigent) telles que la survenance d’un cas confirmé au sein de l’entreprise, le service concerné, les lieux et dates auxquels cette personne a été présente sur les sites de l’entreprise, ou encore la date à partir de laquelle le salarié concerné n’a plus été sur site.

Il peut également être recommandé de communiquer sur la prévention de la maladie et d’indiquer aux salariés de surveiller l’apparition éventuelle de symptômes en leur suggérant de prévenir l’employeur si ces symptômes surviennent. Cette disposition peut, par ailleurs, avoir un caractère obligatoire au titre du règlement intérieur de l’entreprise.

S’il en est informé, et à condition qu’il en soit autorisé, l’employeur peut éventuellement indiquer aux salariés l’existence d’investigations diligentées par les Autorités de santé, notamment à des fins d’enquête épidémiologique.

Notons que dans la mesure où la situation actuelle peut être qualifiée d’« exceptionnelle », une certaine tolérance des autorités peut être envisagée quant à l’appréciation de la proportionnalité des mesures mises en œuvre, à des fins de protection des salariés.
________________________________________
1 TGI Paris 7-6-1989 n° 88-14877, 1e ch., D. c/ Sté Burke Marketing Research