Lecture rapide

Lors d’un recrutement, seules les informations utiles au poste peuvent être collectées, sans demander des données sans lien direct comme la situation familiale ou le numéro de sécurité sociale. Les candidats doivent être informés des usages de leurs données, des destinataires, de la durée de conservation et des modalités d’exercice de leurs droits. Les dossiers des candidats non retenus doivent être supprimés, sauf accord pour rester dans un vivier limité dans le temps.

Analyse juridique

1. Recrutement et données personnelles des candidats

1.1 Lors du recrutement d’un nouveau collaborateur, l’employeur ne peut pas demander tout et n’importe quoi aux candidats. Seules les informations utiles au regard du poste à pourvoir peuvent être collectées. Des informations sur l’emploi occupé par les membres de la famille n’ont pas de lien avec les compétences du candidat et sont donc à proscrire. De même, il est inutile, à ce stade, de demander le numéro de sécurité sociale.

1.2 Les candidats doivent être informés de ce que l’entreprise va faire des données qu’ils communiquent : qui va y avoir accès (service RH, prestataire éventuel), combien de temps ces données seront conservées et comment ils peuvent exercer leurs droits d’accès, de rectification ou de suppression. Cette transparence est une exigence du RGPD et un élément de confiance dans le processus de recrutement.

1.3 Une fois le choix du nouvel employé effectué, les informations sur les candidats non retenus doivent être supprimées, sauf s’ils acceptent explicitement de rester dans un vivier de candidatures pour une durée limitée (par exemple, deux ans). Cette gestion maîtrisée des durées de conservation évite l’accumulation de données inutiles et réduit les risques en cas d’incident.

2. Les limites du contrôle des employés

2.1 Le code du travail permet à l’employeur de contrôler l’activité de ses employés, mais même sur son lieu de travail, un salarié a droit au respect de sa vie privée et à la protection de ses données personnelles. Le RGPD vient renforcer ce cadre en rappelant les principes de proportionnalité, de finalité et de transparence.

2.2 Deux règles simples structurent les limites du contrôle :

2.2.1 Ne pas abuser du pouvoir de contrôle : la surveillance doit reposer sur un intérêt légitime de l’entreprise (par exemple, limiter les risques d’abus d’une utilisation trop personnelle d’internet pendant le temps de travail). Les employés ne doivent pas être mis sous surveillance permanente : sécuriser un local professionnel n’implique pas de filmer en continu un salarié à son poste. Un outil ne doit pas être utilisé pour un objectif caché (par exemple, la géolocalisation des véhicules pour optimiser une tournée ne doit pas servir à contrôler en temps réel la vitesse de circulation).

2.2.2 Être transparent : l’employeur doit consulter les instances représentatives du personnel avant la mise en œuvre d’un dispositif de surveillance et informer les employés selon des modalités adaptées (note de service, avenant au contrat de travail, mention sur l’intranet, courrier joint au bulletin de paie, etc.). Cette information préalable permet aux salariés de comprendre les finalités, les modalités et la portée des contrôles.

2.3 En fonction des technologies utilisées (vidéosurveillance, géolocalisation, contrôle des accès, outils de suivi de la navigation, etc.), des règles particulières peuvent s’appliquer. Une analyse préalable des risques et des finalités est nécessaire pour éviter les dérives et respecter l’équilibre entre sécurité de l’entreprise et respect de la vie privée des collaborateurs.

3. Sensibiliser et former les collaborateurs à la protection des données

3.1 La protection des données personnelles des employés comme des clients n’est pas uniquement l’affaire des juristes ou des informaticiens. Tous les employés sont concernés, en tant que professionnels en relation avec les clients, fournisseurs, prestataires, et en tant que citoyens. La sensibilisation et la formation sont donc des leviers essentiels pour une mise en conformité effective.

3.2 Des points d’attention simples peuvent être mis en place :

3.2.1 Sensibiliser aux droits des personnes concernées afin que les demandes reçues dans n’importe quel service soient clairement identifiées et qu’une procédure de traitement par le bon service soit connue et appliquée (par exemple, le service client qui reçoit une demande d’opposition à la publicité doit la transmettre au service marketing).

3.2.2 Sensibiliser largement aux règles internes de gestion des données personnelles : accès limité aux seules données nécessaires, interdiction de divulguer des données à des tiers non autorisés, accès restreint aux dossiers archivés, sauvegardes régulières des fichiers, etc.

3.2.3 Sensibiliser aux règles élémentaires de sécurité : utilisation de logins et mots de passe personnels et complexes, verrouillage du poste de travail dès que l’on s’absente, interdiction de stocker des documents professionnels sur des outils personnels, etc.

3.3 La mise en place du RGPD est l’occasion de sensibiliser l’ensemble des collaborateurs aux règles à suivre en matière de protection des données et de diffuser une charte informatique claire. Cette démarche contribue à instaurer une culture commune de la confidentialité et de la sécurité au sein de l’entreprise.

4. Communication et vente en ligne : site vitrine, réseaux sociaux, e‑commerce

4.1 Lorsque l’entreprise utilise un site internet et des comptes sociaux pour communiquer, elle doit vérifier si elle protège suffisamment les données personnelles des personnes qui visitent ses plateformes. Le caractère viral de plateformes comme Facebook, Twitter, LinkedIn ou Instagram impose une vigilance particulière pour limiter les risques de piratage, les fuites de données et préserver la réputation en ligne.

4.2 Pour un site vitrine qui présente l’activité et propose un formulaire de contact ou un abonnement à une lettre d’information, il est recommandé de prendre en compte la protection des données dès la conception. L’accès au contenu ne doit pas être conditionné à l’abonnement à la newsletter. Quelques réflexes de base s’imposent :

4.2.1 Prévoir des mentions CNIL en bas du formulaire de contact, en s’appuyant sur les modèles proposés par la CNIL ;

4.2.2 Mettre à disposition un moyen de contact électronique pour que les personnes puissent exercer leurs droits ;

4.2.3 Afficher des mentions légales identifiant clairement l’éditeur du site.

4.3 Sur les réseaux sociaux, il est pertinent de rendre accessible un article ou un lien menant vers une page d’information sur les droits des personnes. Il est également utile d’anticiper les effets d’une opération de communication en ligne (emailing, campagne virale) en préparant une réponse type aux internautes qui exerceraient, par exemple, leur droit d’opposition. La réactivité et l’efficacité de la réponse contribuent directement à la e‑réputation de l’entreprise.

4.4 Pour la vente en ligne, des mises à jour techniques et une surveillance régulière de la sécurité du site sont nécessaires. Il peut être utile de se faire accompagner par un prestataire spécialisé. Pour permettre l’achat de biens en ligne, l’entreprise peut demander un certain nombre d’informations destinées à assurer la sécurité de la transaction et à enrichir la connaissance client. Les données collectées doivent être justifiées par le service rendu (par exemple, demander la date de naissance pour offrir un service particulier à l’occasion de l’anniversaire du client).

4.5 L’entreprise doit intégrer dans le parcours de vente l’information et le consentement des clients à l’utilisation de leurs données. En pratique, il s’agit de les informer clairement de ce qui est fait de leurs données et de leur donner la possibilité d’exprimer leurs préférences.

4.6 Trois règles simples structurent la vente en ligne :

4.6.1 Sécuriser les données en ligne : l’ensemble du parcours de vente doit être en https ; imposer des mots de passe complexes à la création de compte ; ne pas transmettre de données personnelles sensibles par email (mot de passe, coordonnées personnelles) ; ne pas conserver les coordonnées bancaires des clients ; sécuriser la transaction bancaire en s’appuyant sur des services de paiement en ligne sécurisés.

4.6.2 Informer les clients sur l’usage de leurs données : insérer une page « vie privée » accessible et compréhensible par tous, et s’assurer que la charte vie privée est à jour.

4.6.3 Laisser aux clients la possibilité de contrôler la manière dont leurs données sont utilisées : offrir une possibilité simple de contact (email dédié, formulaire, message privé sur les réseaux sociaux) pour demander l’accès, la rectification ou l’effacement des données, ou pour signaler toute difficulté liée à leur traitement.

5. Cookies, traceurs et consentement des internautes

5.1 Si, lors de la consultation du site internet, des cookies ou autres traceurs sont déposés sur les terminaux des internautes (ordinateur, tablette, smartphone), l’entreprise peut analyser leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation. Selon l’objet du traceur, il est nécessaire soit d’informer l’internaute (par exemple, cookie « panier d’achat »), soit d’obtenir son consentement préalable (par exemple, cookie lié à une opération publicitaire).

5.2 Si le site utilise des fonctionnalités offertes par d’autres services (solutions de statistiques, boutons sociaux, vidéos provenant de plateformes tierces), le consentement des visiteurs doit être recueilli avant le dépôt ou la lecture des traceurs. La gestion des cookies et traceurs s’inscrit dans la logique générale de transparence, de maîtrise par l’utilisateur et de respect de la vie privée.

6. Synthèse : encadrer le contrôle, le recrutement et les usages numériques

6.1 La protection des données des salariés repose sur un équilibre entre les besoins légitimes de l’entreprise (recrutement, organisation du travail, sécurité, communication en ligne) et les droits fondamentaux des personnes (vie privée, maîtrise de leurs données). Le RGPD fournit un cadre structuré pour encadrer le contrôle, le recrutement et les usages numériques au sein de l’entreprise.

6.2 En limitant la collecte aux informations pertinentes, en informant clairement candidats et collaborateurs, en encadrant les dispositifs de surveillance, en sensibilisant l’ensemble des équipes et en sécurisant les outils numériques (site vitrine, réseaux sociaux, e‑commerce, cookies), l’entreprise peut transformer la conformité en un levier de confiance, de sécurité et de performance sociale et économique.

Pour en savoir plus

7.1 Mentions obligatoires sur un site internet – Service-public.fr

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.