RGPD et ressources humaines : 7 réflexes pour une PME
Les données des salariés et des candidats sont des données personnelles. Voici sept réflexes simples pour mettre vos pratiques RH en conformité avec le RGPD.
1. Recenser vos traitements
Listez ce que vous faites des données RH : gestion du personnel, paie, recrutement, formation, entretiens, pointage. Ce recensement alimente le registre des activités de traitement, qu’une PME doit en pratique tenir dès lors que ces traitements ne sont pas occasionnels.
2. Définir une finalité et une base légale
Chaque traitement répond à un objectif précis et s’appuie sur une base légale : exécution du contrat de travail, obligation légale ou intérêt légitime. Le consentement est rarement une base valable dans la relation de travail, car le salarié n’est pas libre de refuser.
3. Ne collecter que le nécessaire
Chaque information demandée doit être utile à la finalité. Inutile de conserver des informations sans lien avec le poste ou particulièrement sensibles. Voir Dossier du personnel : contenu et durées de conservation.
4. Informer les personnes
Les salariés et les candidats doivent savoir quelles données sont collectées, pourquoi, pendant combien de temps, qui y accède et comment exercer leurs droits. Une note d’information remise à l’embauche et un paragraphe dans les annonces suffisent souvent.
5. Fixer des durées de conservation
Les données ne se conservent pas indéfiniment. Définissez une durée par catégorie et organisez la suppression ou l’archivage, en vous appuyant sur le référentiel de la CNIL pour les ressources humaines.
6. Sécuriser les accès et encadrer les prestataires
- Limitez les accès par profil : collaborateur, manager, RH.
- Protégez les comptes (mots de passe solides, double authentification si possible) et prévoyez des sauvegardes.
- Signez un contrat de sous-traitance avec vos prestataires (éditeur de SIRH, hébergeur, paie externalisée) et vérifiez où sont hébergées les données : voir Données RH : pourquoi un hébergement en France ?
- En cas de violation de données présentant un risque, une notification à la CNIL est nécessaire dans un délai de 72 heures.
7. Respecter les droits des personnes
Les salariés peuvent demander l’accès à leurs données, leur rectification et, dans certains cas, leur effacement. Préparez une procédure et un point de contact. Voir Un salarié demande l’accès à ses données : que faire ?
Et chez Maely ? Les données sont hébergées en France, à Paris, avec des sauvegardes hors-site. Les accès sont limités par profil et le collaborateur consulte son propre dossier. Le site que vous lisez n’utilise que des cookies techniques : voir la politique de confidentialité.
Cet article est une information générale et ne remplace pas un conseil juridique. Certains dispositifs (biométrie, surveillance systématique) imposent des démarches supplémentaires, comme une analyse d’impact : rapprochez-vous de votre délégué à la protection des données ou de la CNIL.
Rédigé par l’équipe Maely · mis à jour le · À propos de Maely
Sources officielles à consulter : Légifrance, Entreprendre Service-Public, Urssaf, CNIL.
Une erreur, une précision à apporter ? Écrivez-nous.