Concrètement, quelles données RH sont concernées ? Quelles entreprises sont tenues de se conformer au RGPD ? Quels sont les enjeux et les obligations associés ? On fait le point.
Quelles sont les données RH concernées par le RGPD ?
Du recrutement à l’embauche en passant par la vie du collaborateur et son départ de l’entreprise, les organisations sont amenées à collecter des données RH comme :- L’identité du salarié ;
- Ses compétences ;
- Les formations suivies ;
- Son salaire et ses augmentations ;
- Ses arrêts de travail ;
- Son imposition ;
- Des informations sur sa santé.
Quelles sont les entreprises tenues de se conformer au RGPD en matière de données RH ?
Toute structure européenne qui emploie une personne est soumise au RGPD quel que soit sa taille ou son chiffre d’affaires. Par personne employée, la réglementation englobe aussi bien les salariés en CDI que les salariés en CDD.Les enjeux de la sécurisation des données RH
Le RGPD a pour objectif de préserver les données privées des individus. Autrement dit, les informations RH collectées, transmises et conservées par l’entreprise ne peuvent être utilisées qu’en cas de nécessité, à des fins légales, de bon fonctionnement de l’activité et de la relation collaborateur/entreprise comme :- le recrutement,
- la gestion administrative du personnel,
- l’organisation du travail,
- la formation,
- la tenue des registres obligatoires,
- etc.
Quelles sont les obligations RGPD à respecter en matière de traitement des données RH ?
Définir les finalités des traitements des données
Chaque entreprise doit définir les finalités des traitements des données RH avant de les collecter, de les transmettre ou de les conserver. Plus précisément, pour être licite, le traitement des données doit reposer sur l’une des six « bases légales » prévues par le RGPD.Le choix de la base légale entraîne plusieurs conséquences, notamment s’agissant des personnes concernées. Aussi, la détermination de la base légale appropriée doit être portée à la connaissance des individus concernés.
👉 Vous pouvez retrouver le détail dans ce guide de la CNIL.
Par exemple, en matière de recrutement, la collecte des données candidats par un recruteur doit servir à mesurer leurs aptitudes professionnelles et leur capacité à occuper l’emploi pour lequel ils postulent. Dans ce contexte, l’entreprise est autorisée à traiter des informations contenues dans le CV (compétences, expériences…) et les comptes rendus des résultats aux d’aptitudes ou aux questionnaires de personnalité.
D’autres actions de traitement des données personnelles RH ont une finalité légale. C’est le cas de la tenue d’un registre unique du personnel ou la conservation des coordonnées bancaires pour le versement de la paie.
🔎 Découvrez ce modèle téléchargeable de registre unique du personnel :
Quid du consentement ?
L’entreprise est-elle tenue d’obtenir le consentement de la personne avant de traiter des données personnelles ? Cela dépend des situations. Dans le cadre d’un recrutement, ce n’est pas nécessaire dans la mesure où si le candidat refuse de donner son consentement, ses chances d’être recruté pourraient être compromises.En revanche, si vous utilisez des cookies sur votre page carrière, le consentement explicite est requis. Le refus des cookies doit alors être réalisé facilement, afin de ne pas influencer l’internaute à donner son consentement.
💡 Découvrez dans notre livre blanc comment sécuriser et fiabiliser le traitement de vos données salariés grâce à la digitalisation RH :
Qui peut consulter les données RH à caractère personnel ?
C’est à l’entreprise de déterminer clairement les personnes habilitées à accéder aux informations des collaborateurs. Cette décision se prend au regard de leurs attributions et de la nature des missions et fonctions qu’elles exercent.Étant donné que les données RH englobent les informations de l’entrée à la sortie du salarié, les personnes amenées à les consulter sont les gestionnaires administratifs, les comptables, les gestionnaires de paie, les équipes du service RH, de la formation, les chargés de recrutement, le CEO et les équipes logistiques/informatiques pour les accès de messagerie et de connexion aux outils sociaux comme Slack.
Conservation des données RH : quelles sont les règles prévues dans le RGPD ?
Les règles en matière de durée de conservation des données RH ?
La durée de conservation des données varie en fonction de la nature de l’information. Si le RGPD ne définit pas de durée précise pour les informations non réglementées, c’est à l’entreprise de la définir. Une seule condition : la durée de conservation doit être cohérente et justifiée en fonction de l’objectif poursuivi par le traitement mis en œuvre.En pratique, le cycle de conservation d’une donnée comprend trois niveaux :
- La base active ;
- La base intermédiaire ;
- La suppression.
- La base active regroupe les informations relatives à la rémunération des collaborateurs et utilisées dans le traitement de la paie. Les fiches de paie sont conservées dans cette base pendant 1 mois.
- La base intermédiaire comprend les bulletins de salaire archivés. L’entreprise peut les conserver pendant 5 ans ou 50 ans en format dématérialisé.
- La suppression. Une fois la durée de conservation en base intermédiaire expirée, les informations sont supprimées.
Comment garantir la sécurité des données RH ?
L’entreprise doit prendre les mesures nécessaires au regard des risques présentés au moment de la collecte, la transmission et la conservation des données pour les sécuriser.Pour aider dans cette étape, la CNIL a établi des catégories de protection :
- Sensibiliser et authentifier les utilisateurs,
- Gérer les habilitations,
- Tracer les accès et gérer les incidents,
- Sécuriser des postes de travail,
- Protéger le réseau informatique et l’informatique mobile,
- Sécuriser les serveurs et les sites web,
- Etc.
Données RH : comment se conformer au RGPD ?
Pour résumer, nous vous conseillons de procéder par étapes pour garantir votre conformité au RGPD dans le traitement des données RH :- Commencez par définir les finalités des traitements des données RH ;
- Créez un process interne pour classer et sécuriser les informations personnelles ;
- Définissez le cycle de conservation des données ;
- Informez les collaborateurs sur le devenir de leurs données et les droits dont ils disposent.
