Un guide pratique pour les employeurs de l'UE : quelles données salariés vous pouvez collecter, les bases légales du traitement, les droits des salariés selon les articles 15 à 20, et les erreurs de conformité les plus fréquentes.
La plupart des employeurs savent qu'ils doivent traiter les données de leurs salariés avec soin. Beaucoup moins ont réellement réfléchi à ce que cela implique concrètement : quelles données peuvent être collectées librement, lesquelles nécessitent un consentement explicite, combien de temps les conserver, et que faire lorsqu'un salarié demande à consulter tout ce que vous détenez sur lui.
Ce guide est pratique, pas un manuel juridique. Si vous dirigez une petite ou moyenne entreprise dans l'UE, voici l'essentiel de ce que vous devez savoir.
Le principe de départ est simple : ne collectez que ce dont vous avez réellement besoin. Le RGPD appelle cela la minimisation des données, et cette règle s'applique aux salariés tout autant qu'aux clients.
Dans la plupart des relations de travail, vous avez légitimement besoin :
Ce dont vous n'avez probablement pas besoin : profils sur les réseaux sociaux, situation matrimoniale (sauf si elle est pertinente pour les avantages sociaux), opinions politiques, ou informations personnelles sans lien avec le poste.
Certaines données font l'objet d'un régime plus strict au titre du RGPD. Les données de santé, l'appartenance syndicale, les données biométriques et les données relatives aux condamnations pénales constituent des « catégories particulières » qui exigent une base légale explicite pour être traitées.
Pour les employeurs, les situations les plus courantes sont :
Le RGPD prévoit six bases légales pour traiter des données personnelles. En pratique, trois d'entre elles concernent les données salariés.
Le traitement est nécessaire à l'exécution du contrat de travail. Cela couvre la paie, la planification, l'émission des bulletins de salaire et la gestion des congés. Vous n'avez pas besoin de demander le consentement du salarié : le contrat lui-même constitue la base légale.
Le traitement est imposé par la loi. Les déclarations fiscales, les cotisations sociales, les registres de santé et sécurité, et la surveillance obligatoire sur le lieu de travail (dans certains secteurs) relèvent de cette catégorie. Là encore, aucun consentement n'est requis.
Vous disposez d'un motif commercial légitime qui l'emporte sur les intérêts en matière de vie privée du salarié. Cette base légale demande davantage de précautions. Le RGPD impose de mettre en balance vos intérêts et les droits du salarié, et de documenter cette analyse.
La surveillance des e-mails en est un exemple courant. Vous pouvez avoir un intérêt légitime à prévenir les fuites de données ou à garantir le caractère professionnel des communications. Mais cela ne vous autorise pas à lire tous les e-mails au moindre soupçon. La surveillance doit être proportionnée, limitée dans son périmètre, et les salariés doivent en être informés.
Le consentement n'est pas la bonne base légale pour la plupart des traitements de données salariés. Le déséquilibre de pouvoir entre employeur et salarié rend difficile la démonstration d'un consentement libre et éclairé. De plus, si vous vous appuyez sur le consentement et qu'un salarié le retire, vous perdez le droit de traiter ces données.
Recourez au consentement uniquement lorsqu'aucune autre base légale ne s'applique et que le traitement est véritablement facultatif, par exemple pour publier la photo d'un salarié sur le site web de l'entreprise.
Vos salariés disposent de droits réels et opposables sur leurs données personnelles. Vous devez mettre en place un processus pour traiter ces demandes, car le RGPD vous impose d'y répondre dans un délai d'un mois.
Les salariés peuvent demander une copie de toutes les données personnelles que vous détenez sur eux, ainsi que des informations sur la façon dont vous les utilisez. On appelle cela une demande d'accès aux données. Vous devez fournir une copie des données, les finalités de leur traitement, les destinataires auxquels elles sont communiquées, et la durée de conservation.
Un mois, c'est court si vos données sont dispersées entre des tableurs, des fils de messagerie et plusieurs systèmes. C'est l'un des arguments les plus solides en faveur du regroupement des données RH dans un système unique et structuré.
Si des données sont inexactes ou incomplètes, les salariés peuvent en demander la correction. Changements d'adresse, changements de nom suite à un mariage, rectification d'erreurs dans les évaluations de performance : tout cela relève de cet article. La démarche est généralement simple.
Le « droit à l'oubli ». Les salariés peuvent demander la suppression de leurs données dans certaines circonstances : les données ne sont plus nécessaires, ils retirent leur consentement, ou le traitement était illicite.
Point essentiel pour les employeurs : vous n'êtes pas tenu de supprimer des données que vous êtes légalement obligé de conserver. Les documents comptables, par exemple, doivent être conservés plusieurs années en vertu du droit fiscal national. Les registres légaux liés à l'emploi sont soumis à des obligations similaires. Vous pouvez refuser une demande d'effacement si une obligation légale impose la conservation.
Les salariés peuvent demander la suspension du traitement le temps qu'un litige soit résolu — par exemple s'ils contestent l'exactitude de données d'évaluation. Les données restent dans vos systèmes, mais ne peuvent pas être traitées jusqu'à la résolution du problème.
Si vous rectifiez ou supprimez des données à la demande d'un salarié, vous devez en informer toute personne à qui vous avez communiqué ces données. En pratique, cela implique de tenir un registre clair des destinataires de vos données et des finalités de ces transmissions.
Les salariés peuvent demander leurs données dans un format lisible par machine afin de les transmettre ailleurs. Ce droit s'applique principalement aux données qu'ils ont eux-mêmes fournies (coordonnées, informations bancaires) et aux données traitées par des moyens automatisés.
« Conserver les données aussi longtemps que nécessaire » n'est pas une politique de conservation. Vous devez définir des durées précises pour chaque catégorie de données, et les supprimer effectivement à l'expiration de ces délais.
Quelques repères sur les durées habituellement requises dans l'UE (à vérifier impérativement selon votre juridiction) :
| Type de données | Durée de conservation habituelle |
|---|---|
| Documents de paie | 6 à 10 ans (selon le droit fiscal du pays) |
| Contrats de travail | Durée du contrat + 3 à 5 ans |
| Documents relatifs aux régimes de retraite | Jusqu'à 75 ans dans certains pays |
| Dossiers disciplinaires | 1 à 3 ans après clôture |
| Données de recrutement (candidats non retenus) | 2 à 6 mois, sauf consentement pour une durée plus longue |
| Registres d'accidents du travail | 5 à 40 ans selon la gravité et le pays |
Mettez en place un processus de révision et de purge régulière des données. Conserver des données « au cas où » est un risque de non-conformité, pas une précaution.
Le consentement paraît rassurant, mais c'est souvent la mauvaise base légale pour les données salariés. Comme évoqué plus haut, il est difficile de démontrer qu'un consentement est libre dans le cadre d'une relation de travail. Fondez vos traitements sur l'exécution du contrat et l'obligation légale dans toute la mesure du possible.
Des données conservées indéfiniment constituent une source de risques. Élaborez un tableau de gestion des durées de conservation, faites-le valider, et automatisez la suppression des données lorsque c'est possible.
Chaque fois que vous transmettez des données salariés à un prestataire de paie, un organisme de protection sociale ou un service de vérification des antécédents, vous effectuez un transfert de données personnelles. Ces transferts doivent être encadrés par un accord de traitement des données (DPA). De nombreuses petites entreprises font l'impasse sur cette étape.
Des données RH éparpillées entre e-mails, tableurs et disques locaux transforment chaque demande d'accès en cauchemar et augmente le risque de violations. Centraliser les données salariés dans un système unique rend la conformité bien plus facile à gérer.
Si un salarié envoie une demande d'accès un vendredi après-midi, qui s'en charge ? Quels systèmes consulter ? Comment compiler la réponse ? Définir ce processus en amont est bien moins stressant que de devoir improviser dans un délai d'un mois.
L'une des raisons pour lesquelles nous avons créé PersoHR, c'est précisément pour rendre ce type de conformité gérable pour les petites équipes. Les données salariés sont centralisées en un seul endroit, les demandes d'accès peuvent être traitées rapidement, et les durées de conservation sont suivies automatiquement. Cela ne supprime pas la complexité juridique, mais cela élimine le désordre opérationnel qui rend la conformité difficile en pratique.
La conformité au RGPD n'est pas un projet ponctuel. C'est une composante permanente de la façon dont vous gérez votre entreprise. La bonne nouvelle, c'est qu'une fois les bons processus et les bons outils en place, cela devient une routine plutôt qu'une source de stress.
Essayez PersoHR gratuitement pendant 30 jours. Sans carte bancaire.
Démarrer votre essai gratuit