Voici la dernière des trois fiches pratiques de notre Guide RGPD. Si vous souhaitez approfondir le sujet, nous vous conseillons de la consulter, ou alors de la télécharger au format PDF !
Introduction : La démarche de protéger les données personnelles de vos collaborateurs sur leur lieu et pendant leur temps de travail c’est aussi un moyen de renforcer le lien de confiance nécessaire au bon fonctionnement de votre entreprise. Le développement de l’utilisation des nouvelles technologies au travail peut faire craindre une surveillance systématique. La transparence sera alors le meilleur moyen de s’en prémunir.
1) LA GESTION DEs données personnelles de VOS COLLABORATEURS et leur protection
De très nombreuses données personnelles relatives aux employés sont nécessaires pour la gestion de leur carrière au sein de votre entreprise. Par exemple, vous avez besoin de beaucoup d’informations pour assurer :
- la rémunération et les déclarations sociales obligatoires ;
- la tenue du registre unique du personnel ;
- la gestion administrative du personnel (exemple : type de permis de conduire détenu ou coordonnées de personnes à prévenir en cas d’urgence) ;
- l’organisation du travail (exemple : photographie facultative de l’employé pour les annuaires internes et organigrammes);
- l’action sociale prise en charge par l’employeur (exemple : les informations concernant les ayants-droit de l’employé).
Ne demandez à vos employés que les informations utiles pour accomplir leurs missions. Et évitez de traiter des données dites « sensibles » (activité syndicale, opinions politiques, religion, origine ethnique, santé). Si vous devez en traiter, des obligations particulières sont applicables. Vous disposez forcément d’informations particulières (et donc à risque) sur vos employés (coordonnées bancaires pour la paie, numéro de sécurité sociale pour les déclarations sociales, etc.)
Assurez-vous d’en garantir la confidentialité et la sécurité. Ainsi, seules les personnes habilitées doivent en prendre connaissance. Les actions sur les données effectuées par les personnes habilitées doivent être enregistrées (savoir qui se connecte à quoi, quand et pour faire quoi).
Informez vos collaborateurs. Ceci à chaque fois que vous leur demander des informations (exemple : mise à jour des données administratives, demande de formation, formulaire d’entretien d’évaluation, etc.). Enfin, souvenez-vous toujours que vos salariés peuvent vous demander une copie de toutes les données les concernant que vous détenez : copie d’un bulletin de paie, état d’un compte épargne-temps, mais aussi les enregistrements téléphoniques, relevés des badgeuses, ou encore des messages envoyés via le mail professionnel, y compris lorsqu’un employé n’est plus en poste ou est en litige avec vous.
2) LE RECRUTEMENT D'UN NOUVEAU COLLABORATEUR : quelles données peuvent être collectées ?
Lorsque vous recrutez un nouveau collaborateur, vous ne pouvez pas demander tout et n’importe quoi aux candidats. Seules les informations utiles au regard du poste à pourvoir peuvent être collectées.
Exemple : Des informations sur l’emploi occupé par les membres de sa famille n’ont pas de lien avec les compétences du candidat à occuper l’emploi proposé. Il est par ailleurs inutile, à ce stade, de demander aux candidats leur numéro de sécurité sociale.
Informez les candidats sur ce que vous allez faire des données qu’ils vous communiquent, en somme : qui va y avoir accès (service RH, un prestataire ?), combien de temps vous allez les conserver, comment ils peuvent exercer leurs droits sur leurs données. Les candidats doivent notamment pouvoir accéder à leurs données, les faire rectifier ou supprimer. Une fois le choix de votre nouvel employé effectué, supprimez les informations sur les candidats non retenus, sauf s’ils acceptent de rester dans votre « vivier » pour une durée limitée (2 ans).
3) LES LIMITES DU CONTRÔLE de l'activité de vos employés : le droit à la protection des données personnelles
Le code du travail vous permet de contrôler l’activité de vos employés. Mais, même sur son lieu de travail, un employé a droit au respect de sa vie privée et à la protection de ses données personnelles. 2 règles simples à retenir :
- N’abusez pas de votre pouvoir ! la surveillance doit reposer sur un intérêt légitime de l’entreprise (exemple : limiter les risques d’abus d’une utilisation trop personnelle d’internet pendant le temps de travail) ; les employés ne doivent pas être mis sous surveillance permanente (exemple : sécuriser un local professionnel n’impose pas de filmer en permanence un employé sur son poste de travail) ; n’utilisez pas un outil pour autre objectif caché (exemple : la géolocalisation des véhicules opérant une tournée chaque matin chez des clients pour optimiser votre organisation ne doit pas servir à contrôler la vitesse de circulation en temps réel).
- Soyez transparent ! consultez les instances représentatives du personnel ; informez les employés de la mise en œuvre d’un dispositif de surveillance, selon les modalités les plus appropriées en fonction de votre organisation (exemple : note de service, avenant au contrat de travail, mention d’information sur l’intranet, courrier joint au bulletin de paye, etc.).
En fonction des technologies que vous utilisez des règles particulières peuvent s’appliquer.
Pour en savoir plus : fiches pratiques “Travail et protection des données” sur le site Internet de la CNIL (https://www.cnil.fr/sites/default/files/atoms/files/travail-vie_privee.pdf)
4) SENSIBILISEZ ET FORMEZ VOS COLLABORATEURS à la protection des données
La protection des données personnelles de vos employés comme de vos clients n’est pas que l’affaire de juristes ou d’informaticiens. Tous vos employés doivent être sensibilisés à cette question. Ils sont concernés en tant que professionnels en relation avec vos clients, vos fournisseurs, vos prestataires, et en tant que citoyens. Des points d’attention assez simples peuvent facilement être mis en place :
- sensibilisez sur les droits des personnes concernées afin que les demandes reçues dans n’importe quel service soient clairement identifiées et qu’une procédure de traitement par le bon service soit connue et appliquée (exemple : le service client reçoit une demande d’opposition à recevoir de la publicité et la transmet au service en charge du marketing) ;
- sensibilisez largement sur les règles internes de gestion des données personnelles (on ne peut accéder qu’aux données dont on a besoin, on ne doit pas divulguer des données à des tiers non autorisés, les dossiers archivés ne sont accessibles qu’à certaines personnes, il faut effectuer des sauvegardes régulières de ses fichiers, etc.)
- sensibilisez largement sur les règles internes de gestion des données personnelles (on ne peut accéder qu’aux données dont on a besoin, on ne doit pas divulguer des données à des tiers non autorisés, les dossiers archivés ne sont accessibles qu’à certaines personnes, il faut effectuer des sauvegardes régulières de ses fichiers, etc.)
Profitez de la mise en place du RGPD. Pour sensibiliser l’ensemble de vos collaborateurs sur les règles à suivre en matière de protection des données et diffusez votre charte informatique.
Le "Guide RGPD : Passez à l’action !" pour vous accompagner dans la protection des données de vos collaborateurs
Toutes les entreprises, dont les TPE et PME, ont à traiter des données permettant d’identifier des personnes physiques.
À cet égard, le 25 mai 2018 constitue une étape cruciale : la protection de ces informations est en effet renforcée avec l’entrée en application du « Règlement Général sur la Protection des Données » (RGPD).
Au-delà des obligations légales à comprendre et à respecter, préparer son entreprise à ce nouveau cadre européen représente une opportunité de sé;curisation et de protection de ses données. La responsabilité accrue des entreprises dans la gestion de leurs données, alliée aux principes de transparence et de loyauté, constitue le fondement de la confiance entre acteurs économiques et citoyens. C’est aussi un vecteur d’accélération de la maturité digitale de l’entreprise. Développer son activité en conformité avec le RGPD, c’est aussi (re)découvrir la richesse que constituent les données personnelles pour une entreprise. Leur valorisation, dans une démarche éthique, permet à celle-ci de créer des services innovants, qui plus est de façon harmonisée pour l’ensemble du marché européen. Pour vous aider dans votre démarche de mise en œuvre, ce guide vous rappelle, de façon simple, les avantages que vous pouvez en obtenir, les principales notions à connaître ainsi que les actions essentielles à engager
Cette fiche pratique vous a été utile ? Nous vous recommandons de consulter les deux premières fiches de ce guide, accessibles ci-dessous !
