Le droit à l’oubli implique l’effacement à terme des sanctions disciplinaires

Publié le 19/06/2023 par Geoffroy Blondiau

L’ordre des pharmaciens échoue à convaincre de la pertinence de la conservation d’une sanction mineure dans le casier disciplinaire du pharmacien jusqu’à son décès ou sa fin de carrière. Même la prise en compte de la récidive ne saurait justifier une conservation illimitée d’une sanction mineure.

C’est une décision importante qui vient d’être rendue par l’autorité belge de protection des données. Elle ordonne en effet à l’ordre des pharmaciens d’effacer du « casier » d’une pharmacienne, une réprimande dont elle a fait l’objet 5 ans plus tôt. Potentiellement, toutes les professions qui reposent sur une déontologie et un ordre ou un organisme chargé de l’appliquer, sont impactées.

Les faits

Les faits soumis à l’autorité sont compliqués, mais ils peuvent être résumés.

• Une pharmacienne tolère de la part de son employeur des initiatives publicitaires (bannière sur un site web faisant la promotion de la pharmacie).
• Poursuivie sur plainte d’un concurrent, elle fait l’objet d’une réprimande.
• La réprimande n’est pas sans conséquences pour la pharmacienne. D’une part, cela peut influencer négativement une décision ultérieure. D’autre part , cela la prive de certains droits, par exemple se présenter aux élections ordinales.
• En conséquence, après quatre années, la pharmacienne demande l’effacement de la réprimande dont elle a fait l’objet, en se fondant sur le RGPD.
• L’ordre refuse, au motif qu’il agit sur la base d’un texte légal qui ne prévoit pas d’obligation d’effacement. Il considère dès lors que la réprimande doit rester inscrite dans le « casier » disciplinaire de la pharmacienne aussi longtemps qu’elle exerce. Il invoque aussi la nécessité de conserver l’information pour l’évaluation de la récidive.

La licéité du traitement

Pour la plaignante, si l’inscription de la réprimande à l’époque où elle a été prononcée est un traitement licite, la conservation illimitée de cette inscription dans son dossier personnel ne repose quant à elle sur aucune cause de licéité au sens de l’article 6 du RGPD.

La question se focalise sur l’article 6.1.c : la « gestion des affaires disciplinaires » est-elle une obligation légale au sens de cette disposition ?

L’autorité le rappelle : pour asseoir un traitement sur une « obligation légale à laquelle le responsable du traitement est soumis », celui-ci doit y être obligé « par ou en vertu d’une norme législative qui doit définir les caractéristiques essentielles du traitement de données, nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement et citer notamment, conformément à l’article 6, paragraphe 3 du RGPD, la ou les finalités du traitement ».

Or, la Chambre Contentieuse constate que les dispositions de l’arrêté royal n° 80 avancées par le défendeur pour démontrer une obligation légale en son chef « ne mentionnent pas explicitement la gestion des affaires disciplinaires (nous soulignons). Elles permettent tout au plus aux Conseils provinciaux et Conseils d’appel d’adopter des sanctions disciplinaires et d’évaluer l’éligibilité des candidats aux élections. L’évaluation des conditions d’éligibilité aux élections des organes du défendeur ne poursuit pas la même finalité que la gestion des affaires disciplinaires. La Chambre Contentieuse constate que l’article 15 de l’AR n°80 mentionne en effet la tenue d’un registre des décisions disciplinaires à la charge du Conseil national mais dont la finalité est bien délimitée et ne vise pas la gestion des affaires disciplinaires : ce registre doit servir à « adapter, s’il y a lieu, le code de déontologie en vue d’en compléter ou d’en préciser les dispositions sur base de cette jurisprudence ».

Ce n’est pas la première fois que l’autorité adopte une lecture stricte de l’application du principe de finalité aux traitements par les autorités publiques ou qui impliquent une mission d’intérêt public. On sait que cette approche a plusieurs fois fait grincer des dents, car elle exige de passer en revue un nombre considérable de textes réglementaires et législatifs qui sont pour la plupart anciens et ne précisent que très vaguement les finalités des traitements.

Le recours devant la cour des marchés, s’il y en a un, devrait être particulièrement intéressant sur cette question.

Le principe de limitation de la conservation

L’ordre conserve les données liées à des sanctions disciplinaires jusqu’au décès des pharmaciens inscrits au tableau de l’Ordre ou, à tout le moins, jusqu’à leur fin de carrière.

Ceci est-il compatible avec l’obligation de limitation de la conservation ?

L’ordre se retranche tout d’abord sur l’absence de précision dans la loi.

L’autorité ne se laisse pas impressionner : « La gestion des affaires disciplinaires, en ce compris la tenue d’un dossier disciplinaire, est en réalité fondée sur une mission d’intérêt public (points 89 à 94). Mais il serait erroné d’interpréter le silence d’un texte législatif comme permettant un traitement de données à caractère illimité dans le temps. Un arrêté royal imposant une mission d’intérêt public au sens de l’article 6.1.e du RGPD doit être interprété en conformité avec le RGPD. Donc, le responsable de traitement ne peut se défausser de ses obligations, y compris celle de déterminer la durée nécessaire à la conservation des données à caractère personnel. Il revenait donc au défendeur d’adopter une durée de conservation adéquate à la gestion des affaires disciplinaires. »

L’ordre se retranche aussi derrière la nécessité de conserver cette information à d’autres fins, notamment pour apprécier plus tard des comportements ultérieurs des pharmaciens. La récidive est visée, mais aussi la capacité du pharmacien à accueillir un stagiaire ou remplir un certain nombre de fonctions au sein de l’ordre.

Pour l’autorité, la conservation d’une sanction disciplinaire dans un dossier jusqu’à la retraite, peu importe son degré de sévérité, est excessive et non conforme au RGPD. Elle relève que l’ordre « ne parvient d’ailleurs pas à expliquer la pertinence de la conservation de sanction mineure jusqu’au décès ou la fin de carrière d’un pharmacien afin, par exemple, de prendre en compte la récidive dans une affaire disciplinaire ».

Ceci est particulièrement important : même pour l’appréciation de la récidive, le temps est un paramètre. Après un certain temps, le fait de juger une personne en ayant l’esprit ‘pollué’ par une condamnation mineure prononcée longtemps auparavant, constitue une violation du principe de limitation de la conservation.

L’effacement

C’est le cœur du dossier : le dossier disciplinaire doit-il être purgé de la réprimande prononcée quelques années auparavant ?

Première branche : le traitement étant illicite, il doit s’arrêter.

En vertu de l’article 17, paragraphe 1, d) du RGPD, une personne concernée peut demander cet effacement lorsque le traitement de ses données est illicite.

L’autorité rappelle la portée large de l’illicéité au sens de cette disposition : « Cette disposition vise entre autres la violation du principe de licéité de l’article 5.1.a du RGPD. La Cour de Justice a étendu la portée de cette disposition et précisé que le traitement illicite peut résulter d’autres situations dans lesquelles les données sont « inadéquates, non pertinentes ou excessives au regard des finalités du traitement, qu’elles ne sont pas mises à jour ou qu’elles conservées pendant une durée excédante celle nécessaire, à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques ». Cette interprétation est également confirmée par le Comité européen de la protection des données : « la notion de traitement illicite doit être interprétée au regard de l’article 6 du RGPD relatif à la licéité du traitement. D’autres principes établis par le RGPD (tels que les principes visés à l’article 5 ou dans d’autres dispositions du chapitre II) peuvent favoriser cette interprétation ». Voyez à ce sujet notre analyse précédente.

L’autorité se montre logique. Dès l’instant où elle a admis des manquements qu’elle qualifiés du reste « d’infractions sérieuses » (licéité et limitation de la conservation notamment), elle doit forcément admettre que le traitement est illicite au sens de l’article 17, 1°, d).

Seconds branche : les données ne sont plus nécessaires

En vertu de l’article 17, paragraphe 1, a) du RGPD, une personne concernée peut demander cet effacement lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière.

L’autorité ayant retenu le grief de violation du principe de limitation de la conservation, elle se montre une fois de plus logique : « La conservation des données litigieuses dans le dossier disciplinaire de la plaignante, conservée plus de cinq ans lors de l’adoption de cette présente décision, n’est d’ailleurs plus pertinente. »

Commentaires

L’ordre des pharmaciens a été condamné à une amende de 30.000 €.

Il doit effacer les données de la plaignante, et mettre ses traitements en conformité.

Il y aurait, selon les statistiques, en moyenne 400 professions réglementées par État membre. Parmi celles-ci, un grand nombre fonctionnent sur la base d’un code de déontologie rédigé par un ordre, un institut, une chambre, une fédération, etc., dont l’application est confiée à un organe disciplinaire.

À l’exception de quelques professions qui ont pris les devants, peu ont pris la peine de mettre à jour le fonctionnement disciplinaire de l’organisme après l’adoption du RGPD.

Cette décision (dont on précise qu’elle est susceptible de recours devant la cour des marchés à l’heure d’écrire ces lignes) devrait les amener à entamer d’urgence une réflexion sur ce sujet. Cette décision devrait aussi amener le législateur à se pencher sur la question. La problématique a en effet déjà fait l’objet de propositions de loi, qui n’ont jamais abouties.

Plus d’infos ?

En lisant la décision rendue, disponible en annexe.