Quelles sont les sanctions ?

Ecartement des éléments de preuve par les Cours et Tribunaux

La principale sanction dans cette matière consiste en un refus par les tribunaux des éléments de preuve qui auraient été obtenus par l’employeur de façon non conforme aux prescrits de la CCT n° 81.

La Cour de Cassation a posé comme principe que des preuves récoltées irrégulièrement peuvent toutefois être déclarées recevables, pour autant que le juge tienne compte des éléments suivants[1] :

• Caractère purement formel de l’irrégularité 
• Absence d’incidence du manquement dénoncé sur le droit ou la liberté protégée par la norme transgressée 
• Circonstance que la gravité de l’infraction est sans commune mesure avec l’irrégularité ayant précédé ou accompagné sa constatation

Concrètement, le juge sera amené à mettre en balance la gravité de l’infraction commise par le travailleur et l’atteinte au droit à sa vie privée par l’employeur.

Si par exemple le travailleur s’est rendu coupable de fraude ou de concurrence déloyale, le juge se montrera moins sévère vis-à-vis de l’employeur qui n’aurait pas respecté les prescrits de la CCT n° 81 que si le travailleur a simplement envoyé trop d’e-mails privés, auquel cas l’employeur devra impérativement avoir respecté les prescrits de la CCT n° 81 pour pouvoir produire ces e-mails en justice.

Sanctions administratives

Les entreprises qui ne respectent pas le RGPD peuvent se voir infliger une lourde amende administrative, qui peut s'élever à 20 millions d'euros ou 4 % du chiffre d'affaires annuelles mondial de l'entreprise.

La loi belge a prévu que les autorités publiques sont exclues du régime des amendes, sauf les personnes morales de droit public qui offrent des biens et services.

Sanctions pénales

La CCT n° 81 ne contient en elle-même aucune sanction frappant l’employeur qui violerait ses dispositions. Toutefois, l’article 189 du Code pénal social punit d’une sanction de niveau 1[2] l’employeur qui a commis une infraction à une CCT rendue obligatoire et qui n’est pas déjà sanctionnée par un autre article du Code pénal social. Il en résulte que toute violation d’une des dispositions de la CCT n° 81 est passible de sanctions pénales. Signalons toutefois que dans la pratique, les poursuites pénales sont assez rares.

La loi du 30 juillet 2018 prévoit également des sanctions pénales. Ces sanctions se cumulent avec les infractions pénales figurant dans le Code pénal.

Les sanctions pénales se répartissent de la manière suivante :

Le responsable du traitement ou le sous-traitant, son préposé ou mandataire, l'autorité compétente, est puni d'une amende de 250 à 15.000 euros lorsque[3] :

• Les données à caractère personnel sont traitées sans base juridique, y compris les conditions relatives au consentement et au traitement ultérieur 
• Les données à caractère personnel sont traitées en violation des conditions imposées pour le traitement (finalités déterminées, explicites et légitimes,…) par négligence grave ou avec intention malveillante 
• Le traitement ayant fait l'objet d'une objection est maintenu sans raisons juridiques impérieuses 
• Le transfert de données à caractère personnel à un destinataire dans un pays tiers ou à une organisation internationale est effectué en violation des garanties, conditions ou exceptions prévues par le RGPD ou par la loi du 30 juillet 2018, par négligence grave ou avec intention malveillante 
• La mesure correctrice adoptée par l'autorité de contrôle visant la limitation temporaire ou définitive n'est pas respectée 
• La mesure correctrice adoptée par l'autorité de contrôle visant la mise en conformité du traitement avec les dispositions du RGPD n'est pas respectée 
• Il a été fait obstacle aux missions légales de vérification et de contrôle de l'autorité de contrôle compétente, de ses membres ou de ses experts 
• De la rébellion, dans le sens de l'article 269 du Code pénal, a été commise à l'encontre des membres de l'autorité de contrôle 
• Etc.

Le responsable du traitement ou le sous-traitant, ou la personne agissant sous leur autorité, est puni d'une amende de 500 à 30.000 euros qui[4] :

• A, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée de l'existence d'une donnée à caractère personnel la concernant émanant d’une autorité (les services de renseignements et de sécurité, les forces armées, l'organe de coordination pour l'analyse de la menace, ou l’unité d’information des passagers) alors qu'il connaissait l'origine de la donnée et sans que la loi ne l’y oblige dans le cadre d’une procédure contentieuse ni que les services de renseignements et de sécurité ne l’y autorise 
• A, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, informé la personne concernée qu'une autorité (les services de renseignements et de sécurité, les forces armées, l'organe de coordination pour l'analyse de la menace, ou l’unité d’information des passagers) est destinataire d'une de ses données à caractère personnel

Concernant les deux infractions pénales ci-dessus, le tribunal peut ordonner l'insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux, dans les conditions qu'il détermine, aux frais du condamné. En outre, une procédure administrative auprès de l’Autorité de Protection des Données est prévue.

Est puni d'une amende de 200 à 10.000 euros[5] : 

• Tout membre ou tout membre du personnel de l'autorité de contrôle compétente ou tout expert qui a violé l'obligation de confidentialité à laquelle il est astreint

Est puni d'une amende de 100 à 10.000 euros[6] : 

• Le responsable du traitement ou la personne agissant sous l'autorité d'une autorité (les services de renseignements et de sécurité, les forces armées, l'organe de coordination pour l'analyse de la menace, ou l’unité d’information des passagers) ou de son sous-traitant qui, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, n'a pas respecté une des obligations de confidentialité et de sécurité

Est puni d'une amende de 100 à 20.000 euros[7] : 

• Quiconque qui, pour contraindre une personne à lui donner son autorisation au traitement de données à caractère personnel la concernant, a usé à son égard de voies de fait, de violence ou menaces, de dons ou de promesses
• Quiconque a transféré, fait ou laissé transférer, de sa propre négligence, pour autant qu'elle soit grave, ou avec une intention malveillante, des données à caractère personnel vers un pays non membre de l'Union européenne ou à une organisation internationale sans qu'il ait été satisfait aux exigences du RGPD

Le responsable du traitement, le sous-traitant, ou son représentant en Belgique est civilement responsable du paiement des amendes auxquelles son préposé ou mandataire a été condamné.

Dommages et intérêts

Le travailleur pourrait réclamer des dommages et intérêts pour violation de son droit à la vie privée. Toutefois les montants qu’il pourrait ainsi obtenir seraient de type "dommage moral" et ne constitueraient pas une réelle protection pour le travailleur.

[1] Jurisprudence dite "Antigone", développée suite à l’arrêt de la Cour de Cassation du 14 octobre 2003.

[2] Pour plus d’information sur les sanctions reprises dans le Code pénal social, voir notre dossier "Code pénal social".

[3] Article 222 de la loi du 30 juillet 2018.

[4] Article 223 de la loi du 30 juillet 2018.

[5] Article 224 de la loi du 30 juillet 2018.

[6] Article 225 de la loi du 30 juillet 2018.

[7] Article 227 de la loi du 30 juillet 2018.