La CNIL a récemment publié un référentiel dédié aux employeurs. L’objectif est d’aider ces derniers à appliquer les mesures relatives au RGPD / GDPR en ce qui concerne la gestion de leur masse salariale. Et notamment les Ressources Humaines et la gestion des paies.

Objectifs du référentiel

Ce référentiel créé par la CNIL a pour objectif d’exposer les mesures obligatoires liées au RGPD / GDPR à adopter au sein de l’entreprise.

Voici les principaux domaines traités :

  • la justification de la finalité des traitements des données personnelles,

  • les données personnelles qui peuvent être traitées,

  • les destinataires des données (notamment les sous-traitants et prestataires extérieurs),

  • la durée de conservation des données,

  • les information des personnes (salariés, candidats, etc.),

  • les différents droits des personnes (accès, rectification, etc.),

  • la sécurité des données personnelles.

De plus, ce référentiel de la CNIL donne de nombreuses références d’outils pratiques à l’employeur et lui expose des exemples concrets.

Enfin, il met à disposition des listes qui décrivent les principales utilisations des données personnelles gérées par les services des RH de l’entreprise.

Téléchargez le référentiel
Référentiel relatif à la gestion des ressources humaines en lien avec le RGPD : GDPR de la CNIL

Ce qui n’apparaît pas dans le référentiel

Certains éléments ne sont pas inclus dans ce référentiel, en raison de leurs spécificités. En effet, ces derniers font l’objet d’un encadrement particulier :

Ainsi, si le référent RGPD / GDPR ou le responsable du traitement des données personnelles de votre entreprise souhaite réaliser ces dispositifs, il devra obligatoirement s’assurer que sa démarche est conforme aux réglementations actuelles.

En effet, même s’il s’aide du référentiel ici présenté, cela ne pourra lui garantir la conformité de son traitement.

Questions-réponses

Quel est l'intérêt de ce référentiel ?

L’entrée en application du règlement général sur la protection des données (RGPD), le 25 mai 2018, a entrainé certaines évolutions de la règlementation Informatique et Libertés. C’est le cas des formalités préalables qui devaient être effectuées auprès de la CNIL avant la mise en place des traitements de données, qui ont pour l’essentiel disparu.

Ces formalités ont fait place à une logique de responsabilisation des acteurs, désormais responsables de leur conformité à tout moment auprès de l’autorité de régulation à l’appui de certains « outils » (registre des traitements, réalisation d’analyses d’impact relative à la protection des données, nomination des délégués à la protection des données, etc.).

Afin d’aider les employeurs dans leurs démarches de conformité, la CNIL a adopté ce nouveau référentiel qui recense et applique les principes du RGPD aux traitements de données, nombreuses et parfois sensibles, couramment mis en œuvre dans le cadre de la gestion du personnel.

Dois-je vraiment le respecter ?

Ce référentiel constitue un cadre de référence qui permet à un organisme de mettre en conformité ses traitements de données personnelles en matière de gestion des ressources humaines. Il a été adopté à la suite d’une consultation publique.

Dans les limites de son champ d’application, il a vocation à remplacer les recommandations, dispenses, normes simplifiées et packs de conformité produits par la CNIL avant l’entrée en application du RGPD (notamment les dispenses de déclaration en matière de la gestion de paie, ainsi que la norme simplifiée NS 46 relative aux traitements de données dans le domaine RH).

Le référentiel n’est pas contraignant. Les responsables de traitement peuvent s’écarter de ses préconisations (par exemple, en appliquant des durées de conservation différentes de celles suggérées par le référentiel, en identifiant d’autres bases de traitement pour tel ou tel traitement spécifique, etc.), à condition toutefois de pouvoir justifier leur choix et sous leur responsabilité.

Qui est concerné ?

Le référentiel dont la portée est la plus générale possible, a vocation à s’appliquer aux relations de travail existant entre un employeur et son personnel, que cet employeur soit public ou privé.

La notion de « personnel » doit être comprise au sens large et couvre notamment tout type de contrats (CDI, CDD, alternance, contrats d’apprentissage, etc.).

Le référentiel n’a en revanche pas vocation à s’appliquer à certaines formes de relations de travail qui présentent des spécificités importantes telles que les activités des entreprises temporaires de travail ou encore le fonctionnement des instances représentatives du personnel.

Qu'est-ce qui change par rapport à la NS 46 ?

Le champ d’application du référentiel est plus large que celui de l’ancienne norme simplifiée car il couvre le processus de recrutement mais également la gestion de la paye.

Certaines règles de fond ont été précisées parmi lesquelles celles relatives à l’identification des bases légales susceptibles de fonder des traitements en matière RH, ou encore en matière de détermination des durées de conservation des données.

Enfin, ont été intégrées les nouvelles obligations en matière du processus de conformité, concernant notamment la tenue d’un registre des traitements ainsi que l’élaboration d’AIPD.

Dois-je informer les représentants du personnel ?

L’employeur doit, dans certaines situations, informer ou consulter les instances représentatives du personnel (IRP), particulièrement le Comité social et économique ou CSE. C’est par exemple le cas lors de la mise en place de nouvelles méthodes ou d’outils de recrutement des candidats, de contrôle et de surveillance des salariés, etc.

Ces obligations résultant du Code du travail ou des différents décrets de la fonction publique, la CNIL n’est pas compétente pour les interpréter.

Elle estime néanmoins que l’étroite implication des IRP dans la détermination des conditions de mise en œuvre des traitements de gestion du personnel  est une garantie supplémentaire de transparence, susceptible de faciliter l’exercice des droits conférés aux personnes concernées.

La CNIL recommande donc aux responsables de traitement d’associer ces instances, le plus en amont possible, aux différents projets d’introduction ou de modification de traitements de données relatifs au personnel.

Simplifiez votre quotidien

    Besoin d’aide ? Restons en contact !

    Contacter 4ES Expertise comptable salariés