Décision KVKK sur la messagerie professionnelle: que faire?

D'après l'annonce de l'autorité, des plaintes et des signalements ont montré que le contrôle de la messagerie professionnelle et des canaux de communication par les employeurs se heurtait à des allégations d'illégalité. L'examen du conseil a constaté que des comptes étaient surveillés, que le contenu des messages était consulté, que les données de trafic et de journalisation étaient examinées, que des filtres et des contrôles de routine étaient mis en place, et que ces données servaient dans des procédures disciplinaires et pour mettre fin à des contrats de travail.

La même constatation ajoute que les salariés n'avaient pas été informés de manière suffisante, claire et concrète. Notre lecture: la décision vise une pratique répandue plutôt qu'un cas isolé. Le problème tient moins au contrôle lui-même qu'au fait que le salarié ignore ce qui se passe.

La décision ne voit pas dans un compte de messagerie professionnelle un simple moyen de communication. Elle le traite comme une source de données qui contient le réseau de contacts du salarié, son rythme de travail et le contenu de ses échanges. Elle décrit le contrôle comme un traitement de données personnelles qui exige un juste équilibre entre le pouvoir de direction de l'employeur et le respect de la vie privée, la protection des données et la liberté de communication du salarié.

Il y a aussi une différence entre accès technique et accès juridique. Avoir un accès technique à un appareil ou à un réseau ne donne pas le droit d'aller librement dans les e-mails personnels, la messagerie instantanée et les comptes de réseaux sociaux du salarié. Notre lecture: ce que la console d'administration vous permet n'est pas la même chose que ce que le droit vous permet.

Le conseil fait de l'information préalable une condition et rappelle que la notion d'information dans la jurisprudence de la Cour constitutionnelle n'est pas la même que l'information des personnes (aydınlatma) prévue par la loi KVKK. Une information en bonne et due forme, qui énonce de façon claire et concrète la finalité, l'étendue et la méthode, peut remplir cette condition. Une mention générale du type « la messagerie professionnelle peut être contrôlée » n'est pas jugée suffisante.

Selon l'annonce, l'information doit énoncer les points suivants de façon claire et concrète. Il est également noté qu'en raison de la dépendance propre à la relation de travail, le consentement explicite ne peut pas être traité comme la base prioritaire dans tous les cas; même avec un consentement ou une autre condition de traitement, il n'existe pas de contrôle illimité.

• La base juridique
• La finalité et l'étendue du contrôle
• La méthode de contrôle
• Les cas dans lesquels le contenu peut être consulté
• La durée de conservation et les droits de la personne concernée

Selon la décision, il faut distinguer l'usage professionnel de l'usage privé, et les règles de l'usage privé doivent être claires, compréhensibles et connues. Même lorsque l'usage privé est interdit, le contrôle reste limité par la proportionnalité; lorsque les deux ne peuvent être séparés, le pouvoir de contrôle est plus étroit. La lecture du contenu doit en principe être liée à un soupçon concret ou à un incident précis, poursuivre un but légitime et s'y limiter; un examen général, continu et sans limite du contenu est à éviter.

Une démarche progressive est aussi attendue: si une méthode moins intrusive est possible, il ne faut pas recourir à la plus lourde. Il faut garder à l'esprit que les messages peuvent contenir des données sensibles et des données de tiers situés de l'autre côté de l'échange. Notre lecture: si un ordre tel que d'abord les journaux, puis le contenu si nécessaire est écrit, salariés et responsables savent à quoi s'attendre.

• Liez le contrôle à un incident ou à un soupçon concret
• Essayez d'abord la méthode la moins intrusive
• Ne gardez pas les données plus longtemps que nécessaire
• Limitez l'accès à un petit nombre de personnes ayant des missions attribuées et tenez un journal des accès

Le conseil demande que la base juridique du traitement du compte et de ses données soit réévaluée à la fin de la relation de travail, et il dit que la fin de la relation ne signifie pas que les données restent accessibles indéfiniment. Notre lecture: l'idée selon laquelle la personne est partie, donc la boîte reste chez nous est désormais une hypothèse difficile à défendre.

En pratique, pour une petite entreprise qui utilise Google Workspace, Microsoft 365 ou la messagerie cPanel, cela veut dire un processus de départ écrit. Reliez à ce processus les journaux d'audit de la console d'administration, le contrôle d'accès par rôle et les règles de conservation. Quand vous passez en revue votre messagerie, notre outil de vérification DNS de la messagerie peut aussi examiner les enregistrements de courrier de votre domaine, et notre article de blog sur le choix d'un service de messagerie professionnelle aide à choisir le prestataire.

• Fixez par écrit ce que devient le compte d'un salarié parti
• Limitez la réponse automatique et la redirection à leur finalité
• Déterminez la durée de conservation à l'avance et supprimez à l'échéance
• Suivez les actions des administrateurs dans le journal d'audit

L'erreur la plus courante consiste à ajouter au contrat une clause d'une ligne disant que la messagerie peut être contrôlée et à considérer l'affaire close; la décision n'accepte pas une telle mention générale. La deuxième est de prendre un consentement signé pour une base qui couvre tout. La troisième est d'activer une journalisation large et permanente sans jamais la consulter; les données conservées peuvent elles-mêmes devenir une charge.

Dans une entreprise gérée par son seul propriétaire, sans salarié, cette décision ne change rien à votre travail quotidien. Mais si vous employez ne serait-ce qu'une personne, ce cadre peut s'appliquer à vous; son étendue est à déterminer avec votre juriste.

• Se contenter d'une clause générale de contrôle d'une ligne
• Considérer le consentement comme la base d'un contrôle illimité
• Mettre en place un examen général et continu du contenu
• Laisser indéfiniment ouverte la boîte d'un salarié parti