Données personnelles RH et RGPD : sécuriser la gestion du personnel employeur

1. Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion du personnel

1.1 Le référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel, adopté le 21 novembre 2019, s’adresse à l’ensemble des organismes privés ou publics, quelle que soit leur forme juridique, qui réalisent des traitements courants de gestion du personnel. Il vise toutes les catégories de personnes employées (salariés, agents publics, stagiaires, vacataires, collaborateurs temporaires ou permanents), quels que soient leur statut, leur contrat ou leur niveau de rémunération. Les termes personnes employées, personnels, effectifs, moyens humains ou ressources humaines sont considérés comme synonymes et renvoient à l’ensemble des collaborateurs intégrés aux effectifs de l’organisme employeur.

1.2 Les organismes mettant en place des traitements de gestion du personnel doivent assurer la conformité de ces traitements : (i) aux dispositions du Règlement général sur la protection des données (RGPD) et de la loi du 6 janvier 1978 modifiée (LIL), et (ii) à l’ensemble des autres règles applicables, telles que la législation du travail, les textes régissant la fonction publique ou encore les conventions collectives. Le référentiel ne se substitue pas à ces normes sectorielles : il fournit un cadre de conformité spécifique aux données à caractère personnel traitées dans le contexte RH.

2. Portée et limites du référentiel de gestion du personnel

2.1 L’objectif du référentiel est de fournir aux organismes publics et privés un outil d’aide à la mise en conformité de leurs traitements de gestion courante des ressources humaines (RH) avec la réglementation relative à la protection des données à caractère personnel. Il couvre les traitements mis en place couramment par les organismes-employeurs dans le cadre de la gestion du personnel : recrutement, gestion administrative, paie, formation, mobilité, communication interne, etc.

2.2 Le référentiel n’a pas vocation à s’appliquer aux traitements mis en œuvre par les organisations syndicales, les instances représentatives du personnel ou les services de médecine du travail. En outre, en raison de leur sensibilité, il n’encadre pas : (i) les traitements de gestion RH impliquant des outils innovants tels que la psychométrie, les traitements algorithmiques à des fins de profilage ou les traitements de Big Data, qui doivent faire l’objet d’un traitement séparé ; (ii) les traitements ayant pour objet ou pour effet le contrôle individuel de l’activité des salariés.

2.3 Le respect du référentiel permet aux organismes de s’assurer que les traitements de données mis en œuvre dans ce cadre respectent les principes relatifs à la protection des données. Les organismes qui s’en écartent, en raison de conditions particulières tenant à leur situation, doivent être en mesure de justifier ce besoin et de prendre toutes les mesures appropriées pour garantir la conformité des traitements à la réglementation en matière de données à caractère personnel. Le référentiel n’a pas pour objet d’interpréter les règles de droit autres que celles relatives à la protection des données ; il appartient aux acteurs de vérifier le respect des autres réglementations applicables.

2.4 Le référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) lorsque celle-ci est nécessaire. Pour conduire cette étude d’impact, le responsable de traitement peut s’appuyer sur les outils méthodologiques proposés par la CNIL et sur ses lignes directrices sur les AIPD. L’organisme doit définir les mesures permettant d’assurer la proportionnalité et la nécessité des traitements (points 3 à 7 du référentiel), de garantir les droits des personnes (points 8 et 9) et la maîtrise des risques (point 10). Lorsque l’organisme a désigné un délégué à la protection des données (DPD/DPO), celui-ci doit être consulté.

3. Finalités des traitements de gestion du personnel

3.1 Tout traitement doit répondre à un objectif précis et être justifié au regard des missions et activités de l’organisme. Dans le cadre de la gestion du personnel, les finalités typiques sont les suivantes : (a) recrutement ; (b) gestion administrative des personnels ; (c) gestion des rémunérations et accomplissement des formalités administratives afférentes (dont la déclaration sociale nominative (DSN)) ; (d) mise à disposition du personnel d’outils professionnels ; (e) organisation du travail ; (f) suivi des carrières et de la mobilité ; (g) formation ; (h) tenue des registres obligatoires et rapports avec les instances représentatives du personnel ; (i) communication interne ; (j) gestion des aides sociales ; (k) audits, gestion du contentieux et du précontentieux.

3.2 Les informations recueillies pour une finalité ne peuvent être réutilisées pour un objectif incompatible avec la finalité initiale. Tout nouvel usage des données doit respecter les principes de protection des données. Les traitements ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l’accomplissement des finalités énoncées. Cette exigence de limitation des finalités est au cœur de la conformité RGPD en matière de données personnelles RH.

4. Bases légales des traitements de données RH

4.1 Lorsqu’un traitement poursuit plusieurs finalités, le responsable de traitement doit déterminer la base légale la plus appropriée pour chacune d’elles, conformément à l’article 6.1 du RGPD. Cette détermination doit intervenir avant toute opération de traitement, à l’issue d’une réflexion documentée tenant compte de la situation spécifique de l’organisme et de son contexte. Les bases légales retenues, qui influent sur l’exercice de certains droits (notamment le droit d’opposition), doivent être portées à la connaissance des personnes concernées.

4.2 Dans le contexte de la gestion des ressources humaines, les bases légales les plus fréquemment mobilisées sont : (i) le respect d’une obligation légale incombant à l’organisme (par exemple, obligations liées à la DSN ou à la tenue d’un registre unique du personnel) ; (ii) l’exécution d’un contrat auquel la personne est partie ou de mesures précontractuelles prises à sa demande (par exemple, traitement des candidatures) ; (iii) la poursuite d’un intérêt légitime de l’organisme ou du destinataire des données, sous réserve de ne pas méconnaître les droits et libertés fondamentaux des personnes ; (iv) l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique pour les organismes investis de telles missions.

4.3 Dans certains cas exceptionnels, le consentement libre, spécifique, éclairé et univoque de la personne peut être invoqué. Toutefois, en raison du déséquilibre de pouvoir inhérent à la relation employeur/employé, les salariés sont rarement en mesure de donner ou retirer librement leur consentement. Le consentement ne peut être considéré comme libre que lorsque l’acceptation ou le refus n’entraîne aucune conséquence sur la situation de la personne (conditions de travail, rémunération, avancement, etc.). Ainsi, les traitements de recrutement ne peuvent être fondés sur le consentement des candidats, un refus pouvant affecter leurs chances d’obtenir un emploi. À l’inverse, la participation volontaire à un clip promotionnel montrant des employés identifiables peut reposer sur le consentement, à condition que le choix d’apparaître ou non soit sans impact.

4.4 Le référentiel propose un tableau d’illustration des bases légales envisageables pour les principales activités de traitement : par exemple, le traitement des candidatures et la gestion des entretiens reposent sur des mesures précontractuelles ; la constitution d’une CV-thèque sur l’intérêt légitime ; la gestion du dossier professionnel sur l’exécution du contrat ; la gestion des élections professionnelles et l’organisation des réunions des instances représentatives du personnel sur l’obligation légale ; la gestion de la paie sur l’exécution du contrat et la déclaration sociale nominative sur l’obligation légale. Selon que l’organisme relève du secteur privé ou public, une même finalité (par exemple le recrutement) peut reposer sur des bases différentes (intérêt légitime ou mission d’intérêt public).

5. Données personnelles concernées et principe de minimisation

5.1 Dans une logique de minimisation des données, l’organisme doit veiller à ne collecter et n’utiliser que les données pertinentes et strictement nécessaires à ses besoins de gestion du personnel. Les catégories de données typiques sont : (a) identification de l’employé (identité, coordonnées, situation familiale, autorisation de travail, etc.) ; (b) évaluation des compétences du candidat au moment du recrutement ; (c) suivi de carrière et de la formation ; (d) données nécessaires à l’établissement de la fiche de paie et aux obligations légales connexes (dont le taux d’imposition dans le cadre du prélèvement à la source) ; (e) données relatives à la validation des acquis de l’expérience ; (f) données pour la gestion des déclarations d’accident du travail, de maladie professionnelle, des arrêts de travail et autres absences autorisées, ainsi que le suivi des visites médicales ; (g) données relatives aux sujétions particulières ouvrant droit à congés spéciaux ou à un crédit d’heures de délégation ; (h) données sur les outils et matériels professionnels mis à disposition (cartes de paiement, matériel informatique, véhicules, etc.) ; (i) données relatives aux activités sociales et culturelles mises en œuvre par l’employeur ; (j) données liées aux élections professionnelles et aux réunions des instances représentatives du personnel ; (k) données relatives à la lutte contre la discrimination et à l’obligation d’emploi de certains publics (articles L5212-2 et suivants du code du travail).

5.2 L’employeur ne doit collecter les données qu’à partir du moment où le besoin se concrétise. Par exemple, le numéro de sécurité sociale (NIR) est nécessaire lors de la conclusion du contrat de travail pour accomplir certaines formalités déclaratives, mais ne doit pas être demandé à un candidat avant la validation définitive de sa candidature. De même, les informations demandées à un candidat doivent présenter un lien direct avec l’appréciation de ses qualités et compétences professionnelles et ne pas porter sur la composition de sa famille ou des informations relatives à ses proches, sauf lorsque des droits spécifiques (congés pour décès ou maladie grave d’un proche) sont sollicités par un salarié en poste.

5.3 Les données justifiées pour une finalité déterminée ne peuvent être réutilisées à d’autres fins que si cette nouvelle utilisation est elle-même légalement justifiée. Certaines catégories de données appellent une vigilance renforcée en raison de leur caractère particulièrement sensible et ne peuvent être collectées et traitées que dans des conditions strictement définies : (i) le numéro de sécurité sociale ; (ii) les données relatives aux infractions, condamnations pénales et mesures de sûreté ; (iii) les données sensibles au sens de l’article 9 du RGPD et des articles 6 et 44 de la LIL (origine ethnique ou prétendument raciale, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques, données de santé, vie sexuelle ou orientation sexuelle). Le traitement de ces données est en principe interdit, sauf exceptions, par exemple lorsque le traitement est nécessaire à l’exécution des obligations et à l’exercice des droits en matière de droit du travail, de sécurité sociale et de protection sociale (article 9-2-b du RGPD).

5.4 Le référentiel fournit un tableau détaillé des catégories de données et d’exemples de données pour chaque finalité : identification de l’employé (nom, prénom, photographie facultative, date de naissance, nationalité, coordonnées, situation familiale, RQTH, etc.), suivi de la carrière et de la formation (dates et conditions de recrutement, entretiens d’évaluation, objectifs, résultats, diplômes, demandes de formation, visites médicales), établissement des fiches de paie (NIR, numéros d’affiliation, éléments de rémunération, congés, absences, taux de prélèvement à la source, données DSN), validation des acquis de l’expérience, gestion des accidents du travail et des maladies professionnelles, sujétions particulières (mandats électifs ou syndicaux, réserve opérationnelle, missions de sapeur-pompier volontaire), outils et matériels professionnels (annuaires internes, agendas, tâches, dotations, données de connexion, messagerie électronique, intranet), activités sociales et relations avec les instances représentatives du personnel. L’organisme doit en outre s’assurer, tout au long de la durée de vie du traitement, de la qualité des données (exactitude, mise à jour).

6. Destinataires, sous-traitance et transferts de données

6.1 Les données personnelles doivent être accessibles uniquement aux personnes habilitées à en connaître au regard de leurs attributions. Les habilitations d’accès doivent être documentées et les accès faire l’objet de mesures de traçabilité. Les personnes accédant aux données pour le compte de l’employeur sont, par exemple, les personnes chargées de la gestion du personnel ou de la paie, les personnes chargées de la sécurité des personnes et des biens (contrôle d’accès aux locaux et outils de travail), ou les supérieurs hiérarchiques des employés, à l’exclusion des données relatives à l’action sociale directement mise en œuvre par l’employeur.

6.2 Les destinataires des données sont tout organisme recevant communication des données. Dans le cadre du référentiel, il peut s’agir des instances représentatives du personnel (pour les données nécessaires à leurs missions), des organismes gérant les assurances sociales, l’assurance chômage, la retraite et la prévoyance, des caisses de congés payés, des organismes publics et administrations légalement habilités, des entités chargées de l’audit et du contrôle financier, des prestataires sous-traitants (restauration collective, vote électronique, archivage, tenue des comptes d’épargne, etc.), ou encore des entités en charge de l’action culturelle et sociale telles que les comités sociaux et économiques (CSE), à condition que le bénéficiaire en ait fait la demande.

6.3 Le recours à un sous-traitant impose de ne faire appel qu’à des organismes présentant des garanties suffisantes en matière de protection des données. Un contrat de sous-traitance conforme à l’article 28 du RGPD doit définir les caractéristiques du traitement et les obligations respectives des parties (sécurité, confidentialité, assistance, restitution et destruction des données, etc.). Le guide du sous-traitant édité par la CNIL précise les clauses à intégrer.

6.4 Les transferts de données hors de l’Union européenne sont soumis à des règles particulières (articles 44 et suivants du RGPD). Toute transmission de données hors UE doit : (i) être fondée sur une décision d’adéquation ; ou (ii) être encadrée par des règles internes d’entreprise (BCR), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé ; ou (iii) être encadrée par des clauses contractuelles ad hoc préalablement autorisées ; ou (iv) répondre à l’une des dérogations prévues à l’article 49 du RGPD. La maîtrise de ces transferts est un élément central de la sécurisation de la gestion du personnel.

7. Durées de conservation et archivage des données RH

7.1 Conformément à l’article 5-1-e) du RGPD, les données à caractère personnel ne doivent être conservées sous une forme permettant l’identification des personnes que pendant le temps strictement nécessaire à la réalisation des finalités poursuivies. La durée de conservation ou, à défaut, les critères permettant de la déterminer doivent être définis en amont et communiqués aux personnes concernées. De nombreuses données nécessaires à la gestion de la relation contractuelle (contrat de travail) sont conservées pendant la durée de la relation de travail, sauf disposition contraire.

7.2 Au-delà de la base active, certaines données peuvent être conservées sous forme d’archives intermédiaires distinctes, avec accès restreint, lorsqu’il existe des obligations comptables, sociales ou fiscales, ou un intérêt en cas de contentieux justifiant une conservation pendant la durée des règles de prescription ou de forclusion. Le référentiel illustre ces pratiques par un tableau : par exemple, le bulletin de salaire est conservé 1 mois en base active puis 5 ans en archivage (voire 50 ans en version dématérialisée) ; les éléments nécessaires au calcul de l’assiette des cotisations sont conservés 1 mois en base active puis 6 ans ; le registre unique du personnel est conservé pendant la durée de présence du salarié dans les effectifs puis 5 ans après son départ ; les données relatives aux mandats des représentants du personnel sont conservées 6 mois après la fin du mandat puis 6 ans en archivage.

7.3 Les données utilisées à des fins statistiques cessent d’être des données à caractère personnel dès lors qu’elles ont été anonymisées conformément aux lignes directrices du CEPD sur l’anonymisation. L’organisme doit également se référer aux guides de la CNIL sur la sécurité de l’archivage et la limitation de la conservation des données pour structurer ses politiques internes.

8. Information des personnes et transparence

8.1 Le responsable de traitement doit respecter les principes de transparence et de loyauté prévus aux articles 12, 13 et 14 du RGPD. Dès la collecte des données, les personnes concernées (candidats, salariés, agents, stagiaires, etc.) doivent être informées de l’existence du traitement, de ses caractéristiques (finalités, bases légales, destinataires, durées de conservation, transferts éventuels) et des droits dont elles disposent. Des modèles de mentions d’information sont disponibles sur le site de la CNIL.

8.2 Une information écrite est à privilégier pour pouvoir justifier du contenu et du moment de la délivrance. Dans le cadre de la relation de travail, le responsable de traitement doit également respecter les obligations de transparence issues de la législation sociale (code du travail, textes statutaires) et, le cas échéant, informer et/ou consulter les instances représentatives du personnel compétentes sur les dispositifs de traitement de données (par exemple, outils de suivi du temps de travail, dispositifs de contrôle d’accès, etc.).

9. Droits des personnes dans la gestion du personnel

9.1 Les personnes concernées disposent des droits prévus par le RGPD : droit d’opposition, droit d’accès, droit de rectification, droit à l’effacement dans certaines conditions, droit à la limitation du traitement et droit à la portabilité. Dans le contexte de la gestion du personnel, le droit d’opposition ne s’applique pas lorsque le traitement répond à une obligation légale, est nécessaire à l’exécution d’un contrat ou est fondé sur le consentement (la personne pouvant alors retirer ce consentement). En revanche, il peut être exercé, pour des raisons tenant à la situation particulière de la personne, lorsque le traitement repose sur l’intérêt légitime du responsable de traitement ou sur l’exécution d’une mission d’intérêt public ou relevant de l’autorité publique.

9.2 Le droit à la limitation permet, par exemple, à une personne contestant l’exactitude de ses données de demander le gel temporaire du traitement le temps des vérifications. Le droit à la portabilité impose à l’organisme de permettre à toute personne de recevoir, dans un format structuré et couramment utilisé, les données traitées par des moyens automatisés, lorsque ces données ont été fournies sur la base du consentement ou d’un contrat. L’organisme doit préciser les traitements concernés par ce droit et organiser des procédures internes pour répondre dans les délais.

10. Sécurité des données personnelles RH

10.1 L’organisme doit prendre toutes les précautions utiles, au regard des risques présentés par ses traitements, pour préserver la sécurité des données à caractère personnel : lors de la collecte, de la transmission et de la conservation, il doit empêcher toute déformation, endommagement ou accès non autorisé. Dans le contexte RH, le référentiel détaille un ensemble de mesures de sécurité que l’organisme doit soit adopter, soit justifier de leur équivalence ou de l’absence de besoin.

10.2 Ces mesures couvrent notamment : (i) la sensibilisation des utilisateurs (information, charte informatique contraignante) ; (ii) l’authentification (identifiant unique, politique de mot de passe conforme aux recommandations de la CNIL, limitation des tentatives d’accès, changement de mot de passe après réinitialisation) ; (iii) la gestion des habilitations (profils d’habilitation, suppression des permissions obsolètes, revue annuelle) ; (iv) la traçabilité des accès et la gestion des incidents (journalisation, information des utilisateurs, procédures de notification des violations de données) ; (v) la sécurisation des postes de travail (verrouillage automatique, antivirus, pare-feu, accord de l’utilisateur avant intervention) ; (vi) la sécurisation de l’informatique mobile (chiffrement, sauvegardes, secret de déverrouillage des smartphones) ; (vii) la protection du réseau interne (limitation des flux, VPN, WPA2 pour le Wi-Fi) ; (viii) la sécurisation des serveurs et des sites web (TLS, contrôle des entrées, absence de mots de passe dans les URL, bandeau cookies pour les cookies non nécessaires) ; (ix) la sauvegarde et la continuité d’activité ; (x) l’archivage sécurisé ; (xi) l’encadrement de la maintenance et de la destruction des données ; (xii) la gestion de la sous-traitance (accord écrit, clauses spécifiques, audits de sécurité) ; (xiii) la sécurisation des échanges avec d’autres organismes (chiffrement, vérification du destinataire, transmission séparée des secrets) ; (xiv) la protection des locaux (accès restreints, alarmes) ; (xv) l’encadrement des développements informatiques (paramètres respectueux de la vie privée, encadrement des zones de commentaires libres, tests sur données fictives ou anonymisées) ; (xvi) l’utilisation de fonctions cryptographiques reconnues et la conservation sécurisée des clés.

11. Analyse d’impact relative à la protection des données (AIPD) en contexte RH

11.1 En application de l’article 35 du RGPD, une analyse d’impact relative à la protection des données (AIPD) est requise lorsque le traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes. Le référentiel renvoie à la liste des traitements pour lesquels une AIPD n’est pas requise (par exemple, certains traitements RH pour des organismes de moins de 250 personnes, sans profilage, tels que la gestion de la paie, des formations, du restaurant d’entreprise, des chèques-repas, du remboursement des frais professionnels, du contrôle du temps de travail sans biométrie ni données sensibles) et à la liste des traitements pour lesquels une AIPD est requise (par exemple, traitements établissant des profils à des fins de gestion des ressources humaines, ou traitements visant à surveiller de manière constante l’activité des employés comme certains dispositifs de Data Loss Prevention ou de vidéosurveillance).

11.2 Si le traitement n’est pas listé, l’organisme doit s’appuyer sur les critères du CEPD : évaluation ou notation, prise de décision automatisée, surveillance systématique, traitement de données sensibles ou à caractère hautement personnel, traitement à grande échelle, croisement d’ensembles de données, données concernant des personnes vulnérables (les employés étant considérés comme tels en raison du déséquilibre de pouvoir), utilisation innovante ou nouvelles technologies, traitements empêchant l’exercice d’un droit ou le bénéfice d’un service ou contrat. Dès que deux de ces critères sont remplis, la réalisation d’une AIPD est obligatoire. Le responsable de traitement doit alors s’appuyer sur les principes du référentiel et les outils méthodologiques de la CNIL, en consultant le DPO lorsqu’il existe. Si l’AIPD révèle des risques résiduels élevés que l’organisme ne parvient pas à réduire à un niveau acceptable, une consultation préalable de la CNIL est requise (article 36 du RGPD).

Pour en savoir plus

12.1 Pour approfondir la compréhension des bases légales, des AIPD, de la sécurité des données personnelles ou de la gestion des sous-traitants dans le cadre de la gestion du personnel, il est possible de consulter les ressources de la CNIL et du CEPD mentionnées dans le référentiel, notamment les lignes directrices sur l’intérêt légitime, l’anonymisation, les transferts de données hors de l’UE, l’archivage sécurisé et la limitation de la conservation.