Etat d'urgence sanitaire: CNDP et obligations de l'employeur

De nouvelles problématiques se sont posées dans ce contexte de crise sanitaire tenant notamment à (i) l’usage massif des technologies et notamment le recours au télétravail mais également, (ii) au traitement des données de santé des salariés en recourant à leur prise de température en vue de l’accès à leur lieu de travail.

Le recours au télétravail qui était jusqu’à présent utilisé de manière exceptionnelle fait désormais office de règle.

Toutefois, le télétravail présente des risques en ce qui concerne les données à caractère personnel du « télétravailleur » notamment dans le cadre de certains secteurs d’activité (tel que le secteur de « la relation Client »). Quant au traitement des données de santé, s’agissant de « données sensibles » au sens qui lui est donné par les dispositions de la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (« ci-après « Loi 09-08 »)  , elles doivent être traitées par l’employeur avec précaution pour garantir leur protection.

C’est dans ce contexte que la Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP) a émis en date du 23 avril 2020 deux délibérations ayant vocation à encadrer le traitement desdites données personnelles par l’employeur :

(i) La délibération n°D-106-EUS/2020 du 23/04/2020 portant sur la prise de température, en vue de l’accès au lieu de travail, pendant la durée de l’état d’urgence sanitaire et ;

(ii) La délibération n° D-107-EUS/2020 du 23/04/2020 régissant le télétravail dans le secteur de la relation client en situation d’état d’urgence sanitaire- Covid-19.

I. En ce qui concerne la Délibération N°D-106-EUS/2020 du 23/04/2020 portant sur la prise de température en vue de l’accès au lieu de travail pendant la durée de l’état d’urgence sanitaire :

Aux termes de l’article 24 du code du travail, l’employeur est tenu de prendre toutes les mesures utiles pour garantir la sécurité de ses salariés.

Ainsi, dans ce contexte de crise sanitaire, l’enjeu pour l’employeur est de rechercher toutes les mesures qui lui sont permises pour préserver au mieux la santé de ses salariés tout en respectant les dispositions légales qui lui sont applicables.

En effet, une des problématiques soulevées était de savoir si l’employeur pouvait recourir à une pratique déjà utilisée dans certains pays étrangers : la prise de température des salariés en vue de leur permettre d’accéder à leur lieu de travail.

La température des salariés est en effet considérée au regard des dispositions de la Loi 09-08 comme une « donnée sensible » nécessitant « une autorisation préalable » de la CNDP conformément aux termes de l’article 12 de la CNDP avant de pouvoir faire l’objet d’un quelconque traitement par l’employeur.

La délibération N°D-106-EUS/2020 émise par la CNDP est venue apporter une réponse positive en autorisant désormais les employeurs à utiliser cette mesure sous réserve de respecter l’ensemble des conditions qui y sont mentionnées.

Ainsi, la CNDP rappelle dans cette délibération que l’employeur « ne peut prendre de mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus ».

Par conséquent, la prise de température des employés sera permise (i) dans l’intérêt collectif de l’entreprise et (ii) en vue de garantir la sécurité au travail mais sous réserve des conditions suivantes :

1/ Cette mesure devra être réalisée sous la responsabilité de la médecine du travail et uniquement pendant l’état d’urgence sanitaire.

2/ Le responsable de traitement désigné au sein de l’entreprise sera tenu d’informer « les personnes concernées (pour lesquelles les données de santé sont collectées) au moyen d’une affiche ou d’un pictogramme placé à l’entrée des lieux de travail du recours à la prise de température pour le contrôle d’accès et des caractéristiques du traitement mis en œuvre ».

3/ L’employeur pourra ne pas autoriser l’accès aux locaux à tout salarié qui refuserait cette prise de température sous réserve toutefois « que ce refus ne constitue pas une mesure discriminatoire à l’égard de la personne concernée, mais uniquement dans le but de préserver la santé de la collectivité » ;

4/ « La possibilité d’utiliser, sous le contrôle de la médecine du travail et selon les recommandations des autorités sanitaires, les moyens technologiques adéquats permettant la collecte de la température du corps de façon individuelle » ;

5/ « La possibilité d’établir, sous le contrôle de la médecine du travail, et pendant la durée recommandée par les autorités sanitaires, des courbes d’historique de température avec pour seule finalité la détection des situations nécessitant une intervention préventive pour l’intérêt de la santé des individus et de la collectivité ».

La CNDP, limite en outre, l’application de ces dispositions uniquement au seul responsable de traitement établi au Maroc.

La Délibération rappelle que le traitement de ces données de santé doit respecter les principes de « minimalité » de « proportionnalité » et « de non-détournement » qui ne sont pas définis par la Loi 09-08.

En d’autres termes le traitement de ces données doit être limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées à savoir : la préservation de la santé de la collectivité des salariés (minimisation des données).

Les données doivent également être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Cette situation d’urgence sanitaire justifie des mesures restrictives de liberté à condition d’être proportionnées, limitées dans le temps et mises en œuvre dans le respect des législations applicables.

En outre, un dossier de notification du traitement relatif à l'utilisation d'un dispositif de mesure de température à des fins de contrôle d'accès devra être déposé à la CNDP en vue de son instruction par la Commission et devra être composé des éléments suivants :

§  « Un formulaire de demande d'autorisation unique (F-113) dûment rempli, signé, et cacheté,

§  Un descriptif technique du dispositif de prise de température utilisé

§  Un engagement de la confidentialité des données traitées et de leur traitement sous le contrôle de la médecine du travail,

§  Un engagement du non-transfert des données à l'étranger,

§  Une copie du pictogramme ou de l'affiche d'information susvisé,

§  Une copie du document autorisant le signataire à engager la personne morale ».

II. En ce qui concerne la Délibération n° D-107-EUS/2020 du 23/04/2020 régissant le télétravail dans le secteur de la relation client en situation d’état d’urgence sanitaire- Covid-19.

Cette Délibération a vocation à régir les conditions du recours au télétravail « dans le secteur de la relation client ».

Une délibération spécifique à ce secteur d’activité est venue ainsi encadrer les risques liés au traitement des données personnelles du télétravailleur dans le cadre de son activité.

C’est ainsi que la Délibération précise que les employeurs dans ce secteur d’activité qui souhaitent recourir au télétravail doivent préalablement répondre aux conditions énumérées dans cette délibération toujours dans le but de « préserver l’état de santé des collaborateurs et garantir également le maintien de l’activité économique ».

Le recours au télétravail pourra être autorisé sous réserve que l’employeur élabore une charte de télétravail visant à poser « les bases d’un régime unifié du télétravail tout en définissant les droits et obligations des parties prenantes. »

Une distinction de traitement sera mentionnée dans cette Délibération en fonction des outils utilisés par les télétravailleurs à savoir si l’employeur est propriétaire des outils informatiques utilisés ou si le télétravailleur utilise ses propres outils informatiques étant précisé que dans les deux cas l’employeur restera responsable de la sécurité de la circulation technique des données à caractère personnel et de la confidentialité de leur traitement.

L’employeur sera tenu également d’informer son employé de tous ses droits à savoir son droit de rectification, son droit d’accès et son droit d’opposition de ses données à caractère personnel tels que prévus par la Loi 09-08.

En outre la CNDP décidera d’autoriser au cas par cas, pour le suivi des activités des salariés en télétravail, après examen du dossier de notification du traitement envisagé, et en fonction des garanties apportées par le responsable du traitement, notamment concernant les traitements suivants:

§  La communication des données à caractère personnel du télétravailleur, notamment son numéro de téléphone et son adresse physique à des sociétés tierces pour assurer les conditions du télétravail ;

§  Les enregistrements Webcam durant les créneaux de télétravail à des fins dissuasives et de prévention de fraude, et ce de façon non systématique et non généralisée, et dans l’unique situation où l’employeur est propriétaire des outils de télétravail ;

§  Des captures d’écran, considérées comme traces de type logs applicatifs, et ce de façon non systématique et non généralisée, et dans l’unique situation où l’employeur est propriétaire des outils de télétravail.

Le dossier de notification des traitements effectués à des fins de gestion de l'activité en télétravail dans le secteur de la Relation Client devra être déposé à la CNDP et se composer des éléments suivants :

§  « Le formulaire de demande d'autorisation préalable (F-112) dûment rempli, signé, et cacheté. En outre, une description détaillée du(es) traitement(s) prévu(s) par la délibération devra être communiquée : notamment les traitements concernant la communication des données à un sous-traitant, l’enregistrements Webcam ou des captures d'écran, 

§  Une copie « de la mention d'information »,

§  Une copie des clauses de sous-traitance garantissant la sécurité et la confidentialité des données traitées en cas de recours à un sous-traitant au sens de la Loi 09-08,

§  En cas de transfert des données personnelles à l'étranger : adresser une « synthèse de l'étude d'impact afférente au traitement envisagé »,

§  Une copie du document autorisant le signataire à engager la personne morale ».

Etant donné que cette Délibération ne concerne que le recours au télétravail dans le secteur de la « Relation Client » à l’exclusion des autres secteurs d’activité, l’on peut se poser la question de savoir qu’en sera-t-il du recours au télétravail par d’autres sociétés intervenant dans d’autres secteurs d’activité qui recourraient aux mêmes traitements susvisés : devront ils déposer une demande d’autorisation et / ou déclaration auprès de la CNDP dans ce sens ?

La réponse devrait être en principe positive et un dossier de notification similaire à celui prévu dans le cadre de la Délibération n° D-107-EUS/2020 devra être déposé à la CNDP.

Enfin, quel que soit le type de traitement de données à caractère personnel qui serait sollicité spécifiquement pendant cette période de crise sanitaire (entrant ou pas dans le champ d’application des deux Délibérations susvisées),  il devra faire l’objet d’une notification par le responsable de traitement  désigné auprès de la CNDP.

La CNDP a précisé qu’une « procédure simplifiée de notification » a été mise en place pendant cette période de crise sanitaire :

§  Les demandes de traitement pourront ainsi être adressées par mail à la CNDP, une version « papier » sera recueillie par la suite pour une mise en conformité légale de l’archivage, à la sortie de la période de crise.

§  La CNDP promet de statuer, de façon quotidienne, sur les notifications réceptionnées.

§  Enfin, la CNDP rappelle que toutes les données à caractère personnel collectées dans ce contexte de crise sanitaire devront être détruites dès lors que la finalité déclarée ou autorisée sera atteinte.