La Commission nationale de l’informatique et des libertés (« CNIL ») considère que les enquêtes sur la diversité ethnique en entreprise sont interdites en raison d’une décision du Conseil constitutionnel rendue en 2007. Pourtant, cette décision pourrait ne plus être d’actualité depuis l’entrée en vigueur du RGPD qui autorise de tels traitements sous réserve de respecter des condition précises.
A l’initiative des employeurs, les enquêtes de mesure de la diversité au travail s’inscrivent dans une démarche de prévention et de lutte contre les discriminations. Sur le plan pratique, elles permettent aux entreprises d’identifier la source d’un éventuel manque de diversité au sein de l’entreprise. Sur cette base, les employeurs travaillent à élaborer des axes d’amélioration pour promouvoir la diversité, notamment dans la stratégie de recrutement et de management. Sur le plan juridique, les enquêtes permettent aussi aux entreprises de mesurer leur conformité aux lois anti-discrimination, notamment à la loi n° 2008-496 du 27 mai 2008 relative à la lutte contre les discriminations.
Si la promotion de l’égalité des chances au travail est un objectif louable, la mise en place de garanties appropriées s’avère indispensable afin d’assurer la protection des données des salariés et de garantir le respect de leur droit fondamental à la vie privée. Ainsi, lorsqu’elles ne sont pas anonymisées, ces enquêtes sont régies par le Règlement (UE) 2016/679 relatif à la protection des données à caractère personnel (« RGPD ») et par la nouvelle recommandation en la matière, publiée par la CNIL le 10 juin dernier.
L’autorisation par exception des traitements de données personnelles sensibles
Les enquêtes de mesure de la diversité au travail constituent généralement des traitements de données dites « sensibles », au sens de l’article 9(1) du RGPD car elles peuvent notamment porter sur l’origine ethnique, l’orientation sexuelle, l’état de santé (le handicap), et les convictions religieuses des salariés. Ces traitements sont en principe interdits par le RGPD, sauf à ce que l’une des exceptions énumérées par l’article 9(2) du RGPD trouve à s’appliquer. L’une d’elles correspond à la situation dans laquelle le salarié autorise le traitement de ses données sensibles, notamment l’ethnicité. Ainsi, dans sa recommandation, la CNIL considère que l’employeur peut valablement traiter ces données sensibles s’il obtient des salariés leur consentement libre, explicite et éclairé . Cela est au demeurant très surprenant car la CNIL considère que ce même consentement n’est généralement pas valable en tant que base légale de traitements réalisés dans le cadre d’une relation de travail, en raison de la relation de subordination du salarié vis-à-vis de l’employeur.
L’interdiction des enquêtes de mesure de diversité portant directement sur des données ethniques
Ce qui étonne encore davantage, c’est que la CNIL, s’appuyant sur une décision n° 2007-557 DC rendue par le Conseil constitutionnel le 15 novembre 2007, affirme que les enquêtes de mesure de la diversité ne peuvent pas porter directement sur les données ethniques.
Dès lors, la CNIL considère qu’il est nécessaire d’ « écarter toute nomenclature qui pourrait être interprétée comme un référentiel ethnoracial », mais que la diversité ethnique peut toujours être mesurée – de façon indirecte – à partir de données objectives (lieu de naissance, nationalité de naissance, nationalités des parents) et de données subjectives relatives au « ressenti d’appartenance ou sur la manière dont la personne estime être perçue par autrui ». La CNIL donne des exemples de questions qu’il est possible de poser dans le cadre de cette démarche, tels que :
· Où êtes-vous né(e) ? Où sont nés vos parents ?
· Quelle était votre nationalité à votre naissance ? Quelle était celle de vos parents à leur naissance ?
· Comment pensez-vous que les autres vous perçoivent ?
Bien que les réponses à ces questions puissent fournir des indications sur l’origine sociale, géographique ou culturelle des salariés, on peut douter de leur fiabilité et de leur capacité à produire des résultats suffisants pour être exploitables à des fins de promotion de la diversité et de lutte contre les discriminations. En effet, ces données ne sont pas toujours représentatives des origines d'une personne. Le lieu de naissance, la nationalité et la langue maternelle ne sont pas forcément indicatifs d’une origine ethnique, notamment pour les deuxièmes et troisièmes générations d’immigrés dans un pays, de même que son lieu de naissance, sa nationalité ou sa langue maternelle ne lient pas nécessairement la personne à une culture spécifique. Les sentiments d’appartenance et de perception par autrui sont assez singuliers et peuvent différer d’une personne à l’autre, biaisant les conclusions des enquêtes menées.
Pour toutes ces raisons, ces informations pourraient ne pas rendre compte de diversités ethniques visibles éventuellement discriminées. L’efficacité de la lutte contre les discriminations pourraient en pâtir.
La décision du Conseil constitutionnel du 15 novembre 2007 est-elle obsolète ?
Si la décision du Conseil constitutionnel a pu être comprise, initialement, comme une interdiction formelle de traiter directement des données personnelles ethniques à des fins statistiques, il est permis de douter qu’elle soit toujours d’actualité, pour plusieurs raisons ayant trait à son contexte, à la nature de la censure, et à l’entrée en vigueur du RGPD.
Une censure pour des raisons de procédure
Tout d’abord, cette décision a été prise dans le cadre de la saisie du Conseil constitutionnel par des parlementaires qui contestaient la constitutionnalité de certains articles de la loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile. Dans ce contexte, le Conseil constitutionnel a annulé – pour des motifs de procédure – l’article de loi qui autorisait la réalisation de traitements de données à caractère personnel faisant « apparaître, directement ou indirectement, les origines raciales ou ethniques ».
En effet, la disposition en question représentait un « cavalier législatif », c’est-à-dire qu’elle n’avait pas un lien suffisant avec le texte principal pour permettre son adoption au sein de cette loi. Le législateur avait placé la mesure dans un texte relatif à l'immigration, l'intégration et l'asile, donc relatif au droit des étrangers. Or, les dispositions relatives à la réalisation de statistiques ethniques étaient d’ordre général et non pas spécifiques aux étrangers : elles pouvaient concerner aussi bien les Français et auraient eu leur place – d’un point de vue de procédure législative – dans un projet de loi plus général.
La disposition était hors-sujet et le Conseil constitutionnel s’est donc prononcé sur ce point-là et non pas sur le fond du droit, de sorte qu’il est permis de se demander s’il censurerait ces dispositions si elles étaient contenues dans une loi plus appropriée.
Une incompatibilité avec le RGPD
Néanmoins, il est impossible d’ignorer l’obiter dictum dans lequel le Conseil constitutionnel s’est lancé alors même qu’il n’en avait pas la nécessité, la censure procédurale étant suffisante. En effet, le Conseil constitutionnel affirme que « […] si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race ».
La considération pouvait être valable en 2007, mais semble, depuis 2018, entrer en contradiction avec le RGPD. En effet, estimer que cette décision est toujours d’actualité reviendrait à interdire les traitements de données révélant l’origine ethnique, alors même que de tels traitements sont autorisés, sous certaines conditions, par l’article 9(2) du RGPD. Or, conformément au principe de primauté en vertu duquel le droit de l'Union européenne prime sur le droit national, c’est la règle édictée par l’article 9(2) du RGPD qui devrait l’emporter sur la décision du Conseil constitutionnel.
Compte tenu du positionnement de la CNIL, il demeure toutefois risqué, en pratique, de réaliser une enquête de mesure de diversité en traitant directement de données ethniques : en fonction des circonstances du traitement, le montant de l’amende pourrait être élevé – en particulier car il vise des données sensibles. Un employeur pourrait toutefois contester une éventuelle sanction prononcée par la CNIL en faisant appel devant le Conseil d’Etat. Celui-ci pourrait réaliser un contrôle de conventionnalité, voire, poser une question préjudicielle à la Cour de justice de l’Union européenne, afin de déterminer, une bonne fois pour toute, le régime des enquêtes de mesure de diversité ethnique en droit français de la protection des données personnelles.
