Obligation de transparence
Les salariés doivent être informés de la collecte et du traitement de leurs données personnelles. Plus précisément, l’employeur doit fournir notamment :
- - l’identité du responsable du traitement de données ;
- - les coordonnées du délégué à la protection des données (DPO) s’il existe
- - les objectifs de la collecte des données personnelles
- - la durée de conservation des données
- - les destinataires des données (en interne, prestataires externes ou fournisseurs)
- - l’existence d’un droit à réclamation du salarié.
Attention, il n’est pas pertinent d’inclure tous ces éléments dans le contrat de travail pour 2 raisons :
- - cela ne répond pas à l’obligation de transparence exigée
- - cela impliquerait de rédiger un avenant au contrat de travail à chaque modification !
Dans tous les cas, l’employeur doit conserver la preuve que le salarié a pleinement connaissance de la politique de confidentialité appliquée dans l’entreprise. Ce document doit être accessible en permanence. Pourtant, il ne convient pas de l'annexer au règlement intérieur de l’entreprise, dont la modification impose une procédure précise.
Protection des données des salariés en cas de cession de l’entreprise
Les données personnelles peuvent facilement être oubliées lors des discussions sur le rachat d’une entreprise. Les audits préalables réalisés par des cabinets d’experts doivent se conformer aux obligations du RGPD. Aussi, l’employeur doit anonymiser les listes de salariés.
Lorsque le contrat de travail est transféré à l’occasion d’un rachat, le salarié doit être informé que le nouvel employeur dispose désormais des données personnelles le concernant. Si cela peut paraître évident, l’obligation de transparence doit être à nouveau respectée par la nouvelle entreprise. Il faut donc à nouveau informer chaque salarié conformément au premier point de cet article.
Les sanctions prévues en cas de non-respect du RGPD sont sévères : l’employeur peut être condamné à une amende administrative d’un montant maximum de 20 millions d’euros ou 4 % du chiffre d’affaires mondial ainsi qu’à une peine d’emprisonnement de cinq ans.
Protection des données en cas de conflit avec un salarié
La plupart des conflits qui peuvent surgir entre un employeur et un salarié conduisent à diligenter une enquête ou à échanger des documents contenant des données personnelles, notamment avec les instances représentatives du personnel.
Aucune demande de pièces émanant du Comité économique et social (CSE) ou de tiers intervenant dans un litige relatif à un salarié ne peut violer les obligations du RGPD. Toutefois, cela ne peut servir de prétexte à un employeur qui refuserait de fournir les informations demandées. Certains tiers autorisés, comme l’administration fiscale ou les autorités judiciaires, ont un accès légitime aux données personnelles. Mais l’employeur doit évaluer si la demande d’un tiers autorisé répond bien à un fondement légal de communication de données. En outre, il doit s’assurer que la sécurité des données est pleinement assurée dans le cadre de cette communication.
La Cour de cassation a décidé à plusieurs reprises que l’employeur ne peut utiliser le RGPD pour s’opposer à la transmission d’un document auprès d’un expert du CSE. C’est très fréquemment le cas en cas de discrimination au travail. Pour établir la réalité de la discrimination, le salarié ou son avocat vont demander des informations personnelles sur les autres salariés, notamment leur progression salariale. Ces données personnelles ont vocation à être communiquées dans ce cadre.
Si vous faites face à un litige avec votre employeur, si la question des données personnelles de salariés est en jeu, prenez conseil auprès d’un avocat spécialisé en droit du travail. C’est le meilleur moyen d'obtenir des informations fiables concernant tous les aspects connexes au droit social.