En cas d’inaptitude d’un salarié et préalablement à une consultation sur les propositions de reclassement, l’employeur doit fournir au CSE toutes les informations nécessaires quant à l’état de santé du salarié et la recherche de reclassement. Comment concilier cet impératif avec les exigences du Règlement Général sur la Protection des Données (RGPD) entré en vigueur le 25 mai 2018 ?

La CNIL, précisément consultée par nos soins à ce propos, a répondu à nos interrogations ; nous vous en faisons part ci-dessous.

Rappelons que les membres élus du CSE doivent disposer des informations nécessaires pour leur permettre de donner un avis en connaissance de cause sur la possibilité ou non de reclasser le salarié dont l’inaptitude a été constatée par le médecin du travail, que l’inaptitude soit d’origine personnelle ou professionnelle (articles L 1226-2 et L. 1226-10 du Code du travail).

Lorsque cette attribution relevait des délégués du personnel (DP), la jurisprudence considérait que l’employeur devait « fournir préalablement [aux DP] toutes les informations nécessaires quant à l’état de santé du salarié et la recherche de reclassement (Cass. soc., 19 mars 2008, n° 06-45.133). A défaut, la consultation n’était pas régulière.

En particulier, il était jugé que l’employeur devait porter à la connaissance des DP les conclusions du médecin du travail relatives à l’aptitude du salarié à occuper un autre emploi de l’entreprise (Cass. soc., 26 janv. 2011, n° 09-72.284 ; tel n’était pas le cas, en l’espèce).

Un arrêt récent a confirmé cette exigence, cette fois pour le CSE, en constatant qu’aucun manquement ne peut être reproché à l’employeur dès lors que les représentants du personnel ont reçu avec leur convocation à la réunion des « informations sur la situation du salarié, le poste qu’il occupait et la reconnaissance de maladies professionnelles » et ont été informés, en réunion, « de la teneur des deux avis du médecin du travail ainsi que des réponses apportées par celui-ci aux propositions de reclassement formulées par l’employeur »

(Cass. soc., 8 avr. 2021, n° 20-12.368).

Or, dans toutes les affaires précédemment citées, y compris la plus récente, les faits se rapportaient à une période antérieure à l’entrée en vigueur, en mai 2018, du RGPD.

Dès lors, il est opportun de s’interroger sur la manière dont l’obligation de consultation rappelée et les obligations relatives au RGPD se combinent.

Pour ce faire, il est indispensable d’énoncer les principales définitions utiles, au visa des articles du RGPD eux-mêmes, ainsi que la réponse de la CNIL à ce propos.

Parmi les 26 définitions énoncées par l’article 4 (« Définitions » ; voir : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre1), nous ne retiendrons que celles qui intéressent le plus directement notre sujet :

« Aux fins du présent règlement, on entend par :

1. «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

2. « traitement », toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction;

(…)

15. « Données concernant la santé », les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ; 

 (…) »

Après avoir rappelé « qu’il n’appartient pas à la CNIL d’interpréter les dispositions du Code du travail et que sa compétence ne porte que sur le traitement des données à caractère personnel », la CNIL nous a apporté les éléments de réponse suivants :

En premier lieu, la CNIL précise que l’obligation pour l’employeur de transmettre au CSE les éléments relatifs à l’état de santé du salarié et la recherche de reclassement afin qu’il puisse se prononcer en toute connaissance de cause, dans le cadre de l’obligation de consultation du CSE prévue aux articles L 1226-2 et L 1226-10 du Code du travail, constitue un traitement de données personnelles fondé sur une « obligation légale », soit l’une des six bases légales fixées par les dispositions de l’article 6.1 du RGPD selon lesquelles :

« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

(…)

 c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

(…) »

(Voir : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2)

En second lieu, la CNIL se réfère aux « Principes relatifs au traitement des données à caractère personnel » (article 5.1 du RGPD) selon lesquels « les données à caractère personnel doivent être : (…)

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;(…).»

(Voir : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2)

Ainsi, précise la CNIL, le RGPD pose le principe de la proportionnalité du traitement mis en œuvre, lequel impose que les données personnelles soient collectées pour une finalité explicite et légitime et réponde à un principe de minimisation ; à ce titre, les données collectées doivent être adéquates, pertinentes, et limitées à ce qui est nécessaire au regard de la finalité du traitement.

La CNIL en conclut qu’en l’espèce, la finalité du traitement mois en œuvre par le CSE est d’apprécier la proposition de reclassement qui serait faite à un salarié dont l’inaptitude aurait été constatée par un médecin. A cet égard, la possibilité, pour le CSE, de connaître l’âge et les coordonnées de la personne concernée afin d’échanger avec elle (notre interrogation portait sur ces points précis) n’apparaît pas disproportionné à l’objectif poursuivi.

En conséquence, « le RGPD ne saurait, en première analyse, être invoqué pour refuser de communiquer au CSE les coordonnées et l’âge d’un salarié dans le cadre d’une proposition de reclassement le concernant. » (Réponse de la CNIL à notre demande)

Dans un contexte où les directions s’interrogent sur la manière de procéder à une consultation juridiquement fiable sur ce thème sensible des propositions de reclassement en cas d’inaptitude et où les représentants du personnel tiennent à disposer des « informations nécessaires », il nous a semblé que ces précisions, non encore mentionnées sur le site de la CNIL, méritaient toute notre attention.

Précisions :

• La référence aux dispositions légales mentionnées ci-dessus doit bien entendu être appréciée et actualisée, en tenant compte de la jurisprudence de la Cour de cassation qui en précisera progressivement les contours ;
• La réponse de la CNIL (Service des questions sociales et RH), mentionnée ci-dessus, a été rédigée en réponse à une question tout à fait spécifique au contexte des relations sociales de l’entreprise dans laquelle nous sommes consultés ; de manière bien compréhensible, elle n’est pas publiée sur le site de la CNIL ;
• La CNIL nous indique qu’une réflexion est en cours sur « la publication d’un contenu permettant de répondre à diverses questions relatives aux obligations et activités du CSE ».

Jean-Marc JAUFFRET, Avocat au barreau de LYON (jm.jauffret.avocat@free.fr