Die Beschwerdekammer der belgischen Datenschutzbehörde hatte sich mit der Frage zu befassen, ob und innert welcher Frist ein Arbeitgeber Fotos von Angestellten auf seiner Website zu entfernen hat (Décision 159/2022 du 7 novembre 2022).
Zum Sachverhalt
Die Arbeitnehmerin war bis zum Februar 2022 angestellt.
Am 1. September 2022, also mehr als sechs Monate nach ihrer Entlassung, teilte die Beschwerdeführerin dem Beklagten per E-Mail mit, dass sie nicht mehr als Mitarbeiterin des Beklagten auf dessen Website erscheinen wolle. Die Rubrik „Unser Team“ auf dieser Website enthielt nämlich ein Einzelfoto der Beschwerdeführerin mit der Bezeichnung der Funktion „….“, die sie bei ihr ausübte, sowie ein Gruppenfoto des Teams des Beklagten (4 Personen), zu dem auch die Beschwerdeführerin gehörte. Die Arbeitnehmerin gab an, dass zum Zeitpunkt der Einreichung ihrer Beschwerde am 28. September 2022 keine positiven Reaktionen auf ihre Aufforderung erfolgt waren, die notwendigen Schritte zu unternehmen, damit sie nicht mehr als Mitarbeiterin auf der Website des Beklagten erscheint.
Fotos sind zu löschen:
Die Beschwerdekammer bejahte den Anspruch auf die Löschung:
Im Falle des Ausscheidens eines Mitarbeiters wie im vorliegenden Fall war die Kammer der Ansicht, dass der für die Verarbeitung Verantwortliche alle Anstrengungen unternehmen sollte, um die Identität, die Funktion und das/die Foto(s) des Mitarbeiters so schnell wie möglich und aus eigener Initiative von seiner Website/Seite in einem sozialen Netzwerk zu entfernen, auf der er als Mitarbeiter dargestellt wird, wenn dies nicht mehr der Fall ist.
Beim Ausscheiden von Mitarbeitern sollte ein Verfahren für diesen Zweck eingerichtet werden, ebenso wie für andere Datenschutzfragen, die bei dieser Gelegenheit geklärt werden müssen2. Einige Wochen, höchstens ein Monat, scheinen angemessen zu sein. Wenn die Löschung nicht von sich aus erfolgt, muss der für die Verarbeitung Verantwortliche, der mit einem Löschungsantrag befasst ist, erst recht so schnell wie möglich reagieren.
Die Frist, innert welcher vorgegangen werden muss, kann nach Ansicht der Beschwerdekammer je nach dem variieren, ob es sich nun um ein KMU wie im vorliegenden Fall oder um ein größeres Unternehmen mit einem eigenen Webseitenbetreiber handelt. Auch die Art der Funktion und der Kontext, in dem der betreffende Mitarbeiter das Unternehmen verlässt, können eine mehr oder weniger schnelle Löschung rechtfertigen:
En cas de départ d’un membre du personnel comme en l’espèce, la Chambre Contentieuse est d’avis que le responsable de traitement doit mettre tout en oeuvre pour supprimer, le plus rapidement possible et de sa propre initiative, l’identité, la fonction et la/les photographies de celui-ci de son site Internet/page de réseau social le présentant comme faisant partie de son personnel alors que ce n’est plus le cas. Une procédure devrait être mise en place en cas de départ de membres du personnel à cet effet au même titre que d’autres questions de protection des données qui doivent être réglées à cette occasion2. Quelques semaines, un mois tout au plus semble adéquat. Si cette suppression n’intervient pas d’initiative, le responsable de traitement saisi d’une demande d’effacement doit, a fortiori, réagir dans les meilleurs délais.
Ce délai dans lequel l’effacement doit intervenir de manière spontanée de même que ce « meilleur délai » visé à l’article 17.1.a) du RGPD, peut varier en fonction du responsable de traitement concerné qu’il s’agisse d’une PME comme en l’espèce ou d’une entreprise de plus grande taille qui dispose de son propre gestionnaire de site Internet. La nature de la fonction et le contexte du départ du membre du personnel concerné peuvent également justifier un effacement plus ou moins rapide. En cas de photographie ciblée comme celle de la plaignante au regard de laquelle sa fonction était mentionnée ainsi que celle présentant l’équipe de la défenderesse3, le responsable de traitement veillera à être particulièrement diligent. Le délai d’un mois visé par l’article 12.3. du RGPD doit quant à lui être respecté, le responsable de traitement pouvant, le cas échéant, et comme indiqué ci-dessus, exposer qu’il a donné instruction pour que cet effacement s’opère ou indiquer que cet effacement aura lieu à une date rapprochée.
En l’espèce, à l’appui des pièces produites par la plaignante, la Chambre Contentieuse relève que le responsable de traitement semble ne pas avoir effacé les données de la plaignante dès après son licenciement en février 2022. Il ne semble pas non plus avoir réagi à la demande formulée près de 7 mois après celui-ci le 1er septembre 2022 par la plaignante, ni sous la forme d’une réponse quant aux mesures prises ou envisagées au regard de sa demande ni sous la forme d’un effacement effectif des données sur son site. La Chambre Contentieuse estime dès lors qu’il semble y avoir une absence de procédure mise en place pour gérer ce type de situation et de demande ou à tout le moins une absence de suivi en l’espèce.
En d’autres termes, il semble bien qu’au minimum, les données de la plaignante soient restées visibles sur son site Internet pendant 7 mois (entre le licenciement de février 2022 et le dépôt de la plainte le 28 septembre 2022), délai que la Chambre Contentieuse juge à priori excessif.
A la lumière de ce qui précède et à l’appui de l’ensemble des éléments du dossier dont elle a connaissance et des compétences qui lui ont été attribuées par le législateur en vertu de l’article 95.1. LCA, la Chambre Contentieuse décide dès lors d’adresser à la défenderesse un ordre de se conformer à la demande d’effacement de la plaignante sur la base de l’article 95.1.5° de la LCA ainsi qu’un avertissement sur la base de l’article 95.1.4° de la LCA.
Im vorliegenden Zusammenhang, insbesondere dem Datenschutz, sind auch die nachfolgenden Beiträge relevant:
- Illegal beschaffte Screenshots
- Datenlieferung in die USA als Persönlichkeitsverletzung?
- Lieferung von Mitarbeiterdaten in die USA
- Videoüberwachungen am Arbeitsplatz
- Sicherheitsüberprüfungen
- Fragen und Antworten im Bewerbungsverfahren
- Personaldossier – was steht da drinn?
- Arbeitnehmerrechte bei internen Untersuchungen
- Das Recht auf die Personalakte
- Coronavirus: Messung der Körpertemperatur durch den Arbeitgeber
- Die Überwachung von Geschäftsfahrzeugen mit GPS-Geräten
- Absichtliche Täuschung im Bewerbungsverfahren
- Täuschung im Bewerbungsverfahren durch Skilehrerin
- Offenbarungs- und Auskunftspflicht bei der Bewerbung
Autor: Nicolas Facincani