Divulgation adresse personnelle : risques RGPD pour l'entreprise

Sommaire

Ce que le RGPD qualifie de donnée personnelle

Quand la divulgation d'une adresse est licite

Adresse du dirigeant et publicité des registres

Divulgation à un tiers : responsabilité de l'employeur

Sanctions CNIL et action en réparation du préjudice

Mesures de prévention à mettre en place

FAQ

Pour aller plus loin

Ce que le RGPD qualifie de donnée personnelle

Le règlement européen 2016/679 (RGPD) définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable (article 4-1). Un nom, un numéro de téléphone, une adresse IP ou une adresse postale personnelle entrent dans cette catégorie dès lors qu'ils permettent, seuls ou combinés, de remonter à un individu.

Pour un dirigeant de PME, cette qualification emporte une conséquence directe : chaque traitement portant sur l'adresse d'un salarié, d'un client ou d'un partenaire doit respecter les 6 principes de l'article 5 du RGPD, notamment la licéité, la minimisation et la limitation des finalités. Collecter une adresse pour établir un bulletin de paie ne permet pas de la communiquer à un prestataire marketing. Le détournement de finalité constitue en lui-même une infraction.

En pratique, l'adresse personnelle figure dans de nombreux fichiers internes : contrats de travail, bases clients, registres d'actionnaires. Chacun de ces fichiers constitue un traitement distinct qui doit être inscrit au registre prévu par l'article 30 du RGPD.

Quand la divulgation d'une adresse est licite

La divulgation d'une adresse personnelle à un tiers n'est pas interdite par principe. Elle doit cependant reposer sur l'une des 6 bases légales de l'article 6 du RGPD. Trois d'entre elles couvrent la majorité des situations rencontrées en entreprise.

En dehors de ces cas, la transmission est illicite. L'envoi de l'adresse d'un salarié à un collègue par simple commodité, ou sa publication dans un annuaire interne accessible à tous, ne repose sur aucune base légale valable.

Le test de proportionnalité

Lorsque l'entreprise invoque l'intérêt légitime, elle doit documenter un test de proportionnalité (article 6-1-f). Ce test compare l'intérêt poursuivi avec l'atteinte à la vie privée de la personne concernée. La CNIL exige que cette analyse soit formalisée par écrit et conservée dans le registre des traitements.

Adresse du dirigeant et publicité des registres

L'adresse personnelle du dirigeant figure dans l'extrait Kbis délivré par le greffe du tribunal de commerce. Depuis la loi du 21 mars 2024 (loi n° 2024-247), les entrepreneurs individuels peuvent demander la substitution de leur adresse personnelle par celle de leur établissement. Pour les gérants de SARL ou présidents de SAS, l'adresse de domiciliation reste en revanche accessible sur l'extrait Kbis.

Cette publicité légale ne vaut pas autorisation générale de réutilisation. Un concurrent ou un démarcheur qui exploiterait l'adresse du dirigeant à des fins de prospection commerciale devrait justifier d'une base légale propre, distincte de la simple consultation du registre. Le principe de limitation des finalités s'applique : le RCS rend l'information publique pour garantir la transparence des affaires, pas pour alimenter des fichiers commerciaux.

Protéger les données personnelles du dirigeant suppose aussi de structurer la conformité RGPD de l'entreprise dans son ensemble.
Échangez avec un avocat spécialisé en droit des dirigeants et PME

Divulgation à un tiers : responsabilité de l'employeur

L'employeur est responsable de traitement au sens de l'article 4-7 du RGPD pour les données de ses salariés. Toute divulgation non autorisée de l'adresse d'un employé engage sa responsabilité, même si la fuite provient d'un sous-traitant ou d'un prestataire.

Trois situations génèrent un contentieux récurrent devant les juridictions françaises :

• Transmission à un syndicat ou à un comité social et économique sans anonymisation préalable, alors que seule une liste électorale partielle est requise par le Code du travail.
• Communication à un bailleur ou à un organisme de crédit à la demande du salarié, mais sans consentement écrit formalisé.
• Fuite via un sous-traitant (éditeur de logiciel de paie, hébergeur cloud) dont le contrat ne comporte pas les clauses de l'article 28 du RGPD.

Dans chacun de ces cas, l'employeur ne peut pas se retrancher derrière la faute du tiers. Le RGPD impose au responsable de traitement de choisir des sous-traitants offrant des garanties suffisantes et de formaliser ces garanties par contrat.

Sanctions CNIL et action en réparation du préjudice

La CNIL dispose de plusieurs niveaux de sanction. En 2023, elle a prononcé 42 sanctions pour un montant cumulé de 89 millions d'euros. Les amendes pour défaut de base légale ou violation du principe de minimisation représentent une part croissante de ces décisions.

En parallèle, la personne dont l'adresse a été divulguée peut agir en réparation devant le tribunal judiciaire sur le fondement de l'article 82 du RGPD. Le préjudice moral (atteinte à la vie privée, sentiment d'insécurité) est indemnisable même en l'absence de préjudice financier. La Cour de justice de l'Union européenne a confirmé ce principe dans l'arrêt Österreichische Post du 4 mai 2023 (C-300/21).

Une sanction CNIL peut aussi affecter la réputation de l'entreprise auprès de ses clients et partenaires.
Faites auditer votre conformité RGPD par un avocat dédié aux PME

Mesures de prévention à mettre en place

La prévention repose sur 3 axes opérationnels que tout dirigeant de TPE ou PME peut déployer sans direction juridique interne.

1. Cartographier les flux de données contenant des adresses

Identifiez chaque traitement où une adresse personnelle est collectée, stockée ou transmise. Inscrivez-le au registre de l'article 30 en précisant la base légale retenue, les destinataires et la durée de conservation.

2. Restreindre les accès par une politique d'habilitations

Limitez l'accès aux adresses personnelles aux seuls collaborateurs qui en ont besoin pour exécuter leur mission. Un gestionnaire de paie a besoin de l'adresse du salarié ; un commercial n'en a pas besoin.

3. Encadrer contractuellement les sous-traitants

Tout prestataire accédant à des données personnelles doit signer un contrat conforme à l'article 28 du RGPD. Ce contrat précise les finalités autorisées, les mesures de sécurité et l'obligation de notification en cas de violation.

Structurer ces mesures avec un avocat permet d'anticiper un contrôle CNIL et de sécuriser la position de l'entreprise.
Consultez un avocat spécialisé en droit des dirigeants et PME

FAQ

Un salarié peut-il refuser que son employeur communique son adresse personnelle ?

Oui, sauf si la communication repose sur une obligation légale (déclaration sociale, réquisition judiciaire). En dehors de ces cas, le salarié peut s'opposer au traitement sur le fondement de l'article 21 du RGPD. L'employeur doit alors cesser la transmission, sauf à démontrer un motif légitime et impérieux.

L'adresse d'un client peut-elle être transmise à un partenaire commercial ?

Uniquement si le client a donné son consentement explicite ou si la transmission repose sur l'exécution du contrat (livraison, par exemple). Le partage à des fins de prospection par un tiers nécessite un consentement distinct, conforme à l'article 6-1-a du RGPD.

Un dirigeant peut-il faire retirer son adresse personnelle du Kbis ?

Depuis la loi du 21 mars 2024, les entrepreneurs individuels peuvent substituer l'adresse de leur établissement à leur adresse personnelle. Pour les dirigeants de sociétés (SARL, SAS), cette option n'est pas encore généralisée, mais une domiciliation commerciale permet de limiter l'exposition.

Que faire en cas de divulgation accidentelle d'une adresse personnelle ?

L'entreprise doit notifier la CNIL dans un délai de 72 heures si la violation est susceptible d'engendrer un risque pour les droits de la personne concernée (article 33 du RGPD). Si le risque est élevé, la personne elle-même doit être informée sans délai (article 34).

La publication d'un organigramme avec les adresses des salariés est-elle autorisée ?

Non. Un organigramme interne ne nécessite pas l'adresse personnelle des collaborateurs. Publier cette information, même sur un intranet à accès restreint, constitue un traitement disproportionné au regard du principe de minimisation (article 5-1-c du RGPD).

Pour aller plus loin

Les règles pour la gestion du personnel - CNIL

Tiers autorisés : guide pratique et recueil de procédures - CNIL

Article R123-54 du Code de commerce - Légifrance

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.