Existe-t-il un droit de propriété sur la donnée ?

Marie Soulez : En France, contrairement au Brésil par exemple, il n’existe pas un droit de propriété sur les données. La propriété ne peut porter que sur la création intellectuelle de ces données (par exemple le droit d'auteur), relever du domaine des informations “réservées”, ou encore appartenir à des personnes physiques parce que constituant des données sur leur personne ou sur leur vie privée, et faire précisément l’objet d’une protection à partir des droits de la personnalité, à l’exclusion de tout droit de propriété.

Pratiquement, si une Direction Learning & Development veut valoriser les données de la formation, c’est-à-dire optimiser leur usage pour en tirer de la valeur en terme pédagogique, économique, etc., elle doit prendre en compte les 6 bases juridiques de l’article 6-1 du RGPD qui encadrent l’autorisation d’un traitement de données à caractère personnel, en particulier le consentement de la personne concernée. Lors de la collecte du consentement des personnes concernées, il faut être vigilant aux conditions particulières qui encadre la validité du consentement, ce dernier doit être libre, spécifique et éclairé (art. 7 RGPD).

On peut compter les contenus / modules de formation parmi les données utilisées en formation…

Marie Soulez : Lorsqu’un salarié produit un contenu, il demeure propriétaire de ses œuvres en application de l'article L. 111-1 du Code de la propriété intellectuelle, même si l’œuvre est créée dans le cadre de l'exercice de son contrat de travail. Il existe une exception à ce principe pour les logiciels créés par les salariés, prévue à l'article L. 113-9 du Code de la propriété intellectuelle, et pour les œuvres dites collectives.

Une clause qui serait inscrite dans un contrat de travail de l’employé, aux termes de laquelle, l’auteur créateur cède ses droits d’exploitation à son employeur pour les œuvres qu’il sera amené à créer pendant toute la durée de son contrat de travail est nulle car contreviendrait à l’article L. 131-1 du Code de la propriété intellectuelle.

Qu’est-ce que le RGPD a changé pour les entreprises françaises aussi implantées en dehors de l’Europe ?

Marie Soulez : Depuis l’entrée en vigueur le 25 mai 2018 du Règlement Général sur la Protection des Données, de nombreuses obligations incombent désormais aux entreprises, telles que garantir les nouveaux droits des personnes concernées, établir un registre des activités de traitement, et mener une étude d’impact lorsque cela est nécessaire.

Le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non, dès lors qu’elle est établie sur le territoire de l’Union européenne, ou que son activité cible directement des résidents européens. Ainsi, si une société est établie en dehors de l’Union mais propose un site de e-commerce en français livrant des produits en France, elle doit respecter le RGPD.

En tant qu’avocat si vous aviez une première action à conseiller aux Directions Formation pour se mettre en ordre de bataille dans ces domaines…

Marie Soulez : Depuis le 25 mai 2018, nous sommes entrés dans l’ère de la protection des données, les Directions Formation doivent se conformer au RGPD sous peine de sanction pécuniaires pouvant s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial, les sanctions pouvant par ailleurs être rendues publiques.

Conformément aux recommandations de la CNIL, la première étape dans le processus de mise en conformité est la désignation d’un délégué à la protection des données qui exercera une mission d’information, de conseil et de contrôle en interne. Il faudra ensuite élaborer un registre des traitements qui permettra d’identifier les actions à mener pour vous conformer aux obligations actuelles et à venir. Fixez la priorité de vos actions au regard des risques que font peser vos traitements sur les droits et les libertés des personnes concernées !

Propos recueillis par Michel Diaz