RGPD et employé
Vous lirez un peu partout que même sur son lieu de travail, un employé a le droit au respect de sa vie privée et à la protection de ses données personnelles. Ce qui veut simplement dire que vous devez vous poser les bonnes questions quand vous enregistrez des données personnelles de vos employés.
Première règle : ne prenez que ce dont vous avez besoin.
Le RGPD pour le personnel en une phrase, « les systèmes de traitement automatisés de données personnelles de vos salariés, doivent faire l’objet d’une déclaration à la Cnil ». (à la ligne)
Ce qui veut dire, « déclarez tout, et vite ».
D’autant plus si, un jour, vous voulez vous en servir pour argumenter une faute. Les derniers arrêts rendus viennent préciser l’importance de la déclaration préalable à la CNIL, des systèmes de traitements des données salariés. En effet ils ont rendu tout ce qui n’a pas été déclaré, illicite et donc non utilisable pour justifier le caractère réel et sérieux d’un licenciement . D’où l’intérêt de définir le « tout ».
Seconde règle : Déclarer tout,
vidéo surveillance, traitement RH, traitement Salaire, traitement recrutement, …
Que déclarer ? Si vous voulez utiliser la vidéo surveillance pour prouver des vols, justifier des retards à répétition, ou tout comportement inconvenant, déclarez ces sources. Sinon comme on le voit dans différents arrêts, attendez-vous à un sérieux retour de bâton.
« Soyez transparent » dit la CNIL, dans son article https://www.cnil.fr/fr/rgpd-en-pratique-proteger-les-donnees .
Cela signifie que si elles existent, vos instances représentatives du personnel doivent être consultées, et que vos employés doivent être informés de la mise en œuvre d’un dispositif de surveillance. Grâce par exemple à une charte d’utilisation des outils informatiques, une note de service, un avenant au contrat de travail, une mention d’information sur un intranet, un courrier d’information joint au bulletin de paye ,… bref vous avez l’embarrât du choix, mais faites-le, sinon relisez le paragraphe 1 pour vous en convaincre.
Attention, la vidéosurveillance, la géolocalisation, les écoutes et enregistrements téléphoniques, etc. ont des règles particulières à appliquer. Faites appel à un professionnel du RGPD pour vous aider.
De la même manière, voici une bonne pratique à mettre en œuvre concernant les candidats et candidatures spontanées : vous devez informer sur l’usage des données que les candidats vous communiquent. En précisant qui va y avoir accès, combien de temps vous allez les conserver, comment ils peuvent exercer leurs droits sur celles-ci.
Troisième règle : accès aux données
Le RGPD de façon globale autorise l’accès aux données personnelles, c’est donc la même chose avec celles de vos salariés. Que ce soit, la copie d’un bulletin de paie, l’état d’un compte épargne-temps, mais aussi les enregistrements téléphoniques, les relevés des badgeuses, ou encore des messages envoyés via le vos serveurs professionnel. Et ce, y compris lorsque la personne n’est plus en poste ou qu’il est en litige avec votre société. Vous devez lui fournir ces éléments. Bref nous vous prédisons de bonnes grosses batailles sur ces sujets.
Il faudrait donc toujours vous poser les bonnes questions : « QUELLES OBLIGATIONS PÈSENT SUR MON ENTREPRISE ET DONC SUR MOI ? ». Pour rappel, l’article 35 fait peser sur votre structure l’obligation de procéder à une analyse d’impact relative à la protection des données. Ce qui veut dire que cela vient remplacer les précédentes formalités de déclarations et d’autorisations faites auprès de la CNIL (C’est le principe d’accountability. Demandez à un expert.).
Cela vous semble compliqué, rassurez-vous, le 31 janvier 2018 a été présentée la Charte Éthique et Numérique RH par le Lab RH et la confédération syndicale CFE-CGC. Vous pouvez vous y référer pour toute question de protection des données personnelles dans le cadre de la gestion des ressources humaines. N’ayez crainte, c’est toujours mieux que de se mette en difficulté.
