N’utilisez pas la lecture électronique de l’eID comme étape standard automatique à l’entrée en service. Avec un lecteur de cartes, davantage de données peuvent devenir disponibles que ce dont vous avez besoin pour l’administration du personnel, notamment l’adresse, la photo, le numéro d’identification national (en Belgique, le numéro de registre national) et les certificats électroniques présents sur la carte.
Il vous faut une base légale
La lecture électronique exige une base légale appropriée. Si le consentement est envisagé, il doit être réellement libre, spécifique et éclairé, et une alternative équivalente doit exister.
En raison du déséquilibre de pouvoir entre employeur et salarié, le consentement n’est généralement pas une base standard appropriée dans la relation de travail. Le Comité européen de la protection des données (CEPD) relève que les salariés ne peuvent donner un consentement libre que dans des circonstances exceptionnelles.
L’Autorité belge de protection des données précise en outre que la lecture doit se limiter aux données strictement nécessaires à la finalité, et que certaines données de la carte sont soumises à des conditions spécifiques.
Si vous utilisez malgré tout un lecteur de cartes
Limitez techniquement le logiciel aux données nécessaires. N’enregistrez pas automatiquement toutes les données disponibles sur la carte.
Informez le salarié au préalable des données qui sont lues, de la raison, du lieu de stockage et de la durée de conservation.
Un contrôle visuel et un enregistrement séparé sont généralement moins intrusifs. Les données que vous reprenez alors sont expliquées dans Quelles données de la carte d’identité d’un salarié puis-je enregistrer ?
Base légale
La lecture électronique doit respecter les principes de licéité, de limitation des finalités et de minimisation des données (article 5, paragraphe 1, points a à c du RGPD) et exige une base légale au sens de l’article 6 du RGPD ; si vous vous fondez sur le consentement, les conditions de l’article 7 du RGPD s’appliquent. Vous devez informer le salarié au préalable (article 13 du RGPD), concevoir le logiciel selon la protection des données dès la conception et par défaut (article 25 du RGPD) et sécuriser de manière appropriée les données lues (article 32 du RGPD). L’article 87 du RGPD permet aux États membres de fixer des conditions particulières pour le numéro d’identification national figurant sur la carte, et la législation nationale sur les cartes d’identité et les registres de la population fixe les autres règles.
GDPRWise cartographie vos processus RH, de l'onboarding au départ, pour que vous sachiez pour chaque donnée pourquoi vous la conservez.