L’autorité de contrôle espagnole a sanctionné une entreprise qui avait communiqué l’identité des plaignants aux personnes visées par la plainte.
La plainte de salariés pour harcèlement au travail et la divulgation de leur identité
En avril 2024, cinq salariés d’une entreprise ont déposé une plainte, auprès de leur CSE, pour harcèlement au travail à l’encontre de dix autres salariés.
Le CSE a alerté l’employeur et l’a enjoint d’ouvrir une enquête.
Une fois l’enquête terminée, l’employeur a transmis le rapport d’enquête non seulement au CSE, mais aussi à l’ensemble des personnes concernées par l’enquête, c’est-à-dire à la fois aux plaignants, mais également aux salariés visés par la plainte.
L’employeur a ainsi permis aux salariés faisant l’objet de l’enquête de découvrir l’identité des plaignants.
L’un des plaignants, considérant qu’il n’avait pas autorisé la divulgation de ses données personnelles aux personnes visées par sa plainte, a saisi l’autorité de contrôle espagnole.
La sanction de l’employeur pour non-respect de la confidentialité
Pour sa défense, l’entreprise soutenait que l’identité des plaignants était déjà connue de l’entreprise avant même la divulgation du rapport d’enquête et que ni les plaignants ni le CSE n’avaient fait part d’une quelconque exigence de confidentialité.
L’autorité de contrôle espagnole a considéré que l’entreprise avait violé le principe d’intégrité et confidentialité posé à l’article 5§1 f) du RGPD.
En effet, selon ce principe, « les données à caractère personnel doivent être traitées de façon à garantir une sécurité appropriée des données », or, en transmettant aux salariés faisant l’objet de l’enquête l’identité des plaignants, le responsable du traitement a porté atteinte à la confidentialité des données.
Compte tenu de ce qui précède, l’autorité de contrôle espagnole a infligé à l’entreprise une amende de 120 000 €.
Source : AEPD (Espagne), 3 avril 2025, ps-00505-2024 (EXP202411409)