Le délégué à la protection des données dans une enquête privée

L’article 20 de la Loi du 18 mai 2024 réglementant la recherche privée oblige toute entreprise et tout service interne de recherche privée à engager ce délégué, ou à conclure une convention avec un délégué externe. La loi vous laisse donc le choix entre un collaborateur interne et un prestataire. Elle ne vous laisse pas le choix de vous en passer.

L’article 2, 17°, définit le service interne comme tout service qu’une entreprise organise pour ses propres besoins afin d’exercer de manière structurelle des activités de recherche privée, ou qui se présente comme tel.

Le service du personnel qui enquête lui-même après un incident bénéficie d’une exception étroite. L’article 43, alinéa 4, dispense ses membres de la carte d’identification lorsqu’ils mènent, pour leur propre employeur, une enquête sur un incident à charge des travailleurs de cet employeur. L’alinéa 5 précise qu’ils exécutent leurs activités de recherche conformément aux dispositions de la loi. Les règles de fond de la loi continuent donc à s’appliquer.

L’autorité de contrôle inflige cette amende, et non le fonctionnaire sanctionnateur de l’Intérieur. L’article 151, § 2, renvoie les infractions aux articles 20, 56 à 62 et 71 à 73 à l’article 221 de la loi relative au traitement des données à caractère personnel. Ces articles touchent au délégué, à l’exigence de consentement, aux domaines d’enquête interdits et à l’usage du rapport d’enquête.

Les autres infractions à la loi sur la recherche privée suivent une autre voie. L’article 151, § 1er, y autorise une amende administrative de 100 à 25.000 euros, selon les fourchettes du tableau des amendes annexé à la loi. L’article 152 rend l’amende obligatoire en cas de récidive dans les trois ans.

La sanction de nullité relève d’un autre mécanisme. L’article 101, alinéa 4, prescrit dix articles à peine de nullité : les articles 7, 8, 57, 58, 62, 65, 81, 87, 96 et 109. L’article 20 ne figure pas dans cette liste, l’article 65 si. Ce dernier n’autorise une mission visant un travailleur du donneur d’ordre que si l’autorisation et les modalités des enquêtes privées sur le lieu de travail figurent expressément et de manière transparente dans un règlement.

L’article 55 en désigne trois : l’entreprise ou le service interne, celui qui exécute la mission et celui qui la commande. Chacun est responsable du traitement pour la part des données qu’il traite. Comme donneur d’ordre, vous ne transférez donc pas cette qualité au bureau que vous engagez.

Cette qualité emporte les obligations du RGPD pour les données que vous traitez vous-même. L’article 30 du RGPD impose à tout responsable du traitement un registre des activités de traitement. Ce registre reprend les coordonnées, les finalités du traitement, les catégories de personnes concernées et de données, les catégories de destinataires, les transferts vers des pays tiers, les délais d’effacement prévus et une description générale des mesures de sécurité.

L’article 30, paragraphe 3, exige une forme écrite, y compris électronique. L’article 30, paragraphe 4, vous oblige à mettre le registre à la disposition de l’autorité de contrôle sur demande. L’article 30, paragraphe 5, dispense les entreprises de moins de 250 personnes, mais cette dispense tombe dès que le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, dès qu’il n’est pas occasionnel, ou dès qu’il porte sur des données visées à l’article 9 ou à l’article 10 du RGPD.

Fixez la base légale, la finalité et le délai de conservation avant l’arrivée des premières données, et inscrivez l’enquête dans le registre des activités de traitement. Notez aussi qui aura accès au dossier. Cette dernière étape est une obligation légale.

L’article 10 du RGPD n’autorise le traitement de données relatives aux condamnations pénales et aux infractions que sous le contrôle de l’autorité publique, ou lorsque le droit d’un État membre l’autorise avec des garanties appropriées. L’article 10, § 1er, 1°, de la loi du 30 juillet 2018 accorde cette autorisation aux personnes morales de droit privé, dans la mesure où le traitement est nécessaire à la gestion de leurs propres litiges.

Deux conditions accompagnent cette autorisation. L’article 10, § 2, oblige le responsable du traitement à dresser une liste des catégories de personnes qui ont accès à ces données. Le même paragraphe l’oblige à lier ces personnes à une obligation de confidentialité, par contrat ou par la loi.

L’Autorité de protection des données ne retient pas le consentement du travailleur comme base légale d’un contrôle électronique par l’employeur. Elle relève que le travailleur se trouve nécessairement dans une position subordonnée.

Elle renvoie l’employeur à son droit légal d’exercer son autorité, strictement encadré par les principes de finalité, de proportionnalité et de transparence. Elle recommande d’inscrire les règles du contrôle électronique dans le règlement de travail, dans le respect de la concertation sociale. Elle indique aussi que la collecte doit en principe rester globale et que l’individualisation n’est en principe pas admise.

Nous examinons ces questions avec vous avant que quoi que ce soit ne soit fixé. Notre accompagnement de l’enquête privée commence dès la première décision. Une évaluation de la fraude dresse la carte de vos possibilités d’enquête, et un audit de fraude conduit un soupçon jusqu’au rapport. Sur le travail en amont, voyez notre page consacrée à la prévention de la fraude, et sur l’enquête elle-même celle qui porte sur l’enquête pour fraude.

L’article 20 de la Loi du 18 mai 2024 réglementant la recherche privée l’impose à toute entreprise et à tout service interne de recherche privée. Vous choisissez entre un collaborateur engagé par vos soins et une convention avec un prestataire externe. La loi ne vous laisse pas le choix de vous en passer. L’article 151, § 2, place l’infraction à l’article 20 sous le régime de sanction de l’article 221 de la loi relative au traitement des données à caractère personnel.

L’autorité de contrôle, et non le fonctionnaire sanctionnateur de l’Intérieur. L’article 151, § 2, renvoie les infractions aux articles 20, 56 à 62 et 71 à 73 à l’article 221 de la loi relative au traitement des données à caractère personnel. Pour les autres infractions à la loi sur la recherche privée, l’article 151, § 1er, prévoit une amende administrative de 100 à 25.000 euros selon le tableau des amendes annexé à la loi.

L’article 55 de la loi sur la recherche privée en désigne trois : l’entreprise ou le service interne, celui qui exécute la mission et celui qui la commande. Chacun est responsable du traitement pour la part des données qu’il traite. Comme donneur d’ordre, vous ne transférez pas cette qualité au bureau que vous engagez. Vous portez vous-même les obligations du RGPD pour les données que vous traitez.

Oui, dès qu’une des conditions de l’article 30, paragraphe 5, du RGPD est remplie. Cette disposition dispense les entreprises de moins de 250 personnes, mais la dispense tombe dès que le traitement est susceptible de comporter un risque pour les droits et libertés des personnes concernées, dès qu’il n’est pas occasionnel, ou dès qu’il porte sur des données visées à l’article 9 ou à l’article 10 du RGPD. Une enquête qui traite des données relatives à des infractions relève de l’article 10.

Non, l’Autorité de protection des données ne retient pas ce consentement comme base légale d’un contrôle électronique par l’employeur. Elle relève que le travailleur se trouve nécessairement dans une position subordonnée. Elle renvoie l’employeur à son droit légal d’exercer son autorité, strictement encadré par les principes de finalité, de proportionnalité et de transparence. Elle recommande d’inscrire ces règles dans le règlement de travail.