Gestion du personnel et RGPD : aligner pratiques RH sur le référentiel CNIL

1. Le référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel, adopté le 21 novembre 2019 par la CNIL, s’adresse aux organismes privés ou publics, quelle que soit leur forme juridique, qui mettent en œuvre des traitements courants de gestion du personnel. Il couvre l’ensemble des collaborateurs permanents ou temporaires (salariés, agents de la fonction publique, stagiaires, vacataires, etc.) faisant partie des effectifs de l’organisme employeur. L’objectif est de fournir un outil d’aide à la mise en conformité avec le RGPD et la loi Informatique et Libertés (LIL), en articulation avec les autres règles applicables (législation du travail, textes régissant la fonction publique, conventions collectives).

2. La portée du référentiel est limitée aux traitements de gestion courante des ressources humaines (RH) mis en place par les organismes-employeurs. Il ne s’applique pas aux traitements mis en œuvre par les organisations syndicales, les instances représentatives du personnel ou les services de médecine du travail. En raison de leur sensibilité, il n’encadre pas non plus les traitements RH recourant à des outils innovants tels que la psychométrie, les traitements algorithmiques à des fins de profilage ou les traitements de Big Data, ni les traitements ayant pour objet ou effet le contrôle individuel de l’activité des salariés. Le respect du référentiel permet toutefois de s’assurer de la conformité des traitements mis en œuvre dans ce cadre aux principes de protection des données.

3. Le référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) lorsque celle-ci est nécessaire. Il renvoie aux outils méthodologiques proposés par la CNIL et aux lignes directrices sur les AIPD, en invitant les organismes à consulter leur délégué à la protection des données (DPD/DPO) lorsqu’il existe. Les points 3 à 7 du référentiel aident à définir les mesures d’appropriation (proportionnalité, nécessité), les points 8 et 9 à garantir les droits des personnes, et le point 10 à maîtriser les risques.

4. Les finalités des traitements de gestion du personnel sont listées de manière détaillée. Un traitement peut être mis en œuvre pour : a) le recrutement ; b) la gestion administrative des personnels ; c) la gestion des rémunérations et l’accomplissement des formalités administratives afférentes ; d) la mise à disposition du personnel d’outils professionnels ; e) l’organisation du travail ; f) le suivi des carrières et de la mobilité ; g) la formation ; h) la tenue des registres obligatoires et les rapports avec les instances représentatives du personnel ; i) la communication interne ; j) la gestion des aides sociales ; k) la réalisation des audits, la gestion du contentieux et du précontentieux. Les informations recueillies pour une finalité ne peuvent pas être réutilisées pour un objectif incompatible, et les interconnexions doivent rester limitées à ce qui est nécessaire à ces finalités.

5. Sur les bases légales, le référentiel rappelle que, lorsqu’un traitement poursuit plusieurs finalités, le responsable doit déterminer la base légale la plus appropriée pour chacune (article 6.1 du RGPD). Les bases les plus fréquentes en contexte RH sont : le respect d’une obligation légale (par exemple, déclaration sociale nominative (DSN), registre unique du personnel) ; l’exécution d’un contrat ou de mesures précontractuelles prises à la demande de la personne ; la réalisation de l’intérêt légitime de l’organisme ou du destinataire des données, sous réserve de ne pas méconnaître les droits et libertés des personnes ; l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique pour certains organismes publics.

6. Le consentement est présenté comme une base légale exceptionnelle en contexte RH, en raison du déséquilibre de pouvoir entre employeur et employé. Les employés ne sont que très rarement en mesure de donner un consentement libre, spécifique, éclairé et univoque ; ils ne peuvent le faire que lorsque l’acceptation ou le refus n’entraîne aucune conséquence sur leur situation. Le référentiel donne l’exemple des opérations de recrutement, qui ne peuvent pas être fondées sur le consentement, et celui de l’enregistrement d’un clip promotionnel dans un espace de travail, qui peut reposer sur le consentement si le choix d’apparaître ou non est sans impact.

7. Un tableau illustre les bases légales envisageables pour différentes activités de traitement. Par exemple, le traitement des candidatures et la gestion des entretiens relèvent des mesures précontractuelles, la constitution d’une CV-thèque de l’intérêt légitime. La gestion du dossier professionnel est fondée sur l’exécution du contrat, tandis que la réalisation d’états statistiques ou la gestion des annuaires internes relèvent de l’intérêt légitime. La gestion des élections professionnelles et l’organisation des réunions des instances représentatives reposent sur une obligation légale. La gestion des rémunérations relève de l’exécution du contrat, la DSN d’une obligation légale. La mise à disposition d’outils informatiques (suivi et maintenance du parc, annuaires informatiques, sécurité des réseaux, messagerie, intranet) est généralement fondée sur l’intérêt légitime.

8. Le référentiel insiste sur la minimisation des données. L’organisme doit veiller à ne collecter et n’utiliser que les données pertinentes et strictement nécessaires au regard de ses besoins de gestion du personnel. Les données peuvent concerner l’identification de l’employé, l’évaluation des compétences, le suivi de carrière et de formation, l’établissement de la fiche de paie (y compris le taux d’imposition dans le cadre du prélèvement à la source), la validation des acquis de l’expérience, la gestion des déclarations d’accident du travail et de maladie professionnelle, les absences autorisées et visites médicales, les sujétions particulières ouvrant droit à congés spéciaux ou crédits d’heures, les outils et matériels professionnels mis à disposition, les activités sociales et culturelles, les élections professionnelles et la lutte contre la discrimination.

9. Certaines catégories de données appellent une vigilance renforcée : le numéro de sécurité sociale (NIR), les données relatives aux infractions, condamnations pénales et mesures de sûreté, ainsi que les données sensibles au sens de l’article 9 du RGPD (origine ethnique ou prétendument raciale, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques, de santé, vie sexuelle ou orientation sexuelle). Le référentiel illustre, par exemple, la déclaration d’un accident du travail nécessitant la mention de la nature et du siège des lésions, données de santé en principe interdites de traitement mais autorisées sur le fondement de l’article 9-2-b) du RGPD pour l’exécution des obligations en matière de droit du travail, de sécurité sociale et de protection sociale.

10. Un tableau détaille les catégories de données par finalité : données d’identification (nom, prénom, photographie facultative, sexe, date et lieu de naissance, nationalité, coordonnées professionnelles et personnelles, situation familiale et matrimoniale, enfants à charge, permis de conduire, coordonnées des personnes à prévenir, distinctions honorifiques), données relatives à la situation professionnelle (lieu de travail, numéro d’identification interne, date d’entrée, ancienneté, emploi, coefficient hiérarchique, nature du contrat, taux d’invalidité, RQTH, autres catégories de bénéficiaires de la loi du 10 juillet 1987), données relatives au titre de travail pour les employés étrangers, données de suivi de carrière et d’évaluation professionnelle, données de formation, de visites médicales, de paie (NIR, numéros d’organismes sociaux, situation familiale, éléments de rémunération, congés et absences, frais professionnels, taux de prélèvement à la source, données DSN), données de validation des acquis, de déclarations d’accident et de maladie, de sujétions particulières, d’outils et matériels professionnels (annuaires, agendas, tâches, dotations, données de connexion, messagerie, intranet), d’activités sociales et de relations avec les instances représentatives.

11. Sur les destinataires des données, le référentiel rappelle que seules les personnes habilitées au titre de leurs missions doivent pouvoir accéder aux données, dans la stricte limite de leurs attributions. Les habilitations d’accès doivent être documentées et les accès faire l’objet de mesures de traçabilité. Les destinataires peuvent être les instances représentatives du personnel, les organismes de sécurité sociale, d’assurance chômage, de retraite et de prévoyance, les organismes publics légalement habilités, les entités chargées de l’audit et du contrôle financier, les prestataires auxquels certaines activités sont sous-traitées (restauration collective, vote électronique, archivage, tenue de comptes d’épargne), ou les comités sociaux et économiques (CSE) pour l’action culturelle et sociale, à condition que le bénéficiaire en ait fait la demande.

12. Les transferts de données hors de l’UE doivent respecter les articles 44 et suivants du RGPD : ils doivent être fondés sur une décision d’adéquation, encadrés par des règles internes d’entreprise (BCR), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé, ou par des clauses contractuelles ad hoc autorisées par la CNIL, ou encore répondre à une des dérogations de l’article 49. Sur les durées de conservation, l’article 5-1-e) du RGPD impose de ne conserver les données que le temps strictement nécessaire à la réalisation des finalités. Le référentiel fournit des exemples : un bulletin de salaire est conservé un mois en base active puis cinq ans en archivage intermédiaire (ou 50 ans en version dématérialisée), les éléments nécessaires au calcul de l’assiette sont conservés un mois puis six ans, les ordres de virement le temps nécessaire à l’émission du bulletin puis dix ans, le registre unique du personnel pendant la présence du salarié puis cinq ans après son départ, les données relatives aux mandats des représentants du personnel six mois après la fin du mandat puis six ans.

13. Sur l’information des personnes, le référentiel rappelle les principes de transparence et de loyauté (articles 12, 13, 14 du RGPD). Dès la collecte, les personnes doivent être informées de l’existence du traitement, de ses caractéristiques et des droits dont elles disposent. Une information écrite est à privilégier pour pouvoir en justifier. Le référentiel souligne aussi les obligations d’information issues du code du travail et la nécessité, le cas échéant, d’informer et/ou de consulter les instances représentatives du personnel. Les droits des personnes incluent le droit d’opposition (dans les limites de l’article 21), le droit d’accès, de rectification, d’effacement, de limitation, et le droit à la portabilité pour les données fournies sur la base du consentement ou d’un contrat.

14. En matière de sécurité, l’organisme doit prendre toutes les précautions utiles pour préserver la sécurité des données, empêcher qu’elles soient déformées, endommagées ou accessibles à des tiers non autorisés. Le référentiel liste des mesures techniques et organisationnelles : sensibiliser les utilisateurs (charte informatique), authentifier les utilisateurs (identifiant unique, politique de mot de passe, limitation des tentatives), gérer les habilitations (profils, suppression des permissions obsolètes, revue annuelle), tracer les accès et gérer les incidents (journalisation, procédures de notification des violations), sécuriser les postes de travail (verrouillage automatique, antivirus, pare-feu), sécuriser l’informatique mobile (chiffrement, sauvegardes, secret pour le déverrouillage), protéger le réseau interne (limitation des flux, VPN, WPA2), sécuriser les serveurs, sécuriser les sites web (TLS, contrôle des entrées, gestion des cookies), sauvegarder et prévoir la continuité d’activité, archiver de manière sécurisée, encadrer la maintenance et la destruction des données, gérer la sous-traitance (accord écrit, clauses spécifiques, conditions de restitution et destruction, audits), sécuriser les échanges avec d’autres organismes (chiffrement, vérification du destinataire, transmission séparée du secret), protéger les locaux, encadrer les développements informatiques (paramètres respectueux de la vie privée, tests sur données fictives), et utiliser des fonctions cryptographiques reconnues.

15. Enfin, le référentiel traite de l’analyse d’impact relative à la protection des données (AIPD). En application de l’article 35 du RGPD, une AIPD est requise lorsque le traitement est susceptible de présenter un risque élevé pour les droits et libertés. La CNIL a publié une liste de traitements pour lesquels une AIPD n’est pas requise (par exemple, certains traitements RH pour des organismes de moins de 250 personnes, sans profilage) et une liste de traitements pour lesquels une AIPD est requise (profilage à des fins de gestion des ressources humaines, surveillance constante de l’activité des employés, dispositifs de Data Loss Prevention, vidéosurveillance de zones sensibles, chronotachygraphes). Lorsque le traitement n’est sur aucune de ces listes, il convient d’examiner les neuf critères du CEPD (évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, utilisation innovante, traitements empêchant l’exercice d’un droit ou l’accès à un service). Les employés sont considérés comme des personnes vulnérables en raison du déséquilibre de pouvoir avec l’employeur. Si l’AIPD montre que les risques ne peuvent être réduits à un niveau acceptable, le responsable doit consulter la CNIL préalablement à la mise en œuvre du traitement (article 36 du RGPD).

16. En alignant les pratiques RH sur ce référentiel, les organismes peuvent structurer leurs traitements de gestion du personnel autour de finalités clairement identifiées, de bases légales appropriées, de données minimisées, de durées de conservation maîtrisées, de destinataires encadrés, de droits des personnes garantis et de mesures de sécurité adaptées. Le référentiel CNIL fournit ainsi un cadre opérationnel pour intégrer la protection des données au cœur de la gestion des ressources humaines, dans une logique de responsabilisation et de conformité durable au RGPD.