Les données personnelles et le droit français

 

Le Règlement Général sur la Protection des Données est entré en vigueur le 25 mai 2018 (voir précédent article du mois de mai 2018 sur le présent site) : tous les acteurs professionnels ont alors dû se mettre en conformité avec ces nouvelles exigences en matière de gestion de données personnelles, alors même que le législateur français n’a lui-même promulgué qu’ultérieurement une loi sur le sujet, et que la CNIL continue, plusieurs mois après, de rendre des délibérations pour son application...

Retour sur six mois de textes parus en droit français dans le prolongement de l’entrée en vigueur du Règlement CE RGPD, tant au niveau législatif et exécutif (1) qu’administratif (2).

  1. Loi 2018-493 et Ordonnance 2018-1125

Sur le fond c’est tout d’abord la Loi 2018–493 du 20 juin 2018 qui a adapté la Loi informatique et libertés du 6 janvier 1978 ; ainsi, et à titre d’exemples :

  • la réforme faisant passer la France de son ancien système déclaratif à un système désormais de contrôle en aval, les dispositions relatives à l'obligation de déclaration préalable auprès de la CNIL ont essentiellement disparu, à quelques exceptions près (données de santé notamment) ;
  • corrélativement les pouvoirs de contrôle de la CNIL sont étendus, notamment pour les opérations en ligne, que les contrôleurs peuvent désormais réaliser sous une identité d'emprunt (art. 5 Loi 2018–493 du 20 juin 2018 / art. 44 Loi informatique et libertés du 6 janvier 1978).

Sur la forme c’est ensuite l’Ordonnance 2018–1125 du 12 décembre 2018 qui a plus récemment donné un « plan plus lisible, ordonné et cohérent » à la Loi du 6 janvier 1978 (selon les termes du compte rendu du Conseil des ministres du 12 décembre 2018, même si le nombre d’articles de ladite loi est à cette occasion passé de 72 à 128…) ; ainsi :

  • les nouvelles dispositions RGPD ont essentiellement été concentrées aux articles 42 à 86 de la Loi du 6 janvier 1978, concernant notamment le nouveau droit à la portabilité des données (art. 55), le Registre des activités de traitement et le Délégué à la protection des données (art. 57), ou encore l’analyse d’impact de protection des données (art. 62) ;
  • sans oublier les autres Codes concernés par ces mesures, tels que le Code pénal sanctionnant « d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des libertés » (art. 226-22-2 Code pén.)

Toutefois cet édifice juridique n’en est toujours pas à son terme dès lors que cette dernière Ordonnance n’entrera en vigueur qu’en même temps que le futur Décret devant modifier le Décret informatique et libertés du 20 octobre 2005... mais ce tout de même au plus tard le 1er juin 2019.

2. Délibérations et Modèles CNIL

Parallèlement aux Pouvoirs législatif et exécutif, l’Administration œuvre également, au niveau de la CNIL, pour aider les utilisateurs à appliquer le droit en vigueur.

En premier lieu la CNIL multiplie les notes « pratiques » et autres modèles accessibles sur son site Internet cnil.fr, dont notamment à souligner un registre type permettant à tout organisme de recenser au moins les données à caractère personnel dont il assure le traitement (fichiers clients, salariés, fournisseurs, etc...)

En second lieu la CNIL a également récemment défini, aux termes de deux Délibérations du 11 octobre 2018 (2018–326 et 2018–327), les types d’opérations de traitement suffisamment risqués pour qu’une « analyse d’impact » soit requise (à savoir essentiellement en matière de santé, ressources humaines, localisation ou encore logements sociaux).

Néanmoins sur ce point non plus la CNIL n’a pas « dit son dernier mot », dès lors qu’elle doit encore prochainement publier une liste des traitements qui, à l’inverse, ne présentant pas de risque élevé, ne sont donc pas soumis à la réalisation d’une telle analyse d’impact.

***

Rendez-vous est donc d’ores et déjà pris en 2019 pour surveiller ces nouvelles dispositions à venir tant sur le plan réglementaire qu’administratif.

Julie Gringore


Le défaut de souscription d’un contrat de prévoyance par un club professionnel de Basket-Ball : une faute qui coûte cher.

La responsabilité d’un club professionnel de Basket-Ball est encourue dès lors qu’il n’a pas souscrit le contrat de prévoyance rendu obligatoire par la convention collective. Le contrat de travail du joueur est par ailleurs requalifié en CDI dès lors qu’il ne lui a pas été transmis dans les 48h suivant l’embauche.

En matière sportive la santé du joueur salarié est mise à rude épreuve. Il s’agit donc de lui accorder une protection toute particulière dès lors que la performance physique est l’outil de travail principal du salarié.

Plusieurs conventions collectives et accord sectoriels dans la branche du sport, ont donc prévu la souscription obligatoire de contrats de prévoyance qui doivent notamment permettre l’indemnisation du joueur salarié qui se trouverait inapte à la pratique professionnelle de son sport.

C’est le cas de la convention collective du basket professionnel.

Cette garantie est plus communément appelée la garantie « perte de licence », étant indiqué qu’elle n’empêche pas le sportif de souscrire, pour son propre compte, des garanties individuelles prévoyant des montants d’indemnisation supérieurs à ceux de l’accord collectif.

En l’espèce le club du Saint Quentin Basket-Ball qui évoluait alors en Pro B (deuxième division) n’avait pas souscrit un tel contrat.

Or l’un de ses joueurs salariés, victime d’un accident du travail, n’a pu reprendre son activité de joueur professionnel.

Il n’a donc pu bénéficier de la garantie « perte de licence », et a par conséquent saisi le Conseil de Prud’hommes pour solliciter l’indemnisation de son préjudice du chef de la faute commise par son employeur qui n’avait pas respecté l’obligation de souscription du contrat de prévoyance prévue par la convention collective.

Le joueur sollicitait également la requalification de son CDD en CDI, faute pour l’employeur de lui avoir transmis son contrat de travail dans les deux jours suivant son embauche.

Par une décision pour le moins étrange et juridiquement critiquable du 20 février 2017, le Conseil de Prud’hommes de Saint Quentin a débouté le salarié de l’ensemble de ses demandes, le condamnant même à 3.000 euros au titre de l’article 700 du Code de Procédure Civile et 1.000 euros à titre d’amende civile.

Le salarié a interjeté appel du jugement.

Dans un arrêt du 14 novembre 2018, la Cour d’Appel d’Amiens a infirmé le jugement de première instance et a fait droit aux prétentions de l’appelant.

La Cour retient que le club a bien commis un manquement à ses obligations en s’abstenant de souscrire le contrat de prévoyance objet du litige.

Contrairement à ce que prétendait le club, la Cour retient que l’inaptitude n’a pas à être nécessairement constatée par le médecin du travail s’agissant de l’application d’un contrat d’assurance, et que le joueur rapportait bien la preuve de celle-ci par divers avis médicaux.

Il est particulièrement heureux que la Cour n’ait pas suivi l’employeur dans cette argumentation étant donné que les joueurs professionnels sont souvent embauchés par le biais de CDD et que l’inaptitude peut parfois être constatée après le terme de ce CDD dans l’attente de la consolidation de son état de santé par suite d’un accident du travail. Or si le contrat de travail a pris fin, le joueur n’a plus accès à la médecine du travail.

Pour fixer le préjudice, la Cour de réfère à la convention collective applicable qui fixe un montant d’indemnités minimum que le contrat de prévoyance doit garantir en cas de perte de licence.

Il est intéressant de noter qu’au-delà des sportifs salariés, les Fédérations Sportives doivent également protéger la santé de leurs sportifs de haut niveau en souscrivant de tels contrats d’assurance (L321-4-1 du Code du Sport dont le décret d’application n°2018-851 a été publié  le 4 octobre 2018, avec cependant des niveaux d’indemnisations bien moins élevés que les accords collectifs existant pour les sportifs salariés).

Enfin, la Cour a requalifié le CDD du joueur en CDI pour défaut de transmission dans les deux jours suivant l’embauche.

Le club soutenait qu’un projet de contrat de travail avait été transmis à l’agent sportif ayant servi d’intermédiaire entre les deux parties avant l’embauche.

Or en réalité l’agent sportif avait été mandaté par le club. Dès lors la Cour en conclut logiquement que la transmission du contrat d’un mandataire à son mandant ne peut valoir transmission au salarié.

On rappellera que l’agent sportif ne peut être mandaté que par une des deux parties à la signature du contrat de travail (article L 222-17 du Code du Sport).

Au total, c’est plus de 170.000 euros que le Saint Quentin Basket-Ball devra verser au joueur.

CA Amiens 14 novembre 2018 n°17/00956

L’Equipe Droit du Sport

Derby Avocats