Guide • Compliance • 16 min de lecture
RGPD pour les RH : bien traiter les données des employés
Comment traiter légalement les renseignements personnels des employés en vertu du RGPD — bases légales, conservation, droits, sécurité et transferts internationaux.
Les données RH sont des données à risque élevé
Les fonctions RH traitent certaines des données personnelles les plus sensibles dans n’importe quelle organisation : coordonnées, salaire, renseignements bancaires, dossiers de performance, renseignements sur la santé et parfois vérifications du casier judiciaire. En vertu du Règlement général sur la protection des données (RGPD) et de ses mises en œuvre nationales — la Loi sur la protection des renseignements personnels dans le secteur privé de 2018 de l’Irlande et le RGPD du Royaume-Uni / la Loi sur la protection des données de 2018 — ces données doivent être traitées de façon licite, loyale et transparente.
Bien faire les choses est à la fois une obligation légale et une question de confiance. Les employés sont des personnes concernées dont les droits sont exécutoires, et la Data Protection Commission en Irlande (ou l’ICO au Royaume-Uni) peut enquêter sur les plaintes et imposer des amendes importantes. Traitez les données des employés avec la même rigueur que les données de vos clients.
Choisir une base légale
Chaque activité de traitement doit avoir une base juridique. Une erreur fréquente consiste à s’appuyer sur le consentement dans la relation d’emploi. En raison du déséquilibre de pouvoir entre employeur et employé, le consentement est rarement donné librement et constitue donc habituellement la mauvaise base pour les traitements RH essentiels. Les bases plus appropriées sont généralement l’exécution du contrat de travail, le respect d’une obligation légale (par exemple les déclarations fiscales et de revenus) et les intérêts légitimes.
Les données de catégorie spéciale — y compris les renseignements sur la santé utilisés pour le congé de maladie ou à des fins de santé au travail — nécessitent une condition supplémentaire en vertu de l’article 9, souvent liée au droit du travail, à la sécurité sociale et à la protection sociale. Cartographiez chaque type de traitement RH à sa base et à sa condition, puis consignez le raisonnement.
Transparence et droits de la personne concernée
Les employés doivent être informés, en langage clair, des données que vous détenez, de la raison, de la durée de conservation et des personnes avec qui vous les partagez. Cela se fait généralement au moyen d’un avis de confidentialité destiné aux employés, distinct de votre politique de confidentialité à l’intention des clients. Remettez-le au moment de l’embauche et gardez-le à jour.
Les personnes concernées peuvent exercer des droits, notamment l’accès (la demande d’accès de la personne concernée), la rectification, l’effacement dans certains cas, la limitation et l’opposition. Prévoyez un processus documenté pour répondre dans les délais légaux (généralement un mois). Les RH reçoivent souvent des demandes d’accès, alors planifiez la façon dont vous localiserez et masquerez les renseignements conservés dans différents systèmes.
Conservation, minimisation et sécurité
Ne gardez pas les données plus longtemps que nécessaire. Mettez en place un calendrier de conservation qui reflète à la fois les exigences légales (dossiers de paie et d’impôt, relevés de temps de travail, documentation sur la santé et la sécurité) et les besoins réels de l’entreprise, puis supprimez-les ou anonymisez-les au-delà de ces périodes. Recueillez seulement ce que vous utilisez vraiment — la minimisation des données est un principe, pas un détail.
La sécurité est une obligation légale, pas seulement une bonne pratique. Appliquez un accès fondé sur les rôles pour que les gestionnaires voient seulement ce dont ils ont besoin, chiffrez les données en transit et au rest, et conservez une piste d’audit des accès. Un SIRH réputé vous donne des autorisations granulaires et une journalisation des accès dès le départ, ce qui est bien plus sûr que de disperser les données des employés dans des feuilles de calcul et des lecteurs partagés.
Transferts internationaux et fournisseurs
Si votre logiciel RH ou votre fournisseur de paie stocke des données à l’extérieur de l’Espace économique européen, vous devez vous assurer qu’un mécanisme de transfert adéquat est en place — une décision d’adéquation, des clauses contractuelles types ou des garanties équivalentes. Depuis le Brexit, les transferts entre l’UE et le Royaume-Uni sont couverts par le statut d’adéquation du Royaume-Uni, mais cela doit être surveillé, car c’est assujetti à un examen.
Chaque fois que vous faites appel à un tiers pour traiter des données d’employés, vous avez besoin d’une entente écrite de traitement des données qui précise ses obligations, et vous devriez effectuer une diligence raisonnable sur son niveau de sécurité. Gardez un registre de vos sous-traitants et de l’endroit où les données sont hébergées afin de pouvoir répondre aux questions et réagir rapidement aux incidents.
