DPO : salarié protégé ?

Qu'il soit nommé "data protection officer (DPO)" ou "délégué à la protection des données" (DPD), l'individu chargé de s'assurer du respect du traitement des données organisées par le règlement général sur la protection des données à caractère personnel est une des pièces maîtresses du nouveau système d'encadrement du numérique dans les organisations.

Il est en effet garant du respect par les structures concernées des obligations et procédures qu'elles sont chargées d'instituer et de respecter dans le cadre du recueil et de la gestion des données numériques individuelles. Parmi elles figurent les entreprises de droit privé.

Si le DPO est salarié d'une structure relevant du Droit du travail (entreprise ou sous-traitant gérant le traitement des données), son emploi peut être intégralement ou partiellement constitué des missions de contrôle et d'intermédiation informatique.

Le DPO est-il un travailleur particulier ?

Dans tous les cas, il est un travailleur particulier puisque bénéficiant de dispositions protectrices européennes comme françaises.

L'article 38 du RGDP, directement applicable en France, rappelle son indépendance, introduisant une brèche de taille dans le principe de subordination du salarié ordinaire.

"Aucune instruction en ce qui concerne l’exercice des missions" ne doit lui être donnée. Aucune sanction, aucune mesure discriminatoire ne peut intervenir à son encontre à raison de l'exercice des missions découlant du règlement. Aucun relevé de fonctions, c'est-à-dire suspension ou licenciement, ne peut intervenir à son encontre à moins qu'il ne possède plus « les qualités professionnelles requises pour exercer ses missions » ou qu'il « ne s'en acquitte pas ».

Pour les autorités européennes, la protection du DPO doit même être entendue extensivement. C'est ainsi que la Cour de justice de l'Union européenne indique le droit des États de restreindre au maximum le licenciement des DPO (faute grave) et que le Comité européen de la protection des données pose l'interdiction d'entraver la progression de leur carrière.

Cette protection juridique d'envergure emporte-t-elle l'octroi du statut de salarié protégé au DPO, exigeant l'intervention de l'administration du travail en vue de vérifier que son licenciement n'est pas en lien avec l'exercice de ses missions de surveillance, médiation ou certification ?

La réponse ne paraissait pas évidente. Une analogie pouvait être légitimement faite avec les représentants du personnel ou avec les donneurs d'alerte bénéficiaires du statut protecteur en raison de l'opposition d'intérêts existant avec l'employeur et du risque de représailles que comporte leur action.

Saisie de la question par un sénateur, moins d'un an après la création du DPO, l'autorité française a répondu négativement le 7 février 2019, considérant que l'existence d'une protection particulière n'équivalait pas à un statut protecteur.

La jurisprudence a depuis lors confirmé la doctrine ministérielle.

Aucune interdiction générale de licencier le DPO du fait de ses fonctions ou de son indépendance n'existe.

Aucune autorisation de le licencier n'a à être demandée, même s'agissant d'un licenciement fondé exclusivement sur l'exercice de ses missions.

En d'autres termes, l'inexécution du contrat de travail ou son l'exécution défaillante autorise l'employeur à engager une procédure de licenciement contre ce salarié, quand bien même celles-ci concernent les prérogatives dévolues par le RGPD.

La limite de la protection accordée en matière de congédiement au DPO se situe au niveau des motifs

Si le motif est tiré de l'inexécution totale ou partielle des missions du DPO alors la protection ne jouera pas (ni le statut protecteur, ni les dispositions spécifiques). C'est ainsi que le non-respect des obligations de la fonction ou des procédures mises en place par l'entreprise sur la base du règlement européen emportera licenciement légitime.

Si la lettre de licenciement se fonde sur l'exécution de la mission (champ, conditions, modalités) alors la protection joue, justifiant un contrôle a postériori du juge et une possible invalidation. Tel sera le cas d'un licenciement prononcé pour insubordination alors que le DPO n'a fait que mettre en œuvre les dispositions applicables.

‍

Références : arrêt du Conseil d'Etat du 21 oct. 2022, pourvoi n° 459254

Ella RAGAIN

‍