Le règlement général sur la protection des données (RGPD) est applicable depuis le 25 mai 2018. Les services RH doivent encadrer la collecte, l’utilisation, la conservation et la sécurité des données personnelles des candidats et des salariés.
En pratique, les erreurs commises par les services RH sont nombreuses (Voir aussi Bulletin de paie et RGPD : obligations, risques et bonnes pratiques). Voici les erreurs les plus fréquentes et les mesures correctives à adopter pour assurer une conformité RGPD exemplaire.
Collecter trop d’informations : une erreur courante
Les RH sont amenées à collecter des données personnelles à différentes étapes, notamment lors des entretiens d’embauche, à la signature des contrats, et pendant la vie du contrat de travail (par exemple lors des évaluations annuelles). La tentation est souvent grande de collecter un maximum d’informations, dans l’idée de prévenir d’éventuelles difficultés futures. Mais cette façon de faire, bien que compréhensible, va à l’encontre du principe de minimisation des données, un des fondements du RGPD. Ce principe impose de ne collecter que les données strictement nécessaires au regard de la finalité prévue. Par exemple, demander le numéro de sécurité sociale lors de l’entretien d’embauche n’est pas justifiable, car il ne s’agit pas d’une donnée pertinente à ce stade.
Conserver des données inutiles : une gestion approximative
Les durées dépendent de la finalité et des obligations légales. Pour un vivier de candidatures, la CNIL recommande en principe de ne pas dépasser deux ans après le dernier contact avec le candidat, en l’informant. Ce n’est pas une durée unique pour tous les dossiers RH. Une conservation probatoire peut relever d’un archivage intermédiaire séparé et à accès limité. Définir un référentiel de durées et organiser suppression ou archivage évite de garder indéfiniment les données.
Négliger la protection des données des employés
La protection des données requiert des mesures adaptées au risque : habilitations limitées, authentification robuste, chiffrement lorsque nécessaire, sauvegardes et traçabilité. Les contrats des sous-traitants doivent encadrer leurs obligations conformément à l’article 28 du RGPD ; une simple clause de confidentialité ne suffit pas. Tenir le registre des traitements et informer les personnes sur les finalités, bases légales, durées et droits complète cette organisation.
Recours imprudent aux nouvelles technologies : vidéosurveillance et vie privée
Les caméras doivent répondre à un objectif justifié, sans surveillance permanente disproportionnée. Elles ne doivent pas filmer les espaces de pause ou les locaux syndicaux. Filmer un poste de travail n’est possible que dans certaines situations justifiées, par exemple la manipulation d’argent ou une machine dangereuse, avec un cadrage adapté. Informer les salariés et consulter les représentants lorsque requis. Quelques jours de conservation suffisent généralement ; la durée doit être justifiée et ne dépasse en principe pas un mois, hors extraction pour une procédure.
Former insuffisamment le personnel au RGPD : une source de nombreux problèmes
Former les équipes RH aux règles de collecte, d’accès, d’information et de suppression est nécessaire. La désignation d’un DPO est obligatoire dans les cas de l’article 37 du RGPD, notamment pour certains suivis réguliers et systématiques à grande échelle ou traitements de données sensibles à grande échelle ; elle n’est pas imposée à toute entreprise. Prévoir aussi une procédure de violation : documentation interne, notification à la CNIL lorsqu’un risque pour les personnes existe, si possible dans les 72 heures après en avoir pris connaissance, et information des personnes en cas de risque élevé.
Mettre en place une véritable culture de la protection des données personnelles au sein de l’entreprise, former les collaborateurs et veiller à la sécurité des informations sont des mesures indispensables pour éviter les écueils liés au RGPD. En respectant ces principes, l’entreprise ne se contente pas de remplir ses obligations légales : elle crée aussi un climat de confiance, favorable à l’engagement de ses salariés et à son image de marque.
Droit du travail et protection des données : comprendre les obligations réelles des entreprises
Sources françaises et références
- CNIL — données personnelles et recrutement
- CNIL — vidéosurveillance au travail
- CNIL — obligations du responsable, sous-traitance, DPO et violations