Le cas : un arr\u00eat maladie, un groupe de discussion, deux diagnostics<\/h2><\/h2><\/div>Au sein d\u2019un centre hospitalier, il existait un groupe WhatsApp intitul\u00e9 \u00ab \u00c4rzte-AC \u00bb, qui comptait neuf membres du service de chirurgie g\u00e9n\u00e9rale. Outre des sujets d\u2019ordre priv\u00e9, ce groupe servait principalement \u00e0 organiser les cong\u00e9s, les arr\u00eats maladie et la prise en charge des gardes. Ce groupe faisait donc partie int\u00e9grante de la communication interne de l\u2019\u00e9tablissement.<\/p>\n
Lorsqu\u2019un m\u00e9decin en formation s\u2019est mis en arr\u00eat maladie pour son service du week-end apr\u00e8s avoir effectu\u00e9 un examen de m\u00e9decine interne aux urgences, la m\u00e9decin de service responsable a d\u00fb le remplacer au pied lev\u00e9. M\u00e9contente que son escapade du week-end soit tomb\u00e9e \u00e0 l\u2019eau, elle a publi\u00e9 deux jours plus tard un message d\u00e9taill\u00e9 dans le groupe. Elle y a non seulement exprim\u00e9 sa col\u00e8re, mais a \u00e9galement communiqu\u00e9 les r\u00e9sultats d\u2019analyses et les diagnostics de son coll\u00e8gue, notamment une st\u00e9atose h\u00e9patique associ\u00e9e \u00e0 l\u2019ob\u00e9sit\u00e9, tout en se demandant avec suffisance s\u2019il s\u2019agissait r\u00e9ellement d\u2019une maladie.<\/p>\n
Le coll\u00e8gue concern\u00e9 a exig\u00e9 que l’on cesse toute nouvelle transmission de donn\u00e9es et a r\u00e9clam\u00e9 des dommages-int\u00e9r\u00eats. \u00c0 l’automne 2025, il a d\u00e9missionn\u00e9. Cet incident aurait \u00e9t\u00e9 l’une des causes de sa d\u00e9cision.<\/p>\n<\/div>
La d\u00e9cision du tribunal du travail de Siegburg<\/h2><\/h2><\/div>Le tribunal a fait droit \u00e0 la majeure partie de la demande. Il a \u00e9t\u00e9 interdit \u00e0 la m\u00e9decin de service de transmettre \u00e0 l\u2019avenir des donn\u00e9es m\u00e9dicales du demandeur sans son consentement. De plus, elle doit verser 1 000 euros de dommages-int\u00e9r\u00eats pour pr\u00e9judice moral, alors que 2 000 euros avaient \u00e9t\u00e9 r\u00e9clam\u00e9s. Elle supporte 78 % des frais de justice, le plaignant 22 %. Le tribunal a fix\u00e9 la valeur du litige \u00e0 4 500 euros.<\/p>\n
Sur le plan juridique, la demande de cessation se fonde par analogie sur l\u2019article 1004, paragraphe 1, du Code civil allemand (BGB), en liaison avec l\u2019article 823, paragraphe 2, du BGB et le RGPD en tant que loi de protection, tandis que la demande de paiement se fonde sur l\u2019article 82, paragraphe 1, du RGPD.<\/p>\n<\/div>
Les groupes WhatsApp, la protection des donn\u00e9es et la question de l’usage priv\u00e9<\/h2><\/h2><\/div>La question centrale \u00e9tait de savoir si le RGPD s\u2019appliquait r\u00e9ellement \u00e0 ce groupe de discussion. La d\u00e9fenderesse avait fait valoir qu\u2019il s\u2019agissait d\u2019un groupe purement priv\u00e9, utilis\u00e9 \u00e0 des fins professionnelles uniquement par souci de simplicit\u00e9, et qu\u2019il s\u2019agissait donc d\u2019une activit\u00e9 personnelle b\u00e9n\u00e9ficiant d\u2019une d\u00e9rogation en vertu de l\u2019article 2, paragraphe 2, point c), du RGPD. L\u2019exception relative \u00e0 l\u2019activit\u00e9 domestique, le RGPD et le lien avec l\u2019activit\u00e9 professionnelle sont ici directement li\u00e9s. Cette exception ne s\u2019applique qu\u2019aux traitements destin\u00e9s exclusivement \u00e0 des fins personnelles ou familiales.<\/p>\n
Le tribunal n’a pas suivi cet argument. Le nom et la composition m\u00eame du groupe, au sein duquel n’\u00e9taient repr\u00e9sent\u00e9s que des coll\u00e8gues d’un m\u00eame service, plaidaient d\u00e9j\u00e0 en faveur d’un lien professionnel. De plus, \u00e9tant donn\u00e9 que, selon les propres d\u00e9clarations de la d\u00e9fenderesse, au moins 30 % des contenus \u00e9taient de nature professionnelle et que le message en question avait lui-m\u00eame un contexte clairement professionnel, l\u2019exception sectorielle n\u2019\u00e9tait pas applicable. Les traitements mixtes \u00e0 des fins priv\u00e9es et professionnelles ne b\u00e9n\u00e9ficient d\u2019aucun privil\u00e8ge.<\/p>\n
Cons\u00e9quence pratique : un <\/strong>groupe de discussion ne devient pas pour autant un espace priv\u00e9 du simple fait qu\u2019il a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 titre priv\u00e9 ou qu\u2019il contient majoritairement des contenus priv\u00e9s. Ce qui est d\u00e9terminant, c\u2019est de savoir s\u2019il sert effectivement \u00e0 l\u2019organisation de l\u2019entreprise. C\u2019est pr\u00e9cis\u00e9ment le cas, en r\u00e8gle g\u00e9n\u00e9rale, des groupes consacr\u00e9s aux tableaux de service, aux remplacements et aux arr\u00eats de travail ; le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es s\u2019applique donc.<\/p>\n<\/div>![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/08\/BAYOOCARE_WhatsApp-Gruppe-Datenschutz-und-die-Frage-der-privaten-Nutzung.jpg\" "\\"BAYOOCARE_WhatsApp-Gruppe,")
<\/span><\/div>La protection des donn\u00e9es des salari\u00e9s et la question de la responsabilit\u00e9<\/h2><\/h2><\/div>Le tribunal a \u00e9galement clairement cern\u00e9 la question de la responsabilit\u00e9 en mati\u00e8re de protection des donn\u00e9es. En mati\u00e8re de protection des donn\u00e9es des salari\u00e9s, le principe veut que les salari\u00e9s qui traitent des donn\u00e9es dans le cadre de leur activit\u00e9 ne soient pas eux-m\u00eames responsables au sens de l\u2019article 4, point 7, du RGPD. C\u2019est g\u00e9n\u00e9ralement l\u2019employeur qui l\u2019est.<\/p>\n
Mais celui qui se sert de l’organisation du service uniquement comme pr\u00e9texte pour divulguer des donn\u00e9es de sant\u00e9 sensibles, par curiosit\u00e9 ou dans le but de discr\u00e9diter un coll\u00e8gue, poursuit ses propres fins et agit en dehors du cadre des fonctions qui lui ont \u00e9t\u00e9 attribu\u00e9es. Dans ce cas dit d\u2019\u00ab exc\u00e8s \u00bb, la personne en cause devient elle-m\u00eame responsable et engage sa responsabilit\u00e9 personnelle. Le tribunal a constat\u00e9 que la transmission de ces d\u00e9tails m\u00e9dicaux n\u2019\u00e9tait ni n\u00e9cessaire ni judicieuse. La formulation \u00ab simplement \u00e0 titre d\u2019information g\u00e9n\u00e9rale \u00bb atteste de son intention personnelle.<\/p>\n
Pour les collaborateurs, cela a une cons\u00e9quence claire. Quiconque utilise les canaux professionnels pour diffuser des informations personnelles concernant des coll\u00e8gues en assume lui-m\u00eame la responsabilit\u00e9 en cas de doute, que l\u2019employeur en ait connaissance ou l\u2019ait approuv\u00e9 ou non.<\/p>\n<\/div>
Donn\u00e9es relatives \u00e0 la sant\u00e9, RGPD et l\u2019interdiction sous r\u00e9serve d\u2019autorisation pr\u00e9vue \u00e0 l\u2019article 9 du RGPD<\/h2><\/h2><\/div>En l\u2019esp\u00e8ce, il s\u2019agissait d\u2019une violation manifeste de l\u2019article 9, paragraphe 1, du RGPD. Les diagnostics et les r\u00e9sultats d\u2019analyses de laboratoire constituent des donn\u00e9es relatives \u00e0 la sant\u00e9 au sens de l\u2019article 4, point 15, du RGPD et font donc partie de la cat\u00e9gorie de donn\u00e9es que le RGPD qualifie de \u00ab cat\u00e9gories particuli\u00e8res de donn\u00e9es \u00e0 caract\u00e8re personnel \u00bb. Elles sont soumises \u00e0 une interdiction de principe de traitement, sous r\u00e9serve d\u2019autorisation. Le traitement n\u2019est autoris\u00e9 que si l\u2019une des exceptions strictement d\u00e9finies de l\u2019article 9, paragraphe 2, du RGPD s\u2019applique. Aucune de ces exceptions n\u2019\u00e9tait remplie en l\u2019esp\u00e8ce. Il n\u2019y avait ni consentement de la personne concern\u00e9e, ni n\u00e9cessit\u00e9 de la transmission pour un traitement m\u00e9dical, ni divulgation manifeste de ces informations par la personne concern\u00e9e elle-m\u00eame. Le fait qu\u2019il ait annonc\u00e9 son arr\u00eat de travail au sein du m\u00eame groupe n\u2019y changeait rien, car un arr\u00eat de travail ne constitue pas une autorisation de divulgation du diagnostic sous-jacent. Cela met en \u00e9vidence le c\u0153ur du sujet : les donn\u00e9es de sant\u00e9, le RGPD et la base juridique. Ce n\u2019est pas la sensibilit\u00e9 \u00e0 elle seule qui fait la diff\u00e9rence, mais l\u2019absence de norme d\u2019autorisation.<\/section>\n<\/div>Indemnisation au titre du RGPD, conform\u00e9ment \u00e0 l’article 82 du RGPD<\/h2><\/h2><\/div>En ce qui concerne les dommages-int\u00e9r\u00eats pr\u00e9vus par le RGPD en vertu de l\u2019article 82, le tribunal a estim\u00e9 que la perte du contr\u00f4le sur ses propres donn\u00e9es de sant\u00e9 constituait un motif suffisant. La transmission de ces donn\u00e9es \u00e0 sept tiers non autoris\u00e9s a suffi ; il n\u2019\u00e9tait pas n\u00e9cessaire d\u2019apporter la preuve suppl\u00e9mentaire de cons\u00e9quences n\u00e9gatives tangibles. \u00c0 cela s\u2019est ajout\u00e9e la d\u00e9valorisation dont le plaignant a fait l\u2019objet au sein de son milieu professionnel, du fait de l\u2019insinuation selon laquelle il ne serait pas r\u00e9ellement en incapacit\u00e9 de travail.<\/p>\n
Dommages-int\u00e9r\u00eats moraux, RGPD et calcul : lors de <\/strong>la fixation du montant de 1 000 euros, deux \u00e9l\u00e9ments ont eu des effets contraires.<\/p>\n\n- Il convient de prendre en compte la sensibilit\u00e9 particuli\u00e8re des diagnostics et des r\u00e9sultats d’analyses, ainsi que la situation de stress d\u00e9crite de mani\u00e8re cr\u00e9dible, qui a contribu\u00e9 au licenciement.<\/li>\n
- Au titre des circonstances att\u00e9nuantes : le cercle restreint de sept destinataires et le fait que ce ne sont pas des dossiers m\u00e9dicaux complets, mais des informations ponctuelles qui ont \u00e9t\u00e9 transmises.<\/li>\n<\/ul>\n
Cette d\u00e9cision s\u2019inscrit ainsi dans la lign\u00e9e de la jurisprudence r\u00e9cente. Toute infraction n\u2019entra\u00eene pas automatiquement des dommages-int\u00e9r\u00eats, mais la perte de contr\u00f4le sur des donn\u00e9es particuli\u00e8rement sensibles peut, en soi, constituer un pr\u00e9judice donnant lieu \u00e0 r\u00e9paration.<\/p>\n<\/div>
![](\"https:\/\/www.bayoocare.com\/wp-content\/uploads\/sites\/7\/2026\/08\/BAYOOCARE_DSGVO-Schadensersatz-nach-Art.-82-DSGVOO.jpg\" "\\"BAYOOCARE_DSGVO-Schadensersatz")
<\/span><\/div>Droit \u00e0 la cessation, RGPD et risque de r\u00e9cidive<\/h2><\/h2><\/div>La motivation relative \u00e0 la demande de cessation est remarquable. Bien que le demandeur ait quitt\u00e9 la clinique et le groupe de discussion, le tribunal a reconnu l\u2019existence du risque de r\u00e9cidive requis, notamment parce que la d\u00e9fenderesse continue d\u2019exercer en tant que m\u00e9decin au sein de cet h\u00f4pital et pourrait y soigner \u00e0 nouveau le demandeur. Le fait qu\u2019elle soit rest\u00e9e intransigeante tout au long de la proc\u00e9dure et qu\u2019elle ait continu\u00e9 \u00e0 consid\u00e9rer son comportement comme licite a \u00e9galement \u00e9t\u00e9 d\u00e9terminant.<\/p>\n
Il s\u2019agit l\u00e0 d\u2019un signal clair pour la pratique. L\u2019absence de prise de conscience apr\u00e8s un incident li\u00e9 \u00e0 la protection des donn\u00e9es aggrave consid\u00e9rablement la situation de la partie concern\u00e9e, et une action en cessation peut \u00eatre recevable m\u00eame si la situation concr\u00e8te n\u2019existe plus.<\/p>\n<\/div>
Donn\u00e9es de sant\u00e9, employeurs et arr\u00eat maladie au quotidien<\/h2><\/h2><\/div>Cette affaire met en lumi\u00e8re une question qui revient sans cesse dans le quotidien professionnel. Quelles donn\u00e9es relatives \u00e0 la sant\u00e9 l\u2019employeur est-il autoris\u00e9 \u00e0 conna\u00eetre ? Le principe est clair. Pour un arr\u00eat maladie, il suffit d\u2019indiquer l\u2019incapacit\u00e9 de travail et sa dur\u00e9e pr\u00e9visionnelle. Les diagnostics, les r\u00e9sultats d\u2019examens et les analyses de laboratoire n\u2019en font pas partie. En mati\u00e8re d\u2019arr\u00eat maladie, de protection des donn\u00e9es et de planification des services, la mention \u00ab indisponible \u00bb suffit donc, et la raison m\u00e9dicale n\u2019a aucune importance.<\/p>\n
Lorsque les donn\u00e9es de sant\u00e9 et l\u2019employeur se recoupent in\u00e9vitablement, par exemple dans le cadre de la gestion de la r\u00e9insertion professionnelle, des examens de m\u00e9decine du travail ou de la gestion de la sant\u00e9 en entreprise, il est n\u00e9cessaire de d\u00e9finir des responsabilit\u00e9s clairement d\u00e9limit\u00e9es, de disposer d\u2019une base juridique et de restreindre strictement le cercle des destinataires. Un chat de groupe ouvert ne r\u00e9pond \u00e0 aucune de ces exigences.<\/p>\n<\/div>
Protection des donn\u00e9es, h\u00f4pital, personnel : ce qu\u2019il faut r\u00e9gler d\u00e8s maintenant<\/h2><\/h2><\/div>La protection des donn\u00e9es, le milieu hospitalier et le personnel constituent une combinaison particuli\u00e8rement sensible. Dans le quotidien des \u00e9tablissements hospitaliers, les employ\u00e9s sont quotidiennement en contact avec des donn\u00e9es de sant\u00e9, et c’est pr\u00e9cis\u00e9ment dans ce contexte que la communication informelle via les applications de messagerie est tr\u00e8s r\u00e9pandue, car elle est rapide et pratique. Six points m\u00e9ritent votre attention.<\/p>\n
\n- D\u00e9finir de mani\u00e8re contraignante les canaux par lesquels les informations professionnelles peuvent \u00eatre \u00e9chang\u00e9es et pr\u00e9ciser quels contenus n’ont pas leur place sur ces canaux.<\/li>\n
- Organiser les absences et les remplacements via un syst\u00e8me ou un service comp\u00e9tent, et non par le biais de groupes ouverts.<\/li>\n
- Pas de diagnostics dans les listes de diffusion. Pr\u00e9cisez clairement que les diagnostics, les r\u00e9sultats d\u2019analyses et les informations relatives aux traitements ne doivent \u00eatre \u00e9chang\u00e9s qu\u2019entre les personnes comp\u00e9tentes sur le plan professionnel.<\/li>\n
- Formation et sensibilisation. Utilisez ce cas comme exemple de formation, car il est parlant et rend la responsabilit\u00e9 personnelle tangible.<\/li>\n
- D\u00e9finir la proc\u00e9dure de signalement interne d\u2019un incident et d\u00e9signer la personne charg\u00e9e de l\u2019\u00e9valuation conform\u00e9ment aux articles 33 et 34 du RGPD.<\/li>\n
- Consignez les directives, les attestations de formation et les mesures prises en cas d’incident, car en cas de litige, cela constitue la preuve de la diligence dont fait preuve l’organisation.<\/li>\n<\/ul>\n<\/div>
Ce que les personnes concern\u00e9es peuvent faire<\/h2><\/h2><\/div>Toute personne apprenant que ses donn\u00e9es de sant\u00e9 ont \u00e9t\u00e9 transmises sans autorisation peut exiger la cessation de cette pratique et, en cas de pr\u00e9judice correspondant, r\u00e9clamer des dommages-int\u00e9r\u00eats pour pr\u00e9judice moral conform\u00e9ment au RGPD. Il est judicieux de documenter l\u2019incident, par exemple \u00e0 l\u2019aide de captures d\u2019\u00e9cran horodat\u00e9es pr\u00e9cisant les destinataires, et d\u2019aborder la question avec votre employeur ou le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. Il est \u00e9galement possible de d\u00e9poser une r\u00e9clamation aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente, conform\u00e9ment \u00e0 l\u2019article 77 du RGPD.<\/p>\n<\/div>
Conclusion<\/h2><\/h2><\/div>Le jugement n’est pas encore d\u00e9finitif. Il reste \u00e0 voir si la d\u00e9fenderesse fera appel devant le tribunal r\u00e9gional du travail de Cologne. Le message \u00e0 retenir pour la pratique est ind\u00e9pendant de cela. Les donn\u00e9es relatives \u00e0 la sant\u00e9 n\u2019ont pas leur place dans les discussions entre coll\u00e8gues. Pour les organisations du secteur de la sant\u00e9, il est judicieux de ne pas laisser les canaux de communication informels au hasard, mais de les r\u00e9glementer clairement, d\u2019organiser des formations \u00e0 ce sujet et de les documenter.<\/p>\n<\/div>
Au sein d\u2019un centre hospitalier, il existait un groupe WhatsApp intitul\u00e9 \u00ab \u00c4rzte-AC \u00bb, qui comptait neuf membres du service de chirurgie g\u00e9n\u00e9rale. Outre des sujets d\u2019ordre priv\u00e9, ce groupe servait principalement \u00e0 organiser les cong\u00e9s, les arr\u00eats maladie et la prise en charge des gardes. Ce groupe faisait donc partie int\u00e9grante de la communication interne de l\u2019\u00e9tablissement.<\/p>\n
Lorsqu\u2019un m\u00e9decin en formation s\u2019est mis en arr\u00eat maladie pour son service du week-end apr\u00e8s avoir effectu\u00e9 un examen de m\u00e9decine interne aux urgences, la m\u00e9decin de service responsable a d\u00fb le remplacer au pied lev\u00e9. M\u00e9contente que son escapade du week-end soit tomb\u00e9e \u00e0 l\u2019eau, elle a publi\u00e9 deux jours plus tard un message d\u00e9taill\u00e9 dans le groupe. Elle y a non seulement exprim\u00e9 sa col\u00e8re, mais a \u00e9galement communiqu\u00e9 les r\u00e9sultats d\u2019analyses et les diagnostics de son coll\u00e8gue, notamment une st\u00e9atose h\u00e9patique associ\u00e9e \u00e0 l\u2019ob\u00e9sit\u00e9, tout en se demandant avec suffisance s\u2019il s\u2019agissait r\u00e9ellement d\u2019une maladie.<\/p>\n
Le coll\u00e8gue concern\u00e9 a exig\u00e9 que l’on cesse toute nouvelle transmission de donn\u00e9es et a r\u00e9clam\u00e9 des dommages-int\u00e9r\u00eats. \u00c0 l’automne 2025, il a d\u00e9missionn\u00e9. Cet incident aurait \u00e9t\u00e9 l’une des causes de sa d\u00e9cision.<\/p>\n<\/div>
La d\u00e9cision du tribunal du travail de Siegburg<\/h2><\/h2><\/div>Le tribunal a fait droit \u00e0 la majeure partie de la demande. Il a \u00e9t\u00e9 interdit \u00e0 la m\u00e9decin de service de transmettre \u00e0 l\u2019avenir des donn\u00e9es m\u00e9dicales du demandeur sans son consentement. De plus, elle doit verser 1 000 euros de dommages-int\u00e9r\u00eats pour pr\u00e9judice moral, alors que 2 000 euros avaient \u00e9t\u00e9 r\u00e9clam\u00e9s. Elle supporte 78 % des frais de justice, le plaignant 22 %. Le tribunal a fix\u00e9 la valeur du litige \u00e0 4 500 euros.<\/p>\n
Sur le plan juridique, la demande de cessation se fonde par analogie sur l\u2019article 1004, paragraphe 1, du Code civil allemand (BGB), en liaison avec l\u2019article 823, paragraphe 2, du BGB et le RGPD en tant que loi de protection, tandis que la demande de paiement se fonde sur l\u2019article 82, paragraphe 1, du RGPD.<\/p>\n<\/div>
Les groupes WhatsApp, la protection des donn\u00e9es et la question de l’usage priv\u00e9<\/h2><\/h2><\/div>La question centrale \u00e9tait de savoir si le RGPD s\u2019appliquait r\u00e9ellement \u00e0 ce groupe de discussion. La d\u00e9fenderesse avait fait valoir qu\u2019il s\u2019agissait d\u2019un groupe purement priv\u00e9, utilis\u00e9 \u00e0 des fins professionnelles uniquement par souci de simplicit\u00e9, et qu\u2019il s\u2019agissait donc d\u2019une activit\u00e9 personnelle b\u00e9n\u00e9ficiant d\u2019une d\u00e9rogation en vertu de l\u2019article 2, paragraphe 2, point c), du RGPD. L\u2019exception relative \u00e0 l\u2019activit\u00e9 domestique, le RGPD et le lien avec l\u2019activit\u00e9 professionnelle sont ici directement li\u00e9s. Cette exception ne s\u2019applique qu\u2019aux traitements destin\u00e9s exclusivement \u00e0 des fins personnelles ou familiales.<\/p>\n
Le tribunal n’a pas suivi cet argument. Le nom et la composition m\u00eame du groupe, au sein duquel n’\u00e9taient repr\u00e9sent\u00e9s que des coll\u00e8gues d’un m\u00eame service, plaidaient d\u00e9j\u00e0 en faveur d’un lien professionnel. De plus, \u00e9tant donn\u00e9 que, selon les propres d\u00e9clarations de la d\u00e9fenderesse, au moins 30 % des contenus \u00e9taient de nature professionnelle et que le message en question avait lui-m\u00eame un contexte clairement professionnel, l\u2019exception sectorielle n\u2019\u00e9tait pas applicable. Les traitements mixtes \u00e0 des fins priv\u00e9es et professionnelles ne b\u00e9n\u00e9ficient d\u2019aucun privil\u00e8ge.<\/p>\n
Cons\u00e9quence pratique : un <\/strong>groupe de discussion ne devient pas pour autant un espace priv\u00e9 du simple fait qu\u2019il a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 titre priv\u00e9 ou qu\u2019il contient majoritairement des contenus priv\u00e9s. Ce qui est d\u00e9terminant, c\u2019est de savoir s\u2019il sert effectivement \u00e0 l\u2019organisation de l\u2019entreprise. C\u2019est pr\u00e9cis\u00e9ment le cas, en r\u00e8gle g\u00e9n\u00e9rale, des groupes consacr\u00e9s aux tableaux de service, aux remplacements et aux arr\u00eats de travail ; le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es s\u2019applique donc.<\/p>\n<\/div><\/span><\/div>La protection des donn\u00e9es des salari\u00e9s et la question de la responsabilit\u00e9<\/h2><\/h2><\/div>Le tribunal a \u00e9galement clairement cern\u00e9 la question de la responsabilit\u00e9 en mati\u00e8re de protection des donn\u00e9es. En mati\u00e8re de protection des donn\u00e9es des salari\u00e9s, le principe veut que les salari\u00e9s qui traitent des donn\u00e9es dans le cadre de leur activit\u00e9 ne soient pas eux-m\u00eames responsables au sens de l\u2019article 4, point 7, du RGPD. C\u2019est g\u00e9n\u00e9ralement l\u2019employeur qui l\u2019est.<\/p>\n
Mais celui qui se sert de l’organisation du service uniquement comme pr\u00e9texte pour divulguer des donn\u00e9es de sant\u00e9 sensibles, par curiosit\u00e9 ou dans le but de discr\u00e9diter un coll\u00e8gue, poursuit ses propres fins et agit en dehors du cadre des fonctions qui lui ont \u00e9t\u00e9 attribu\u00e9es. Dans ce cas dit d\u2019\u00ab exc\u00e8s \u00bb, la personne en cause devient elle-m\u00eame responsable et engage sa responsabilit\u00e9 personnelle. Le tribunal a constat\u00e9 que la transmission de ces d\u00e9tails m\u00e9dicaux n\u2019\u00e9tait ni n\u00e9cessaire ni judicieuse. La formulation \u00ab simplement \u00e0 titre d\u2019information g\u00e9n\u00e9rale \u00bb atteste de son intention personnelle.<\/p>\n
Pour les collaborateurs, cela a une cons\u00e9quence claire. Quiconque utilise les canaux professionnels pour diffuser des informations personnelles concernant des coll\u00e8gues en assume lui-m\u00eame la responsabilit\u00e9 en cas de doute, que l\u2019employeur en ait connaissance ou l\u2019ait approuv\u00e9 ou non.<\/p>\n<\/div>
Donn\u00e9es relatives \u00e0 la sant\u00e9, RGPD et l\u2019interdiction sous r\u00e9serve d\u2019autorisation pr\u00e9vue \u00e0 l\u2019article 9 du RGPD<\/h2><\/h2><\/div>En l\u2019esp\u00e8ce, il s\u2019agissait d\u2019une violation manifeste de l\u2019article 9, paragraphe 1, du RGPD. Les diagnostics et les r\u00e9sultats d\u2019analyses de laboratoire constituent des donn\u00e9es relatives \u00e0 la sant\u00e9 au sens de l\u2019article 4, point 15, du RGPD et font donc partie de la cat\u00e9gorie de donn\u00e9es que le RGPD qualifie de \u00ab cat\u00e9gories particuli\u00e8res de donn\u00e9es \u00e0 caract\u00e8re personnel \u00bb. Elles sont soumises \u00e0 une interdiction de principe de traitement, sous r\u00e9serve d\u2019autorisation. Le traitement n\u2019est autoris\u00e9 que si l\u2019une des exceptions strictement d\u00e9finies de l\u2019article 9, paragraphe 2, du RGPD s\u2019applique. Aucune de ces exceptions n\u2019\u00e9tait remplie en l\u2019esp\u00e8ce. Il n\u2019y avait ni consentement de la personne concern\u00e9e, ni n\u00e9cessit\u00e9 de la transmission pour un traitement m\u00e9dical, ni divulgation manifeste de ces informations par la personne concern\u00e9e elle-m\u00eame. Le fait qu\u2019il ait annonc\u00e9 son arr\u00eat de travail au sein du m\u00eame groupe n\u2019y changeait rien, car un arr\u00eat de travail ne constitue pas une autorisation de divulgation du diagnostic sous-jacent. Cela met en \u00e9vidence le c\u0153ur du sujet : les donn\u00e9es de sant\u00e9, le RGPD et la base juridique. Ce n\u2019est pas la sensibilit\u00e9 \u00e0 elle seule qui fait la diff\u00e9rence, mais l\u2019absence de norme d\u2019autorisation.<\/section>\n<\/div>Indemnisation au titre du RGPD, conform\u00e9ment \u00e0 l’article 82 du RGPD<\/h2><\/h2><\/div>En ce qui concerne les dommages-int\u00e9r\u00eats pr\u00e9vus par le RGPD en vertu de l\u2019article 82, le tribunal a estim\u00e9 que la perte du contr\u00f4le sur ses propres donn\u00e9es de sant\u00e9 constituait un motif suffisant. La transmission de ces donn\u00e9es \u00e0 sept tiers non autoris\u00e9s a suffi ; il n\u2019\u00e9tait pas n\u00e9cessaire d\u2019apporter la preuve suppl\u00e9mentaire de cons\u00e9quences n\u00e9gatives tangibles. \u00c0 cela s\u2019est ajout\u00e9e la d\u00e9valorisation dont le plaignant a fait l\u2019objet au sein de son milieu professionnel, du fait de l\u2019insinuation selon laquelle il ne serait pas r\u00e9ellement en incapacit\u00e9 de travail.<\/p>\n
Dommages-int\u00e9r\u00eats moraux, RGPD et calcul : lors de <\/strong>la fixation du montant de 1 000 euros, deux \u00e9l\u00e9ments ont eu des effets contraires.<\/p>\n\n- Il convient de prendre en compte la sensibilit\u00e9 particuli\u00e8re des diagnostics et des r\u00e9sultats d’analyses, ainsi que la situation de stress d\u00e9crite de mani\u00e8re cr\u00e9dible, qui a contribu\u00e9 au licenciement.<\/li>\n
- Au titre des circonstances att\u00e9nuantes : le cercle restreint de sept destinataires et le fait que ce ne sont pas des dossiers m\u00e9dicaux complets, mais des informations ponctuelles qui ont \u00e9t\u00e9 transmises.<\/li>\n<\/ul>\n
Cette d\u00e9cision s\u2019inscrit ainsi dans la lign\u00e9e de la jurisprudence r\u00e9cente. Toute infraction n\u2019entra\u00eene pas automatiquement des dommages-int\u00e9r\u00eats, mais la perte de contr\u00f4le sur des donn\u00e9es particuli\u00e8rement sensibles peut, en soi, constituer un pr\u00e9judice donnant lieu \u00e0 r\u00e9paration.<\/p>\n<\/div>
<\/span><\/div>Droit \u00e0 la cessation, RGPD et risque de r\u00e9cidive<\/h2><\/h2><\/div>La motivation relative \u00e0 la demande de cessation est remarquable. Bien que le demandeur ait quitt\u00e9 la clinique et le groupe de discussion, le tribunal a reconnu l\u2019existence du risque de r\u00e9cidive requis, notamment parce que la d\u00e9fenderesse continue d\u2019exercer en tant que m\u00e9decin au sein de cet h\u00f4pital et pourrait y soigner \u00e0 nouveau le demandeur. Le fait qu\u2019elle soit rest\u00e9e intransigeante tout au long de la proc\u00e9dure et qu\u2019elle ait continu\u00e9 \u00e0 consid\u00e9rer son comportement comme licite a \u00e9galement \u00e9t\u00e9 d\u00e9terminant.<\/p>\n
Il s\u2019agit l\u00e0 d\u2019un signal clair pour la pratique. L\u2019absence de prise de conscience apr\u00e8s un incident li\u00e9 \u00e0 la protection des donn\u00e9es aggrave consid\u00e9rablement la situation de la partie concern\u00e9e, et une action en cessation peut \u00eatre recevable m\u00eame si la situation concr\u00e8te n\u2019existe plus.<\/p>\n<\/div>
Donn\u00e9es de sant\u00e9, employeurs et arr\u00eat maladie au quotidien<\/h2><\/h2><\/div>Cette affaire met en lumi\u00e8re une question qui revient sans cesse dans le quotidien professionnel. Quelles donn\u00e9es relatives \u00e0 la sant\u00e9 l\u2019employeur est-il autoris\u00e9 \u00e0 conna\u00eetre ? Le principe est clair. Pour un arr\u00eat maladie, il suffit d\u2019indiquer l\u2019incapacit\u00e9 de travail et sa dur\u00e9e pr\u00e9visionnelle. Les diagnostics, les r\u00e9sultats d\u2019examens et les analyses de laboratoire n\u2019en font pas partie. En mati\u00e8re d\u2019arr\u00eat maladie, de protection des donn\u00e9es et de planification des services, la mention \u00ab indisponible \u00bb suffit donc, et la raison m\u00e9dicale n\u2019a aucune importance.<\/p>\n
Lorsque les donn\u00e9es de sant\u00e9 et l\u2019employeur se recoupent in\u00e9vitablement, par exemple dans le cadre de la gestion de la r\u00e9insertion professionnelle, des examens de m\u00e9decine du travail ou de la gestion de la sant\u00e9 en entreprise, il est n\u00e9cessaire de d\u00e9finir des responsabilit\u00e9s clairement d\u00e9limit\u00e9es, de disposer d\u2019une base juridique et de restreindre strictement le cercle des destinataires. Un chat de groupe ouvert ne r\u00e9pond \u00e0 aucune de ces exigences.<\/p>\n<\/div>
Protection des donn\u00e9es, h\u00f4pital, personnel : ce qu\u2019il faut r\u00e9gler d\u00e8s maintenant<\/h2><\/h2><\/div>La protection des donn\u00e9es, le milieu hospitalier et le personnel constituent une combinaison particuli\u00e8rement sensible. Dans le quotidien des \u00e9tablissements hospitaliers, les employ\u00e9s sont quotidiennement en contact avec des donn\u00e9es de sant\u00e9, et c’est pr\u00e9cis\u00e9ment dans ce contexte que la communication informelle via les applications de messagerie est tr\u00e8s r\u00e9pandue, car elle est rapide et pratique. Six points m\u00e9ritent votre attention.<\/p>\n
\n- D\u00e9finir de mani\u00e8re contraignante les canaux par lesquels les informations professionnelles peuvent \u00eatre \u00e9chang\u00e9es et pr\u00e9ciser quels contenus n’ont pas leur place sur ces canaux.<\/li>\n
- Organiser les absences et les remplacements via un syst\u00e8me ou un service comp\u00e9tent, et non par le biais de groupes ouverts.<\/li>\n
- Pas de diagnostics dans les listes de diffusion. Pr\u00e9cisez clairement que les diagnostics, les r\u00e9sultats d\u2019analyses et les informations relatives aux traitements ne doivent \u00eatre \u00e9chang\u00e9s qu\u2019entre les personnes comp\u00e9tentes sur le plan professionnel.<\/li>\n
- Formation et sensibilisation. Utilisez ce cas comme exemple de formation, car il est parlant et rend la responsabilit\u00e9 personnelle tangible.<\/li>\n
- D\u00e9finir la proc\u00e9dure de signalement interne d\u2019un incident et d\u00e9signer la personne charg\u00e9e de l\u2019\u00e9valuation conform\u00e9ment aux articles 33 et 34 du RGPD.<\/li>\n
- Consignez les directives, les attestations de formation et les mesures prises en cas d’incident, car en cas de litige, cela constitue la preuve de la diligence dont fait preuve l’organisation.<\/li>\n<\/ul>\n<\/div>
Ce que les personnes concern\u00e9es peuvent faire<\/h2><\/h2><\/div>Toute personne apprenant que ses donn\u00e9es de sant\u00e9 ont \u00e9t\u00e9 transmises sans autorisation peut exiger la cessation de cette pratique et, en cas de pr\u00e9judice correspondant, r\u00e9clamer des dommages-int\u00e9r\u00eats pour pr\u00e9judice moral conform\u00e9ment au RGPD. Il est judicieux de documenter l\u2019incident, par exemple \u00e0 l\u2019aide de captures d\u2019\u00e9cran horodat\u00e9es pr\u00e9cisant les destinataires, et d\u2019aborder la question avec votre employeur ou le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. Il est \u00e9galement possible de d\u00e9poser une r\u00e9clamation aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente, conform\u00e9ment \u00e0 l\u2019article 77 du RGPD.<\/p>\n<\/div>
Conclusion<\/h2><\/h2><\/div>Le jugement n’est pas encore d\u00e9finitif. Il reste \u00e0 voir si la d\u00e9fenderesse fera appel devant le tribunal r\u00e9gional du travail de Cologne. Le message \u00e0 retenir pour la pratique est ind\u00e9pendant de cela. Les donn\u00e9es relatives \u00e0 la sant\u00e9 n\u2019ont pas leur place dans les discussions entre coll\u00e8gues. Pour les organisations du secteur de la sant\u00e9, il est judicieux de ne pas laisser les canaux de communication informels au hasard, mais de les r\u00e9glementer clairement, d\u2019organiser des formations \u00e0 ce sujet et de les documenter.<\/p>\n<\/div>
Le tribunal a fait droit \u00e0 la majeure partie de la demande. Il a \u00e9t\u00e9 interdit \u00e0 la m\u00e9decin de service de transmettre \u00e0 l\u2019avenir des donn\u00e9es m\u00e9dicales du demandeur sans son consentement. De plus, elle doit verser 1 000 euros de dommages-int\u00e9r\u00eats pour pr\u00e9judice moral, alors que 2 000 euros avaient \u00e9t\u00e9 r\u00e9clam\u00e9s. Elle supporte 78 % des frais de justice, le plaignant 22 %. Le tribunal a fix\u00e9 la valeur du litige \u00e0 4 500 euros.<\/p>\n
Sur le plan juridique, la demande de cessation se fonde par analogie sur l\u2019article 1004, paragraphe 1, du Code civil allemand (BGB), en liaison avec l\u2019article 823, paragraphe 2, du BGB et le RGPD en tant que loi de protection, tandis que la demande de paiement se fonde sur l\u2019article 82, paragraphe 1, du RGPD.<\/p>\n<\/div>
Les groupes WhatsApp, la protection des donn\u00e9es et la question de l’usage priv\u00e9<\/h2><\/h2><\/div>La question centrale \u00e9tait de savoir si le RGPD s\u2019appliquait r\u00e9ellement \u00e0 ce groupe de discussion. La d\u00e9fenderesse avait fait valoir qu\u2019il s\u2019agissait d\u2019un groupe purement priv\u00e9, utilis\u00e9 \u00e0 des fins professionnelles uniquement par souci de simplicit\u00e9, et qu\u2019il s\u2019agissait donc d\u2019une activit\u00e9 personnelle b\u00e9n\u00e9ficiant d\u2019une d\u00e9rogation en vertu de l\u2019article 2, paragraphe 2, point c), du RGPD. L\u2019exception relative \u00e0 l\u2019activit\u00e9 domestique, le RGPD et le lien avec l\u2019activit\u00e9 professionnelle sont ici directement li\u00e9s. Cette exception ne s\u2019applique qu\u2019aux traitements destin\u00e9s exclusivement \u00e0 des fins personnelles ou familiales.<\/p>\n
Le tribunal n’a pas suivi cet argument. Le nom et la composition m\u00eame du groupe, au sein duquel n’\u00e9taient repr\u00e9sent\u00e9s que des coll\u00e8gues d’un m\u00eame service, plaidaient d\u00e9j\u00e0 en faveur d’un lien professionnel. De plus, \u00e9tant donn\u00e9 que, selon les propres d\u00e9clarations de la d\u00e9fenderesse, au moins 30 % des contenus \u00e9taient de nature professionnelle et que le message en question avait lui-m\u00eame un contexte clairement professionnel, l\u2019exception sectorielle n\u2019\u00e9tait pas applicable. Les traitements mixtes \u00e0 des fins priv\u00e9es et professionnelles ne b\u00e9n\u00e9ficient d\u2019aucun privil\u00e8ge.<\/p>\n
Cons\u00e9quence pratique : un <\/strong>groupe de discussion ne devient pas pour autant un espace priv\u00e9 du simple fait qu\u2019il a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 titre priv\u00e9 ou qu\u2019il contient majoritairement des contenus priv\u00e9s. Ce qui est d\u00e9terminant, c\u2019est de savoir s\u2019il sert effectivement \u00e0 l\u2019organisation de l\u2019entreprise. C\u2019est pr\u00e9cis\u00e9ment le cas, en r\u00e8gle g\u00e9n\u00e9rale, des groupes consacr\u00e9s aux tableaux de service, aux remplacements et aux arr\u00eats de travail ; le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es s\u2019applique donc.<\/p>\n<\/div><\/span><\/div>La protection des donn\u00e9es des salari\u00e9s et la question de la responsabilit\u00e9<\/h2><\/h2><\/div>Le tribunal a \u00e9galement clairement cern\u00e9 la question de la responsabilit\u00e9 en mati\u00e8re de protection des donn\u00e9es. En mati\u00e8re de protection des donn\u00e9es des salari\u00e9s, le principe veut que les salari\u00e9s qui traitent des donn\u00e9es dans le cadre de leur activit\u00e9 ne soient pas eux-m\u00eames responsables au sens de l\u2019article 4, point 7, du RGPD. C\u2019est g\u00e9n\u00e9ralement l\u2019employeur qui l\u2019est.<\/p>\n
Mais celui qui se sert de l’organisation du service uniquement comme pr\u00e9texte pour divulguer des donn\u00e9es de sant\u00e9 sensibles, par curiosit\u00e9 ou dans le but de discr\u00e9diter un coll\u00e8gue, poursuit ses propres fins et agit en dehors du cadre des fonctions qui lui ont \u00e9t\u00e9 attribu\u00e9es. Dans ce cas dit d\u2019\u00ab exc\u00e8s \u00bb, la personne en cause devient elle-m\u00eame responsable et engage sa responsabilit\u00e9 personnelle. Le tribunal a constat\u00e9 que la transmission de ces d\u00e9tails m\u00e9dicaux n\u2019\u00e9tait ni n\u00e9cessaire ni judicieuse. La formulation \u00ab simplement \u00e0 titre d\u2019information g\u00e9n\u00e9rale \u00bb atteste de son intention personnelle.<\/p>\n
Pour les collaborateurs, cela a une cons\u00e9quence claire. Quiconque utilise les canaux professionnels pour diffuser des informations personnelles concernant des coll\u00e8gues en assume lui-m\u00eame la responsabilit\u00e9 en cas de doute, que l\u2019employeur en ait connaissance ou l\u2019ait approuv\u00e9 ou non.<\/p>\n<\/div>
Donn\u00e9es relatives \u00e0 la sant\u00e9, RGPD et l\u2019interdiction sous r\u00e9serve d\u2019autorisation pr\u00e9vue \u00e0 l\u2019article 9 du RGPD<\/h2><\/h2><\/div>En l\u2019esp\u00e8ce, il s\u2019agissait d\u2019une violation manifeste de l\u2019article 9, paragraphe 1, du RGPD. Les diagnostics et les r\u00e9sultats d\u2019analyses de laboratoire constituent des donn\u00e9es relatives \u00e0 la sant\u00e9 au sens de l\u2019article 4, point 15, du RGPD et font donc partie de la cat\u00e9gorie de donn\u00e9es que le RGPD qualifie de \u00ab cat\u00e9gories particuli\u00e8res de donn\u00e9es \u00e0 caract\u00e8re personnel \u00bb. Elles sont soumises \u00e0 une interdiction de principe de traitement, sous r\u00e9serve d\u2019autorisation. Le traitement n\u2019est autoris\u00e9 que si l\u2019une des exceptions strictement d\u00e9finies de l\u2019article 9, paragraphe 2, du RGPD s\u2019applique. Aucune de ces exceptions n\u2019\u00e9tait remplie en l\u2019esp\u00e8ce. Il n\u2019y avait ni consentement de la personne concern\u00e9e, ni n\u00e9cessit\u00e9 de la transmission pour un traitement m\u00e9dical, ni divulgation manifeste de ces informations par la personne concern\u00e9e elle-m\u00eame. Le fait qu\u2019il ait annonc\u00e9 son arr\u00eat de travail au sein du m\u00eame groupe n\u2019y changeait rien, car un arr\u00eat de travail ne constitue pas une autorisation de divulgation du diagnostic sous-jacent. Cela met en \u00e9vidence le c\u0153ur du sujet : les donn\u00e9es de sant\u00e9, le RGPD et la base juridique. Ce n\u2019est pas la sensibilit\u00e9 \u00e0 elle seule qui fait la diff\u00e9rence, mais l\u2019absence de norme d\u2019autorisation.<\/section>\n<\/div>Indemnisation au titre du RGPD, conform\u00e9ment \u00e0 l’article 82 du RGPD<\/h2><\/h2><\/div>En ce qui concerne les dommages-int\u00e9r\u00eats pr\u00e9vus par le RGPD en vertu de l\u2019article 82, le tribunal a estim\u00e9 que la perte du contr\u00f4le sur ses propres donn\u00e9es de sant\u00e9 constituait un motif suffisant. La transmission de ces donn\u00e9es \u00e0 sept tiers non autoris\u00e9s a suffi ; il n\u2019\u00e9tait pas n\u00e9cessaire d\u2019apporter la preuve suppl\u00e9mentaire de cons\u00e9quences n\u00e9gatives tangibles. \u00c0 cela s\u2019est ajout\u00e9e la d\u00e9valorisation dont le plaignant a fait l\u2019objet au sein de son milieu professionnel, du fait de l\u2019insinuation selon laquelle il ne serait pas r\u00e9ellement en incapacit\u00e9 de travail.<\/p>\n
Dommages-int\u00e9r\u00eats moraux, RGPD et calcul : lors de <\/strong>la fixation du montant de 1 000 euros, deux \u00e9l\u00e9ments ont eu des effets contraires.<\/p>\n\n- Il convient de prendre en compte la sensibilit\u00e9 particuli\u00e8re des diagnostics et des r\u00e9sultats d’analyses, ainsi que la situation de stress d\u00e9crite de mani\u00e8re cr\u00e9dible, qui a contribu\u00e9 au licenciement.<\/li>\n
- Au titre des circonstances att\u00e9nuantes : le cercle restreint de sept destinataires et le fait que ce ne sont pas des dossiers m\u00e9dicaux complets, mais des informations ponctuelles qui ont \u00e9t\u00e9 transmises.<\/li>\n<\/ul>\n
Cette d\u00e9cision s\u2019inscrit ainsi dans la lign\u00e9e de la jurisprudence r\u00e9cente. Toute infraction n\u2019entra\u00eene pas automatiquement des dommages-int\u00e9r\u00eats, mais la perte de contr\u00f4le sur des donn\u00e9es particuli\u00e8rement sensibles peut, en soi, constituer un pr\u00e9judice donnant lieu \u00e0 r\u00e9paration.<\/p>\n<\/div>
<\/span><\/div>Droit \u00e0 la cessation, RGPD et risque de r\u00e9cidive<\/h2><\/h2><\/div>La motivation relative \u00e0 la demande de cessation est remarquable. Bien que le demandeur ait quitt\u00e9 la clinique et le groupe de discussion, le tribunal a reconnu l\u2019existence du risque de r\u00e9cidive requis, notamment parce que la d\u00e9fenderesse continue d\u2019exercer en tant que m\u00e9decin au sein de cet h\u00f4pital et pourrait y soigner \u00e0 nouveau le demandeur. Le fait qu\u2019elle soit rest\u00e9e intransigeante tout au long de la proc\u00e9dure et qu\u2019elle ait continu\u00e9 \u00e0 consid\u00e9rer son comportement comme licite a \u00e9galement \u00e9t\u00e9 d\u00e9terminant.<\/p>\n
Il s\u2019agit l\u00e0 d\u2019un signal clair pour la pratique. L\u2019absence de prise de conscience apr\u00e8s un incident li\u00e9 \u00e0 la protection des donn\u00e9es aggrave consid\u00e9rablement la situation de la partie concern\u00e9e, et une action en cessation peut \u00eatre recevable m\u00eame si la situation concr\u00e8te n\u2019existe plus.<\/p>\n<\/div>
Donn\u00e9es de sant\u00e9, employeurs et arr\u00eat maladie au quotidien<\/h2><\/h2><\/div>Cette affaire met en lumi\u00e8re une question qui revient sans cesse dans le quotidien professionnel. Quelles donn\u00e9es relatives \u00e0 la sant\u00e9 l\u2019employeur est-il autoris\u00e9 \u00e0 conna\u00eetre ? Le principe est clair. Pour un arr\u00eat maladie, il suffit d\u2019indiquer l\u2019incapacit\u00e9 de travail et sa dur\u00e9e pr\u00e9visionnelle. Les diagnostics, les r\u00e9sultats d\u2019examens et les analyses de laboratoire n\u2019en font pas partie. En mati\u00e8re d\u2019arr\u00eat maladie, de protection des donn\u00e9es et de planification des services, la mention \u00ab indisponible \u00bb suffit donc, et la raison m\u00e9dicale n\u2019a aucune importance.<\/p>\n
Lorsque les donn\u00e9es de sant\u00e9 et l\u2019employeur se recoupent in\u00e9vitablement, par exemple dans le cadre de la gestion de la r\u00e9insertion professionnelle, des examens de m\u00e9decine du travail ou de la gestion de la sant\u00e9 en entreprise, il est n\u00e9cessaire de d\u00e9finir des responsabilit\u00e9s clairement d\u00e9limit\u00e9es, de disposer d\u2019une base juridique et de restreindre strictement le cercle des destinataires. Un chat de groupe ouvert ne r\u00e9pond \u00e0 aucune de ces exigences.<\/p>\n<\/div>
Protection des donn\u00e9es, h\u00f4pital, personnel : ce qu\u2019il faut r\u00e9gler d\u00e8s maintenant<\/h2><\/h2><\/div>La protection des donn\u00e9es, le milieu hospitalier et le personnel constituent une combinaison particuli\u00e8rement sensible. Dans le quotidien des \u00e9tablissements hospitaliers, les employ\u00e9s sont quotidiennement en contact avec des donn\u00e9es de sant\u00e9, et c’est pr\u00e9cis\u00e9ment dans ce contexte que la communication informelle via les applications de messagerie est tr\u00e8s r\u00e9pandue, car elle est rapide et pratique. Six points m\u00e9ritent votre attention.<\/p>\n
\n- D\u00e9finir de mani\u00e8re contraignante les canaux par lesquels les informations professionnelles peuvent \u00eatre \u00e9chang\u00e9es et pr\u00e9ciser quels contenus n’ont pas leur place sur ces canaux.<\/li>\n
- Organiser les absences et les remplacements via un syst\u00e8me ou un service comp\u00e9tent, et non par le biais de groupes ouverts.<\/li>\n
- Pas de diagnostics dans les listes de diffusion. Pr\u00e9cisez clairement que les diagnostics, les r\u00e9sultats d\u2019analyses et les informations relatives aux traitements ne doivent \u00eatre \u00e9chang\u00e9s qu\u2019entre les personnes comp\u00e9tentes sur le plan professionnel.<\/li>\n
- Formation et sensibilisation. Utilisez ce cas comme exemple de formation, car il est parlant et rend la responsabilit\u00e9 personnelle tangible.<\/li>\n
- D\u00e9finir la proc\u00e9dure de signalement interne d\u2019un incident et d\u00e9signer la personne charg\u00e9e de l\u2019\u00e9valuation conform\u00e9ment aux articles 33 et 34 du RGPD.<\/li>\n
- Consignez les directives, les attestations de formation et les mesures prises en cas d’incident, car en cas de litige, cela constitue la preuve de la diligence dont fait preuve l’organisation.<\/li>\n<\/ul>\n<\/div>
Ce que les personnes concern\u00e9es peuvent faire<\/h2><\/h2><\/div>Toute personne apprenant que ses donn\u00e9es de sant\u00e9 ont \u00e9t\u00e9 transmises sans autorisation peut exiger la cessation de cette pratique et, en cas de pr\u00e9judice correspondant, r\u00e9clamer des dommages-int\u00e9r\u00eats pour pr\u00e9judice moral conform\u00e9ment au RGPD. Il est judicieux de documenter l\u2019incident, par exemple \u00e0 l\u2019aide de captures d\u2019\u00e9cran horodat\u00e9es pr\u00e9cisant les destinataires, et d\u2019aborder la question avec votre employeur ou le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. Il est \u00e9galement possible de d\u00e9poser une r\u00e9clamation aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente, conform\u00e9ment \u00e0 l\u2019article 77 du RGPD.<\/p>\n<\/div>
Conclusion<\/h2><\/h2><\/div>Le jugement n’est pas encore d\u00e9finitif. Il reste \u00e0 voir si la d\u00e9fenderesse fera appel devant le tribunal r\u00e9gional du travail de Cologne. Le message \u00e0 retenir pour la pratique est ind\u00e9pendant de cela. Les donn\u00e9es relatives \u00e0 la sant\u00e9 n\u2019ont pas leur place dans les discussions entre coll\u00e8gues. Pour les organisations du secteur de la sant\u00e9, il est judicieux de ne pas laisser les canaux de communication informels au hasard, mais de les r\u00e9glementer clairement, d\u2019organiser des formations \u00e0 ce sujet et de les documenter.<\/p>\n<\/div>
La question centrale \u00e9tait de savoir si le RGPD s\u2019appliquait r\u00e9ellement \u00e0 ce groupe de discussion. La d\u00e9fenderesse avait fait valoir qu\u2019il s\u2019agissait d\u2019un groupe purement priv\u00e9, utilis\u00e9 \u00e0 des fins professionnelles uniquement par souci de simplicit\u00e9, et qu\u2019il s\u2019agissait donc d\u2019une activit\u00e9 personnelle b\u00e9n\u00e9ficiant d\u2019une d\u00e9rogation en vertu de l\u2019article 2, paragraphe 2, point c), du RGPD. L\u2019exception relative \u00e0 l\u2019activit\u00e9 domestique, le RGPD et le lien avec l\u2019activit\u00e9 professionnelle sont ici directement li\u00e9s. Cette exception ne s\u2019applique qu\u2019aux traitements destin\u00e9s exclusivement \u00e0 des fins personnelles ou familiales.<\/p>\n
Le tribunal n’a pas suivi cet argument. Le nom et la composition m\u00eame du groupe, au sein duquel n’\u00e9taient repr\u00e9sent\u00e9s que des coll\u00e8gues d’un m\u00eame service, plaidaient d\u00e9j\u00e0 en faveur d’un lien professionnel. De plus, \u00e9tant donn\u00e9 que, selon les propres d\u00e9clarations de la d\u00e9fenderesse, au moins 30 % des contenus \u00e9taient de nature professionnelle et que le message en question avait lui-m\u00eame un contexte clairement professionnel, l\u2019exception sectorielle n\u2019\u00e9tait pas applicable. Les traitements mixtes \u00e0 des fins priv\u00e9es et professionnelles ne b\u00e9n\u00e9ficient d\u2019aucun privil\u00e8ge.<\/p>\n
Cons\u00e9quence pratique : un <\/strong>groupe de discussion ne devient pas pour autant un espace priv\u00e9 du simple fait qu\u2019il a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 titre priv\u00e9 ou qu\u2019il contient majoritairement des contenus priv\u00e9s. Ce qui est d\u00e9terminant, c\u2019est de savoir s\u2019il sert effectivement \u00e0 l\u2019organisation de l\u2019entreprise. C\u2019est pr\u00e9cis\u00e9ment le cas, en r\u00e8gle g\u00e9n\u00e9rale, des groupes consacr\u00e9s aux tableaux de service, aux remplacements et aux arr\u00eats de travail ; le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es s\u2019applique donc.<\/p>\n<\/div> Le tribunal a \u00e9galement clairement cern\u00e9 la question de la responsabilit\u00e9 en mati\u00e8re de protection des donn\u00e9es. En mati\u00e8re de protection des donn\u00e9es des salari\u00e9s, le principe veut que les salari\u00e9s qui traitent des donn\u00e9es dans le cadre de leur activit\u00e9 ne soient pas eux-m\u00eames responsables au sens de l\u2019article 4, point 7, du RGPD. C\u2019est g\u00e9n\u00e9ralement l\u2019employeur qui l\u2019est.<\/p>\n Mais celui qui se sert de l’organisation du service uniquement comme pr\u00e9texte pour divulguer des donn\u00e9es de sant\u00e9 sensibles, par curiosit\u00e9 ou dans le but de discr\u00e9diter un coll\u00e8gue, poursuit ses propres fins et agit en dehors du cadre des fonctions qui lui ont \u00e9t\u00e9 attribu\u00e9es. Dans ce cas dit d\u2019\u00ab exc\u00e8s \u00bb, la personne en cause devient elle-m\u00eame responsable et engage sa responsabilit\u00e9 personnelle. Le tribunal a constat\u00e9 que la transmission de ces d\u00e9tails m\u00e9dicaux n\u2019\u00e9tait ni n\u00e9cessaire ni judicieuse. La formulation \u00ab simplement \u00e0 titre d\u2019information g\u00e9n\u00e9rale \u00bb atteste de son intention personnelle.<\/p>\n Pour les collaborateurs, cela a une cons\u00e9quence claire. Quiconque utilise les canaux professionnels pour diffuser des informations personnelles concernant des coll\u00e8gues en assume lui-m\u00eame la responsabilit\u00e9 en cas de doute, que l\u2019employeur en ait connaissance ou l\u2019ait approuv\u00e9 ou non.<\/p>\n<\/div> En ce qui concerne les dommages-int\u00e9r\u00eats pr\u00e9vus par le RGPD en vertu de l\u2019article 82, le tribunal a estim\u00e9 que la perte du contr\u00f4le sur ses propres donn\u00e9es de sant\u00e9 constituait un motif suffisant. La transmission de ces donn\u00e9es \u00e0 sept tiers non autoris\u00e9s a suffi ; il n\u2019\u00e9tait pas n\u00e9cessaire d\u2019apporter la preuve suppl\u00e9mentaire de cons\u00e9quences n\u00e9gatives tangibles. \u00c0 cela s\u2019est ajout\u00e9e la d\u00e9valorisation dont le plaignant a fait l\u2019objet au sein de son milieu professionnel, du fait de l\u2019insinuation selon laquelle il ne serait pas r\u00e9ellement en incapacit\u00e9 de travail.<\/p>\n Dommages-int\u00e9r\u00eats moraux, RGPD et calcul : lors de <\/strong>la fixation du montant de 1 000 euros, deux \u00e9l\u00e9ments ont eu des effets contraires.<\/p>\n Cette d\u00e9cision s\u2019inscrit ainsi dans la lign\u00e9e de la jurisprudence r\u00e9cente. Toute infraction n\u2019entra\u00eene pas automatiquement des dommages-int\u00e9r\u00eats, mais la perte de contr\u00f4le sur des donn\u00e9es particuli\u00e8rement sensibles peut, en soi, constituer un pr\u00e9judice donnant lieu \u00e0 r\u00e9paration.<\/p>\n<\/div> La motivation relative \u00e0 la demande de cessation est remarquable. Bien que le demandeur ait quitt\u00e9 la clinique et le groupe de discussion, le tribunal a reconnu l\u2019existence du risque de r\u00e9cidive requis, notamment parce que la d\u00e9fenderesse continue d\u2019exercer en tant que m\u00e9decin au sein de cet h\u00f4pital et pourrait y soigner \u00e0 nouveau le demandeur. Le fait qu\u2019elle soit rest\u00e9e intransigeante tout au long de la proc\u00e9dure et qu\u2019elle ait continu\u00e9 \u00e0 consid\u00e9rer son comportement comme licite a \u00e9galement \u00e9t\u00e9 d\u00e9terminant.<\/p>\n Il s\u2019agit l\u00e0 d\u2019un signal clair pour la pratique. L\u2019absence de prise de conscience apr\u00e8s un incident li\u00e9 \u00e0 la protection des donn\u00e9es aggrave consid\u00e9rablement la situation de la partie concern\u00e9e, et une action en cessation peut \u00eatre recevable m\u00eame si la situation concr\u00e8te n\u2019existe plus.<\/p>\n<\/div> Cette affaire met en lumi\u00e8re une question qui revient sans cesse dans le quotidien professionnel. Quelles donn\u00e9es relatives \u00e0 la sant\u00e9 l\u2019employeur est-il autoris\u00e9 \u00e0 conna\u00eetre ? Le principe est clair. Pour un arr\u00eat maladie, il suffit d\u2019indiquer l\u2019incapacit\u00e9 de travail et sa dur\u00e9e pr\u00e9visionnelle. Les diagnostics, les r\u00e9sultats d\u2019examens et les analyses de laboratoire n\u2019en font pas partie. En mati\u00e8re d\u2019arr\u00eat maladie, de protection des donn\u00e9es et de planification des services, la mention \u00ab indisponible \u00bb suffit donc, et la raison m\u00e9dicale n\u2019a aucune importance.<\/p>\n Lorsque les donn\u00e9es de sant\u00e9 et l\u2019employeur se recoupent in\u00e9vitablement, par exemple dans le cadre de la gestion de la r\u00e9insertion professionnelle, des examens de m\u00e9decine du travail ou de la gestion de la sant\u00e9 en entreprise, il est n\u00e9cessaire de d\u00e9finir des responsabilit\u00e9s clairement d\u00e9limit\u00e9es, de disposer d\u2019une base juridique et de restreindre strictement le cercle des destinataires. Un chat de groupe ouvert ne r\u00e9pond \u00e0 aucune de ces exigences.<\/p>\n<\/div> La protection des donn\u00e9es, le milieu hospitalier et le personnel constituent une combinaison particuli\u00e8rement sensible. Dans le quotidien des \u00e9tablissements hospitaliers, les employ\u00e9s sont quotidiennement en contact avec des donn\u00e9es de sant\u00e9, et c’est pr\u00e9cis\u00e9ment dans ce contexte que la communication informelle via les applications de messagerie est tr\u00e8s r\u00e9pandue, car elle est rapide et pratique. Six points m\u00e9ritent votre attention.<\/p>\n Toute personne apprenant que ses donn\u00e9es de sant\u00e9 ont \u00e9t\u00e9 transmises sans autorisation peut exiger la cessation de cette pratique et, en cas de pr\u00e9judice correspondant, r\u00e9clamer des dommages-int\u00e9r\u00eats pour pr\u00e9judice moral conform\u00e9ment au RGPD. Il est judicieux de documenter l\u2019incident, par exemple \u00e0 l\u2019aide de captures d\u2019\u00e9cran horodat\u00e9es pr\u00e9cisant les destinataires, et d\u2019aborder la question avec votre employeur ou le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. Il est \u00e9galement possible de d\u00e9poser une r\u00e9clamation aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente, conform\u00e9ment \u00e0 l\u2019article 77 du RGPD.<\/p>\n<\/div> Le jugement n’est pas encore d\u00e9finitif. Il reste \u00e0 voir si la d\u00e9fenderesse fera appel devant le tribunal r\u00e9gional du travail de Cologne. Le message \u00e0 retenir pour la pratique est ind\u00e9pendant de cela. Les donn\u00e9es relatives \u00e0 la sant\u00e9 n\u2019ont pas leur place dans les discussions entre coll\u00e8gues. Pour les organisations du secteur de la sant\u00e9, il est judicieux de ne pas laisser les canaux de communication informels au hasard, mais de les r\u00e9glementer clairement, d\u2019organiser des formations \u00e0 ce sujet et de les documenter.<\/p>\n<\/div><\/span><\/div>La protection des donn\u00e9es des salari\u00e9s et la question de la responsabilit\u00e9<\/h2><\/h2><\/div>
Donn\u00e9es relatives \u00e0 la sant\u00e9, RGPD et l\u2019interdiction sous r\u00e9serve d\u2019autorisation pr\u00e9vue \u00e0 l\u2019article 9 du RGPD<\/h2><\/h2><\/div>
Indemnisation au titre du RGPD, conform\u00e9ment \u00e0 l’article 82 du RGPD<\/h2><\/h2><\/div>
\n
<\/span><\/div>Droit \u00e0 la cessation, RGPD et risque de r\u00e9cidive<\/h2><\/h2><\/div>
Donn\u00e9es de sant\u00e9, employeurs et arr\u00eat maladie au quotidien<\/h2><\/h2><\/div>
Protection des donn\u00e9es, h\u00f4pital, personnel : ce qu\u2019il faut r\u00e9gler d\u00e8s maintenant<\/h2><\/h2><\/div>
\n
Ce que les personnes concern\u00e9es peuvent faire<\/h2><\/h2><\/div>
Conclusion<\/h2><\/h2><\/div>