Référentiel relatif aux traitements de données ...

1 1 REFERENTIEL relatif AUX traitements DE DONNEES A CARACTERE PERSONNEL MIS EN UVRE AUX FINS de gestion DU PERSONNEL R F RENTIEL Adopt le 21 novembre 2019 2 1. A qui s adresse ce r f rentiel ? Ce r f rentiel s adresse aux organismes priv s ou publics, quelle que soit leur forme juridique, et encadre la mise en uvre de leurs traitements courants de gestion du personnel . Pour les besoins du pr sent r f rentiel, les termes personnes employ es , personnels effectifs , moyens humains ou ressources humaines , sont consid r s comme synonymes et d signent l ensemble des collaborateurs permanents ou temporaires de l employeur, quels que soient leur statut, leur type ou dur e de contrat, leur niveau de r mun ration.

2 Sont notamment couverts par les dispositions du pr sent r f rentiel les salari s, les agents de la fonction publique, les stagiaires, les vacataires, etc., faisant partie des effectifs de l organisme employeur. Les organismes mettant en place des traitements de gestion du personnel doivent s assurer de sa conformit : aux dispositions du R glement g n ral sur la protection des donn es (RGPD) ainsi qu celles de la loi du 6 janvier 1978 modifi e (LIL) ; l ensemble des autres r gles applicables telles que la l gislation du travail, les textes r gissant la fonction publique, les conventions collectives, etc. 2. Port e du r f rentiel Ce r f rentiel a pour objectif de fournir aux organismes publics et priv s mettant en uvre des traitements de gestion courante des ressources humaines (RH), un outil d aide la mise en conformit la r glementation relative la protection des donn es caract re personnel.

3 Il couvre les traitements mis en place couramment par les organismes-employeurs dans le cadre de la gestion de leur personnel. Il n a d s lors pas vocation s appliquer aux traitements mis en uvre notamment par les organisations syndicales, les instances repr sentatives du personnel, ou encore les services de m decine de travail. En raison de leur sensibilit , ce r f rentiel n a pas vocation encadrer : les traitements de gestion RH impliquant le recours des outils innovants tels que la psychom trie ( les techniques de quantifications des aspects de personnalit ), les traitements algorithmiques des fins notamment de profilage, ou encore les traitements dits de Big Data , qui seront trait s part ; les traitements ayant pour objet ou pour effet le contr le individuel de l activit des salari s.

4 Le respect de ce r f rentiel permet aux organismes de s assurer de la conformit des traitements de donn es mis en uvre dans ce cadre aux principes relatifs la protection des donn es. Les organismes qui s carteraient du r f rentiel au regard des conditions particuli res tenant leur situation doivent tre en mesure de justifier l existence d un tel besoin, puis prendre toutes les mesures appropri es m me de garantir la conformit des traitements la r glementation en mati re de protection des donn es caract re personnel. Le r f rentiel n a pas pour objet d interpr ter les r gles de droit autres que celles relatives la protection des donn es caract re personnel. Il appartient aux acteurs concern s de s assurer qu ils respectent les autres r glementations qui peuvent par ailleurs trouver s appliquer.

5 3 Ce r f rentiel constitue galement une aide la r alisation d une analyse d impact relative la protection des donn es (AIPD), dans le cas o celle-ci est n cessaire. Pour r aliser une tude d impact, le responsable de traitement pourra galement se reporter aux outils m thodologiques propos s par la CNIL sur son site web. Les organismes seront ainsi m me de d finir les mesures permettant d assurer la proportionnalit et la n cessit de leurs traitements (points 3 7), de garantir les droits des personnes (points 8 et 9) et la ma trise de leurs risques (point 10). cette fin, l organisme s appuiera sur les lignes directrices de la CNIL sur les AIPD. Si l organisme en a d sign un, le d l gu la protection des donn es (DPD/DPO) devra tre consult.

6 3. Objectif(s) poursuivi(s) par le traitement (Finalit s) Le traitement mis en uvre doit r pondre un objectif pr cis et tre justifi au regard des missions et des activit s de l organisme. Un traitement de gestion du personnel peut tre mis en uvre pour les finalit s suivantes : a) recrutement ; b) gestion administrative des personnels ; c) gestion des r mun rations et accomplissement des formalit s administratives aff rentes ; d) mise disposition du personnel d'outils professionnels ; e) organisation du travail ; f) suivi des carri res et de la mobilit ; g) formation ; h) tenue des registres obligatoires, rapports avec les instances repr sentatives du personnel ; i) communication interne ; j) gestion des aides sociales ; k) r alisation des audits, gestion du contentieux et du pr contentieux.

7 Les informations recueillies pour l une de ces finalit s ne peuvent pas tre r utilis es pour poursuivre un autre objectif qui serait incompatible avec la finalit initiale. Tout nouvel usage des donn es doit en effet respecter les principes de protection des donn es personnelles. Les traitements mis en uvre ne doivent pas donner lieu des interconnexions ou changes autres que ceux n cessaires l accomplissement des finalit s ci-dessus nonc es. 4. Base(s) l gale(s) du traitement Lorsqu'un traitement poursuit plusieurs finalit s, le responsable du traitement doit d terminer la base l gale la plus appropri e pour chacune d elles (art. du RGPD). 4 Il appartient au responsable de traitement de d terminer ces bases l gales avant toute op ration de traitement, apr s avoir men une r flexion, qu il pourra documenter, au regard de sa situation sp cifique et du contexte.

8 Ayant un impact sur l exercice de certains droits, ces bases l gales font partie des informations devant tre port es la connaissance des personnes concern es. Afin d aider les organismes dans cette analyse, le pr sent r f rentiel pr sente les diff rentes bases l gales applicables, puis propose, titre indicatif, un choix de base l gale pour chaque finalit dans un tableau. Aussi, les bases l gales les plus fr quemment mobilisables dans le contexte de gestion des ressources humaines, sont : le respect d une obligation l gale incombant l organisme, imposant la mise en uvre d un traitement entrant dans le cadre de la gestion du personnel (par ex. les obligations li es la d claration sociale nominative (DSN) ou encore la tenue d un registre unique du personnel) ; l ex cution, soit d un contrat auquel la personne concern e est partie, soit de mesures pr contractuelles prises sa demande ; A noter : un contrat conclu entre l employeur et un tiers (par ex.)

9 Un client ou un prestataire) ne peut pas en tant que tel constituer la base l gale d un traitement de donn es d une personne qui n y est pas elle-m me partie. la r alisation de l int r t l gitime poursuivi par l organisme ou par le destinataire des donn es, sous r serve de ne pas m conna tre l int r t ou les droits et libert s fondamentaux de la personne concern e ; l'ex cution d'une mission d'int r t public ou relevant de l'exercice de l'autorit publique dont est investi le responsable du traitement. Dans certains cas exceptionnels, les bases l gales suivantes peuvent galement tre invoqu es dans le contexte RH: le consentement libre, sp cifique, clair et univoque de la personne concern e. A noter : Les employ s ne sont que tr s rarement en mesure de donner, de refuser ou de r voquer librement leur consentement, tant donn la d pendance qui d coule de la relation employeur/employ.

10 Ils ne peuvent donner leur libre consentement que dans le cas o l acceptation ou le rejet d une proposition n entraine aucune cons quence sur leur situation. Exemples : les traitements effectu s dans le cadre des op rations de recrutement ne peuvent pas tre fond s sur le consentement des candidats, d s lors qu'un refus de leur part pourrait affecter leurs chances d obtenir un emploi (ou certains types d'emplois). A l inverse, l enregistrement d un clip promotionnel dans un espace de travail faisant apparaitre des employ s identifiables, peut tre fond sur leur consentement d s lors que les personnes concern es b n ficient d un choix d apparaitre ou non dans ces enregistrements, et condition que le choix r alis n ait aucun impact leur gard (notamment l gard des conditions de travail, de r mun ration, d avancement, etc.)