Quelles sont les nouvelles obligations des employeurs avec le RGPD ?

L'une des grandes bases qu'apporte le RGPD est qu'il responsabilise l'employeur sur la mise en place de la protection des données. L'article 4 du RGPD informe que l'employeur est désormais considéré comme étant responsable du traitement des données qu'il reçoit. En effet, l'employeur doit pouvoir garantir une protection adaptée en fonction de sa gestion en mettant en place des outils qui permette à l'entreprise d'être conforme avec la réglementation sur la protection des données personnelles. C'est ainsi qu'est arrivée la notion de privacy by design, instituée à l'article 25, qui précise que l'employeur met en place les mesures à la fois techniques et organisationnelles nécessaires pour adapter aux critères de la RGPD comme la rectification ou la suppression des données.

Les obligations spécifiques de l'employeur

En plus de la responsabilité de mise en place de la protection des données, l'employeur doit aussi lancer une analyse d'impact concernant la protection des données récoltées par l'organisme. Cette analyse d'impact permettra de remplacer les déclarations et autorisations réalisées auprès de la Cnil selon le principe d'accountability. Elle devient obligatoire lorsqu'il y a un risque élevé concernant les droits et les libertés des salariés de l'entreprise. Pour calculer et évaluer ce risque, la Cnil met à disposition un logiciel spécifique gratuit pour l'analyse d'impact appelé PIA en complément de la série de critères à réunir pour l'analyse.

Parmi les obligations qu'a apporté le RGPD pour l'employeur, on retrouve la tenue d'un registre pour toute entreprise de plus de 250 employés ou pour celles de moins de 250 employés si le traitement des données pourrait avoir un risque pour les droits et libertés des personnes. C'est pourquoi l'obligation de registre se trouve presque généralisée à tous car les exceptions sont restreintes. Ce registre doit être mis à disposition de la Cnil qui doit pouvoir le consulter à tout moment. Il permet ainsi de réaliser la cartographie des traitements des données réalisés par l'entreprise. Si vous le souhaitez, vous pouvez vous appuyer du modèle de registre de traitement proposé sur le site de la Cnil.

Quels sont les risques ?

Si les données personnelles ne sont pas protégées correctement, l'employeur doit remettre une notification à la Cnil dans les 72 heures et à la personne concernée à moins que la violation des données comporte un risque pour les droits et libertés.

Généralement, une violation des données sera analysée comme étant accidentelle ou illicite. Elle peut se traduire par la perte, l'altération, la destruction ou encore la divulgation non autorisée de certaines données. A ce moment-là dès que l'employeur a connaissance de la violation des données, il doit lancer une procédure de notification dans les plus brefs délais.

Si les obligations de l'employeur n'étaient pas respectées et qu'en cas de violation, il ne lance pas la procédure de notification, la sanction peut être élevée conduisant à une amende administrative.

Qu'est-ce qui change pour les RH ?

Désormais, la DRH doit s'assurer de ne réunir que des données nécessaires c'est-à-dire adéquates, pertinentes et limitées. De fait, elle doit pouvoir justifier de la raison et de la pertinence de l'obtention de chaque donnée.

En effet, lors d'un recrutement certaines informations ne sont pas considérées comme étant pertinente pour la finalité du traitement de ces données comme par exemple la situation matrimoniale ou encore un numéro de sécurité sociale. C'est pourquoi nous vous recommandons d'actualiser également votre Système d'Information de Gestion des Ressources Humaines le SIRH pour répondre à l'ensemble des obligations posées par le RGPD.

Photos : Shutterstock