Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 165

RESPECT DU RGPD PAR LA RH
Jurisprudence
Dans deux décisions récentes du 5 décembre 2023 (C-807/21 et C-683/21), la CJUE précise comment il est possible
d'appliquer une sanction financière administrative en cas de comportement fautif (violation délibérée ou négligence).
Par son interprétation des conditions d'applications des sanctions administratives prévues à l'article 83 du RGPD,
elle facilite l'application pour l'avenir de sanctions plus élevées.
Focus sur quelques-unes des sanctions déjà prononcées du fait du non-respect
du RGPD dans le cadre RH
- Tribunal de Brive La Gaillarde, 2 octobre 2023 : suite à une procédure de plaider-coupable : 6 mois de prison avec
sursis (sans inscription au casier judiciaire). Une ancienne Directrice des Ressources Humaines de « Vinci » avait
collecté sous un fichier Excel des commentaires diffamatoires relatifs à 180 salariés.
Remarque : son ancienne société pourrait prochainement faire l'objet de poursuites.
- Délibération SAN 2023-013 CNIL, 18 septembre 2023 : 200 000 €. La société « SAF Logistics » est condamnée à
verser cette somme pour avoir collecté une quantité trop importante de données auprès de ses salariés (portant
ainsi atteinte à leurs vies privées) et ne pas avoir suffisamment coopéré avec la CNIL.
- Délibération SAN 2021-023 CNIL, 31 décembre 2021 : 90 millions d'euros à l'encontre de « Google LLC » et 60 millions
d'euros à l'encontre de « Google Ireland Limited ». Sanction du fait que le mécanisme de refus des cookies
proposé aux utilisateurs est plus complexe à exercer (aux moyens de plusieurs clics) que celui d'acceptation (au
moyen d'un seul clic) et ce, dans le but de les décourager à refuser les cookies.
- Délibération SAN 2019-001, 21 janvier 2019 : 50 millions d'euros à l'encontre de Google, qui a été condamné pour ne
pas avoir délivré une information suffisamment claire et transparente aux utilisateurs du système d'exploitation Android
et ne pas les avoir mis à même de donner un consentement libre et éclairé au traitement de leurs données personnelles.
Remarque : le recours fait devant le Conseil d'État par Google a été rejeté par ce dernier le 19 juin 2020 (n° 430810).
- Tribunal judiciaire de Versailles, 15 juin 2021 et cour d'appel de Versailles, 27 janvier 2023. En 1re
instance : 1 million
d'euros d'amende pour l'entreprise et pour l'ancien P.D.G. : 2°ans de prison avec sursis (1 an de prison ferme
avait été requis par le parquet) et 50 000 € d'amende. Si la société n'a pas fait appel, l'un des anciens dirigeants
l'a fait et obtenu une réduction de sa peine à 4 mois de prison avec sursis et 20 000 € d'amende.
Condamnation pour recel de données personnelles (v. article 323-3 du Code pénal) à l'encontre de la société Ikéa
du fait de la collecte en dehors du cadre professionnel de données personnelles relatives à certains salariés afin
de les espionner en violation du droit au respect de leurs vies privées.
- Formation restreinte de la CNIL, 27 janvier 2021 (bien que la décision ne soit pas rendue publique, la CNIL a
tenu à assurer une certaine publicité de la question de droit et de la solution nouvelle). Première condamnation
165

Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re