RGPD appliqué aux RH — Protéger les données de vos salariés

Obligations RGPD en RH

Le RGPD (Règlement Général sur la Protection des Données) s'applique pleinement aux traitements de données réalisés par les services RH. Les principes clés :

• •Licéité : chaque traitement doit reposer sur une base légale (contrat, obligation légale, intérêt légitime)
• •Minimisation : ne collecter que les données strictement nécessaires
• •Limitation de la conservation : définir des durées de conservation pour chaque catégorie de données
• •Sécurité : protéger les données contre les accès non autorisés

Quelles données sont concernées ?

Les données RH sont particulièrement sensibles :

• •Recrutement : CV, lettres de motivation, notes d'entretien
• •Gestion administrative : état civil, coordonnées, numéro de sécurité sociale
• •Paie : bulletins, RIB, situations fiscales
• •Évaluation : entretiens annuels, objectifs, sanctions
• •Santé : arrêts maladie (sans le motif médical), aptitude/inaptitude

Données interdites

Certaines données ne peuvent jamais être collectées : opinions politiques, appartenance syndicale (sauf pour les obligations légales), données biométriques (sauf justification).

Le registre des traitements RH

Le registre doit documenter chaque traitement :

• •Finalité (recrutement, paie, formation…)
• •Catégories de données traitées
• •Destinataires des données
• •Durée de conservation
• •Mesures de sécurité

Durées de conservation courantes

|----------------|-------|

Les droits des salariés

Les salariés disposent de droits renforcés :

• •Droit d'accès : obtenir une copie de leurs données
• •Droit de rectification : corriger des données inexactes
• •Droit à l'effacement : dans certaines conditions
• •Droit à la portabilité : récupérer leurs données dans un format structuré
• •Droit d'opposition : s'opposer à certains traitements

Cartographier les traitements RH avant tout

La conformité ne commence pas par la rédaction de documents mais par un inventaire : quelles données sont collectées, par qui, pour quelle finalité, combien de temps sont-elles conservées, qui y accède.

Les traitements que l'on oublie systématiquement

Le dossier du personnel et la paie viennent à l'esprit immédiatement. D'autres traitements, tout aussi sensibles, échappent souvent à l'inventaire.

• •Les candidatures reçues et non retenues, souvent conservées sans limite.
• •Les outils de contrôle : badgeuse, géolocalisation de véhicules, vidéoprotection, journalisation informatique.
• •Les échanges relatifs à la santé : arrêts, restrictions d'aptitude, aménagements de poste.
• •Les évaluations, comptes rendus d'entretien et notes managériales, y compris informelles.
• •Les données transmises à des prestataires : paie externalisée, mutuelle, formation.

La durée de conservation

C'est le point le plus fréquemment en défaut. Chaque catégorie de données a une durée justifiée par sa finalité ou par une obligation légale. Conserver « au cas où » n'est pas une justification, et une base qui accumule des données anciennes constitue un risque en cas d'incident.

Les points de tension propres aux RH

Les données de santé. Elles font l'objet d'une protection renforcée. L'employeur connaît l'existence d'un arrêt et les restrictions d'aptitude, pas le diagnostic. Un dossier RH qui contient des éléments médicaux détaillés est en infraction.

Les outils de contrôle. Ils doivent être proportionnés à la finalité poursuivie, portés à la connaissance des salariés et faire l'objet d'une information et consultation des représentants du personnel. Un dispositif installé sans ces étapes ne peut pas fonder une sanction : la preuve obtenue est écartée.

Les évaluations. Le salarié dispose d'un droit d'accès aux données le concernant, y compris à des appréciations le visant. Cette perspective conduit utilement à réviser la manière dont les commentaires sont rédigés.

Ce que le comité doit être en mesure de vérifier

Les traitements de données du personnel, en particulier les dispositifs de contrôle, relèvent de l'information et de la consultation. Un comité formé sur ce sujet vérifie trois points : la finalité déclarée du dispositif, sa proportionnalité au regard de cette finalité, et l'information effective des salariés.

Ces trois questions suffisent à révéler l'essentiel des dispositifs installés sans cadre.

Erreurs fréquentes

Confondre registre et conformité. Tenir un registre des traitements est nécessaire mais ne rend pas conformes les traitements qui y figurent.

Traiter le sujet uniquement en informatique. Les traitements RH les plus sensibles sont souvent hors système : fichiers de suivi, tableaux partagés, échanges par messagerie.

Ne pas encadrer les prestataires. La responsabilité de l'employeur ne disparaît pas parce qu'un traitement est externalisé. Les engagements du prestataire doivent être formalisés.

Questions fréquentes

Peut-on utiliser une image de vidéoprotection pour sanctionner ? Uniquement si le dispositif est licite : finalité légitime, proportionnalité, information des salariés, consultation des représentants du personnel. À défaut, la preuve est écartée et la sanction fragilisée.

Combien de temps conserver une candidature non retenue ? Une durée limitée, justifiée par la finalité. Au-delà, la conservation suppose l'accord de la personne, révocable.

Un salarié peut-il demander l'accès à son dossier ? Oui, il dispose d'un droit d'accès aux données le concernant, dans les conditions et limites prévues par les textes. Anticiper cette demande conduit à rédiger différemment.