Les employeurs traitent chaque jour des données personnelles : dossiers de recrutement, informations de paie, absences, évaluations, journaux d’accès, dossiers de formation et bien plus.
La conformité RGPD ne se limite donc pas à disposer d’une notice de confidentialité pour les salariés. Les employeurs ont besoin d’une documentation qui reflète la manière dont les données du personnel et des candidats sont réellement traitées.
1. Registre des traitements
Votre registre des traitements est l’un des documents centraux du RGPD.
Pour les RH, il peut couvrir des processus comme :
- Le recrutement
- L’administration du personnel
- La paie
- L’enregistrement des temps
- La gestion des absences
- La gestion de la performance
- La formation
- Les avantages
- La gestion informatique et des accès
- La sécurité sur le lieu de travail
- La rupture et la sortie
Pour chaque activité, documentez les informations pertinentes : finalités, catégories de données, personnes concernées, destinataires, transferts, conservation et mesures de sécurité, comme requis. La structure d’un registre des traitements est la même pour les RH que pour le reste.
Les petites organisations se croient régulièrement dispensées. Elles ne le sont généralement pas. L’article 30, paragraphe 5 ne lève l’obligation pour les employeurs de moins de 250 salariés que si les trois conditions suivantes sont réunies : le traitement est occasionnel, il n’est pas susceptible d’engendrer un risque pour les personnes, et il ne porte pas sur des catégories particulières ni sur des données pénales.
Les RH échouent déjà sur la première condition. Recrutement, paie et administration du personnel fonctionnent en continu, pas occasionnellement. Ajoutez les données d’absence maladie ou tout autre élément touchant à la santé, et la troisième condition tombe également. En pratique : si vous employez des personnes, il vous faut un registre RH, quel que soit votre effectif.
2. Notice de confidentialité candidats
Les candidats ont besoin d’informations sur ce qu’il advient de leurs données pendant le recrutement.
La notice couvre la procédure, y compris les sources pertinentes, les finalités, les bases légales, les destinataires, les durées de conservation, les transferts et les droits des candidats.
3. Notice de confidentialité salariés
Les salariés ont besoin d’une information appropriée sur le traitement des données du personnel.
Elle va généralement bien au-delà du recrutement et peut couvrir paie, avantages, absences, performance, usage informatique, sécurité et autres processus d’emploi. Une politique de confidentialité pour le personnel complète les expose une à une.
4. Politique ou calendrier de conservation
Définissez combien de temps les différentes catégories d’informations RH sont conservées.
N’utilisez pas une durée unique pour tous les documents.
Documents de paie, candidatures refusées, évaluations et journaux d’accès peuvent obéir à des exigences très différentes. Une politique de conservation des données est l’endroit où ces différences sont consignées.
5. Accords de sous-traitance
Les employeurs recourent souvent à des prestataires externes pour traiter les données du personnel.
Par exemple :
- Prestataires de paie
- Logiciels RH
- Plateformes de recrutement
- Services cloud
- Prestataires d’avantages
- Plateformes de formation
Lorsqu’un prestataire agit comme votre sous-traitant, le RGPD exige un accord de sous-traitance approprié contenant les éléments obligatoires.
Déterminez d’abord le rôle de chaque prestataire ; tout tiers n’est pas nécessairement votre sous-traitant.
6. Procédure et registre des violations
Les données RH peuvent être impliquées dans des violations de données.
Par exemple :
- Un bulletin de paie envoyé à la mauvaise personne
- Un ordinateur portable perdu contenant des dossiers salariés
- Un compte RH compromis par hameçonnage
- Un tableur de données du personnel partagé avec les mauvais destinataires
Prévoyez une procédure d’identification, d’évaluation et d’escalade des incidents. Documentez les violations comme requis, avec les faits pertinents, leurs effets et les mesures prises.
7. Procédure de traitement des demandes
Candidats, salariés et anciens salariés peuvent exercer leurs droits RGPD.
Votre organisation doit savoir qui traite les demandes, comment l’identité est vérifiée si nécessaire, où l’information est recherchée et comment les délais sont suivis. Un processus de traitement des demandes défini rend cela réalisable.
8. Mises en balance des intérêts légitimes
Lorsque vous vous appuyez sur l’intérêt légitime pour un traitement qui exige une mise en balance, documenter cette analyse relève d’une bonne pratique de responsabilité.
C’est particulièrement utile lorsque le traitement peut affecter les attentes de vie privée des salariés ou des candidats.
9. Analyses d’impact relatives à la protection des données
Une AIPD est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
En contexte d’emploi, cela peut concerner certains dispositifs de surveillance, les systèmes biométriques, le traitement à grande échelle de données sensibles, ou des usages d’IA et de profilage à risque plus élevé.
Évaluez cette exigence avant la mise en œuvre.
10. Documentation sécurité et accès
Les informations RH sont souvent sensibles, même lorsqu’elles ne relèvent pas juridiquement des catégories particulières.
Documentez des mesures appropriées pour :
- Le contrôle d’accès
- L’authentification
- La confidentialité
- Les sauvegardes
- La sécurité des équipements
- La sortie des collaborateurs
- La réponse aux incidents
Les politiques doivent correspondre à ce qui se passe réellement dans vos systèmes.
11. Documentation des transferts internationaux
Si des prestataires RH ou de recrutement traitent des données hors de l’EEE, évaluez le mécanisme de transfert et conservez la documentation requise.
Les logiciels cloud peuvent créer des transferts internationaux même lorsque votre organisation n’opère qu’en Europe.
12. Documentation de gouvernance de l’IA
Si vous utilisez l’IA en recrutement ou en emploi, une documentation supplémentaire peut être nécessaire au titre du RGPD comme de l’AI Act européen.
Commencez par documenter le cas d’usage, les données concernées, le fournisseur, la finalité, la base légale, les risques et le contrôle humain.
Les systèmes à risque plus élevé en exigent nettement davantage.
Avez-vous besoin de tous ces documents ?
Tout employeur n’a pas besoin de chaque document sous exactement la même forme.
La bonne approche consiste à partir de vos traitements réels et à déterminer quelle documentation en découle.
Une entreprise de cinq personnes recourant à un prestataire de paie et à un recrutement simple n’aura pas le même dossier qu’un employeur international utilisant biométrie, surveillance et IA de recrutement.
Mais les deux doivent savoir quelles données personnelles ils traitent et pourquoi.
Construisez les documents à partir des traitements
La documentation RGPD doit être le produit d’une compréhension de votre organisation, et non un empilement de modèles sans lien.
GDPRWise aide les organisations à cartographier leurs traitements RH et autres, et à utiliser cette information pour construire et maintenir la documentation qu’exige leur conformité.
GDPRWise cartographie vos traitements RH et de recrutement et construit la documentation vie privée qui en découle.