Des données réelles de salariés dans le logiciel en test : ce que vaut la perte de contrôle

L'affaire

Un employeur allemand, membre d'un groupe dont la société mère est aux États-Unis, prépare le passage à un système unique de gestion du personnel dans le cloud. Entre le 24 avril et le 18 mai 2017, il charge les données de ses salariés depuis son propre logiciel vers un espace de la société mère, afin d'alimenter le nouveau système en test. Le 3 juillet 2017, il signe avec le comité d'entreprise un accord de tolérance énumérant exactement les champs transférables à des fins de test : matricule, nom, prénom, date d'embauche, date d'entrée dans le groupe, lieu de travail, société, téléphone et courriel professionnels. Neuf éléments. Ont également été transférés le salaire, l'adresse privée, la date de naissance, la situation de famille, le numéro de sécurité sociale et le numéro fiscal.

Le test avec des données réelles n'est pas interdit

"Le traitement de données à caractère personnel aux fins de tester un nouveau logiciel de gestion du personnel peut être justifié par l'intérêt légitime de l'employeur au sens de l'article 6, paragraphe 1, premier alinéa, point f), à condition que des données fictives dépersonnalisées ne suffisent pas à atteindre la finalité du test."

C'est le point que presque tous les comptes rendus ont sauté. La Cour n'a pas dit que les données réelles en environnement de test sont interdites : elle a dit que l'excédent n'était pas nécessaire. Et elle l'a tiré de l'accord lui-même : si les parties ont arrêté que neuf champs suffisaient pour tester, elles ont écrit noir sur blanc que le dixième ne l'était pas. L'employeur s'était déjà privé lui-même de l'argument de la nécessité.

Deux cents euros, et comment ils ont été calculés

L'article 82 exige trois conditions cumulatives : une violation, un dommage — y compris moral — et un lien de causalité entre les deux. Ici, le dommage est la perte de contrôle sur les données, qui compte même brève, dès lors que la personne concernée l'établit. Le montant reflète la sensibilité des données — sous le seuil de l'article 9 —, le cercle des destinataires, plus large mais limité au groupe, et la durée de la perte de contrôle. La gravité de la faute n'a pas compté : l'article 82 a une fonction compensatoire, et la Cour a exclu toute majoration au titre de l'intention.

Le retard sur l'accès, en revanche, ne paie pas

Dans l'arrêt du 20 février 2025 (8 AZR 61/24), la même chambre a rejeté la demande fondée sur une réponse tardive à l'article 15 : le retard ne produit pas en soi une perte de contrôle, seulement un report de l'information. Le désagrément ou un état émotionnel négatif ne suffisent pas ; il faut une crainte concrète d'usage abusif, contrôlable par le juge. La distinction mérite d'être expliquée aux clients avant la première demande : le droit d'accès reste pleinement exigible et les autorités le sanctionnent — la décision norvégienne de janvier le montre bien — mais la réparation individuelle suit une voie différente et plus étroite.

L'accord d'entreprise n'abaisse pas le niveau du RGPD

Un enseignement qui dépasse largement l'Allemagne, partout où la négociation collective entre dans le traitement des données des salariés. La Cour a laissé inappliqué le § 26, paragraphe 1, de la loi fédérale allemande sur la protection des données parce qu'il ne satisfait pas à l'article 88 : une règle nationale du travail ne vaut comme disposition plus spécifique que si elle ajoute des mesures appropriées et particulières protégeant la dignité humaine et les droits fondamentaux, non si elle répète le règlement. À défaut, le traitement dans la relation de travail est régi directement par le RGPD.