L’enseignement par vidéoconférence doit se plier au RGPD

Par un arrêt du 30 mars 2023, la CJUE se prononce sur l’interprétation de l’article 88, § 1 et 2 du règlement général sur la protection des données (RGPD), qui reconnaît aux États membres une marge d’appréciation en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail (Règl. (UE) 2016/679 du Parlement européen et du Conseil, 27 avr. 2016 : JOUE n° L 119, 4 mai). En l’espèce, le litige concernait le traitement des données personnelles des enseignants à l’occasion de la diffusion en direct par vidéoconférence des cours d’enseignement public qu’ils sont chargés de délivrer.

Sur le fondement de l’article 23 de la loi sur la protection des données et la liberté de l’information du Land de Hesse (Allemagne), considéré par le ministre de l’Éducation et de la Culture du Land comme étant une règle nationale « plus spécifique » au sens de l’article 88 du RGPD, l’enseignement scolaire avait été réorganisé pendant la période de pandémie de Covid-19 en prévoyant notamment la diffusion en direct par vidéoconférence des cours d’enseignement public sous réserve du consentement des élèves eux-mêmes mais sans le consentement des enseignants concernés.

L’article 88 du RGPD relatif au traitement de données personnelles dans le cadre des relations de travail prévoit, dans son paragraphe 1, la possibilité de règles nationales plus spécifiques pour assurer la protection des droits et libertés dans ce cadre et fixe, dans son paragraphe 2, les conditions et limites de ces règles nationales plus spécifiques.

Avant de répondre aux questions posées par la juridiction administrative allemande, la Cour prend d’abord soin de confirmer que la diffusion en direct par vidéoconférence des cours d’enseignement public relève du champ d’application de l’article 88 du RGPD. Pour la Cour, cet article est indifférent de la nature du lien juridique qui lie l’employé à l’employeur. Peu importe en effet si la personne concernée se trouve employée en qualité d’employé ou de fonctionnaire, ou encore si son lien d’emploi relève du droit public ou du droit privé. « Les particularités du traitement des données à caractère personnel dans le cadre des relations de travail et, par conséquent, la faculté conférée aux États membres par l’article 88, paragraphe 1, du RGPD s’expliquent notamment par l’existence d’un lien de subordination entre l’employé et l’employeur et non pas par la nature du lien juridique qui lie ce premier à ce dernier », estime la Cour (point 53).

Après avoir posé que la diffusion en direct par vidéoconférence des cours d’enseignement public relève champ d’application de l’article 88 du RGPD, la Cour se prononce sur la qualification de règles nationales plus spécifiques et sur les conséquences du non-respect de cet article par les États membres.

La faculté pour les États de prévoir des règles nationales plus spécifiques dans le cadre des relations de travail

La faculté pour les États de prévoir des règles nationales plus spécifiques dans le cadre des relations de travail constitue l’une des marges d’appréciation laissées aux États membres par le RGPD.

Reprenant sa jurisprudence « Meta Platforms Ireland » (CJUE, 28 avr. 2022, aff. C‑319/20, Meta Platforms Ireland), la Cour rappelle que, si le RGPD vise à assurer une harmonisation en principe complète des législations nationales relatives à la protection des données personnelles, certaines de ses dispositions « ouvrent la possibilité pour les États membres de prévoir des règles nationales supplémentaires, plus strictes ou dérogatoires, et laissent à ceux-ci une marge d’appréciation sur la manière dont ces dispositions peuvent être mises en œuvre » (point 51). Mais cette marge d’appréciation n’est pas absolue : « lorsque les États membres exercent la faculté qui leur est accordée par une clause d’ouverture du RGPD, ils doivent utiliser leur marge d’appréciation dans les conditions et les limites prescrites par les dispositions de ce règlement et doivent ainsi légiférer de manière à ne pas porter atteinte au contenu et aux objectifs » du RGPD (point 59).

S’agissant plus particulièrement de la faculté ouverte aux États d’assurer la protection des droits et des libertés des employés en ce qui concerne le traitement des données personnelles dans le cadre de relations de travail, des conditions ont été prévues par l’article 88 du RGPD. Ces conditions, qui encadrent la marge d’appréciation laissée aux États, « reflètent les limites de la différenciation acceptée » (point 73). Ainsi que le précise la Cour, lorsqu’un État utilise cette marge d’appréciation, la réglementation nationale qui serait adoptée doit « comporter des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées » (point 74). A cet égard, « une attention particulière doit être accordée à la transparence du traitement, au transfert de données à caractère personnel au sein d’un groupe d’entreprises ou d’un groupe d’entreprises engagées dans une activité économique conjointe et aux systèmes de contrôle sur le lieu de travail » (point 74).

Les conséquences du non-respect des conditions et limites de l’article 88 du RGPD pour la création de règles nationales plus spécifiques

Si la réglementation nationale ne respecte pas les conditions et limites prescrites par l’article 88 du RGPD pour la création de règles nationales plus spécifiques, celle-ci est inapplicable de plein droit en vertu du principe de primauté de l’Union européenne et doit être écartée (point 83).

Les traitements de données personnelles sont alors directement régis par le RGPD (point 84).

Toutefois, la réglementation nationale qui ne respecterait pas l’article 88 du RGPD pourrait tout de même constituer une base légale aux traitements de données personnelles en vertu de l’article 6, § 1 du RGPD et pourrait dès lors ne pas être écartée si elle respecte les conditions particulières prévues par l’article 6, § 3 du RGPD.