Mise en conformité RGPD en droit social

Sécurisez vos pratiques RH face aux exigences du RGPD

Le traitement des données personnelles des salariés est soumis au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. Ces textes imposent aux employeurs des obligations strictes en matière de collecte, conservation et utilisation des informations relatives à leur personnel.

Non-conformité rime avec risques : sanctions de la CNIL pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, contentieux prud'homal (les salariés peuvent exercer leur droit d'accès pour obtenir leurs données de connexion et réclamer le paiement d'heures supplémentaires), contestation de la recevabilité des preuves en justice et atteinte à la réputation de l'entreprise.

Auron Avocat propose un accompagnement spécialisé en RGPD appliqué au droit social : audit des pratiques RH, rédaction des mentions d'information et du registre des traitements, encadrement juridique des dispositifs de surveillance, gestion des demandes d'accès des salariés et défense en cas de litige. Pour les besoins de mise en conformité générale de l'entreprise, nous travaillons en partenariat avec des prestataires spécialisés.

Audit et mise en conformité RH

• Revue des traitements de données : recrutement (CV, entretiens, tests), gestion administrative (paie, absences, numéro de sécurité sociale), évaluation et développement des compétences
• Vérification des bases légales : exécution du contrat de travail, obligation légale, intérêt légitime de l'employeur
• Mise à jour du registre des traitements : documentation des finalités, catégories de données, durées de conservation et mesures de sécurité
• Analyse d'impact (AIPD) : évaluation des traitements à risque (profilage, surveillance systématique, données sensibles)

Documents et formalités obligatoires

• Mentions d'information : rédaction et actualisation des notices destinées aux candidats et salariés (transparence sur les finalités, destinataires et droits)
• Clauses contractuelles : intégration de dispositions relatives à la protection des données dans les contrats de travail et avenants
• Politiques internes : charte informatique, politique de confidentialité, règles d'usage des outils professionnels
• Encadrement des sous-traitants : clauses RGPD dans les contrats avec les prestataires RH (éditeurs de logiciels, gestionnaires de paie externalisée, hébergeurs)

Dispositifs de surveillance et contrôle

• Vidéosurveillance : encadrement juridique, proportionnalité, information des salariés, consultation du CSE, durée de conservation des images
• Géolocalisation : mise en conformité des dispositifs de suivi des véhicules et des salariés itinérants
• Contrôle des messageries et connexions : conditions de licéité, respect de la vie privée, procédure de contrôle
• Badgeuses et contrôle d'accès : finalités autorisées, durées de conservation, droits d'accès des salariés

Contentieux RGPD

• Défense devant la CNIL : réponse aux contrôles et mises en demeure, contestation des sanctions
• Litiges prud'homaux : défense en cas d'action fondée sur une atteinte à la vie privée ou sur l'exercice du droit d'accès, contestation de preuves obtenues en violation du RGPD
• Gestion des violations de données : notification à la CNIL dans les 72 heures, information des salariés concernés

Modifications apportées :

1. Ajout du numéro de sécurité sociale dans les données RH (les documents précisent son régime particulier).
2. Retrait du « consentement » parmi les bases légales : les documents indiquent que le consentement est rarement utilisable en matière RH compte tenu du déséquilibre des pouvoirs entre employeur et salarié. Les bases légales principales sont l'exécution du contrat, l'obligation légale et l'intérêt légitime.
3. Ajout de l'analyse d'impact (AIPD), obligation importante pour les traitements RH à risque selon les documents.
4. Ajout de l'encadrement des sous-traitants (article 28 du RGPD), point développé dans les documents.
5. Précision sur la durée de conservation des images de vidéosurveillance (un mois maximum selon les documents).
6. Ajout de la gestion des violations de données et du délai de 72 heures pour notification à la CNIL.
7. Précision sur le droit d'accès comme fondement d'action prud'homale (risque spécifiquement identifié dans les documents).