Gestion des contrats, de la paie, de la mutuelle et de la prévoyance, sourcing de talents… Les situations conduisant les employeurs à recueillir des données personnelles sont nombreuses. Lorsqu’elles se dotent de solutions digitales, les entreprises sont tenues de garantir la sécurité du traitement et du stockage des données des candidats et des salariés. Comment s’assurer de la sécurisation des données collectées ?
Que prévoit le règlement RGPD sur le stockage et le traitement des données personnelles ?
Le Règlement européen sur la protection des données (RGPD), s’inscrit dans la continuité de la Loi française Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant. Le règlement renforce aussi la responsabilité des acteurs traitant des données personnelles. Tous les professionnels sont tenus au respect de ces règles.
Les données à caractère personnel recouvrent toutes les informations liées à la personne :
-
- Le nom et le prénom,
- L’adresse postale, le numéro de téléphone et l’adresse e-mail,
- La date de naissance,
- Le numéro de Sécurité sociale,
- Les diplômes et formations,
- Les expériences professionnelles,
- Les données biométriques, etc.
Le traitement des données personnelles vise « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel » (art. 4 du Règlement). Il peut donc s’agir de :
-
- Tenir un fichier des candidats /salariés,
- Collecter les données des candidats via un formulaire,
- Éditer un contrat ou un bulletin de paie,
- …
La collecte des données personnelles doit obligatoirement répondre à un objectif précis. Vous êtes autorisé à collecter uniquement les données qui sont nécessaires à votre activité. Vous pouvez donc légitimement recueillir toutes les informations qui vous sont indispensables afin de vérifier les compétences et diplômes, rédiger le contrat de travail, éditer le bulletin de paie, etc.
Il vous est en revanche interdit de recueillir des données qui ne rempliraient pas les objectifs de votre société, comme par exemple l’appartenance syndicale, l’orientation sexuelle, la religion, les relevés bancaires, les habitudes alimentaires, etc.
Le RGPD impose également de recueillir le consentement des personnes concernées pour le recueil et le traitement de leurs données personnelles. Elles doivent donner leur accord explicite pour l’utilisation des données par les employeurs et leurs prestataires de solutions digitales. Les employeurs sont aussi tenus d’informer les candidats et salariés quant à l’usage de leurs données et de leur droit à demander la consultation, la rectification ou la suppression.
Quelles sont les obligations des sociétés sur le stockage des données des salariés ?
La protection des données personnelles implique plusieurs actions à charge des sociétés, parmi lesquelles :
-
- La désignation d’un DPO (Data Protection Officer) : elle n’est pas obligatoire, mais vivement encouragée par la CNIL. Le DPO a pour mission de veiller à la conformité de l’ensemble des traitements de données mis en œuvre par l’entreprise.
- La suppression des données est obligatoire lorsqu’un candidat ou salarié en fait la demande. Plus largement, sur simple demande, les personnes concernées doivent pouvoir obtenir la consultation, la modification, la suppression et/ou le transfert de leurs données.
- La conservation des données : les employeurs conservent les données personnelles des salariés tant qu’ils sont présents dans l’entreprise. Une fois le travailleur sorti des effectifs, la société ne peut conserver que certaines informations. En revanche, elle est tenue à la conservation des bulletins de salaire pendant 5 ans après le départ du salarié.
Quelles sont les mesures à mettre en place avec le fournisseur de solution digitale pour sécuriser les données personnelles des salariés ?
Au regard de l’article 28 du RGPD, le fournisseur de solution digitale est considéré comme un sous-traitant de l’employeur. Ce dernier est alors tenu de :
-
- S’assurer que son fournisseur présente des garanties suffisantes (connaissances, fiabilité, ressources), et mène une politique de sécurité des systèmes d’information adéquate.
- Conclure un contrat avec son fournisseur, qui détermine précisément l’objet, la durée et la finalité du traitement des données. Ce contrat détaillera aussi les obligations en matière de confidentialité des données personnelles, de contraintes minimales en matière d’authentification des utilisateurs, de restitution et/ou destruction des données et de gestion des incidents.
Coffreo offre l’archivage des documents dans un coffre-fort sécurisé. Pour cela, elle respecte plusieurs obligations, notamment l’obligation de confidentialité et la durée de conservation.
Nous mettons en œuvre toutes les mesures de protection afin de garantir la protection des données personnelles, par exemple :
-
- Désigner un DPO pour nos deux établissements (Coffreo GmbH et Coffreo SAS),
- Instaurer une procédure en cas de violation de données personnelles,
- Mettre en place des mesures techniques et organisationnelles spécifiques,
- Tenir un registre des traitements,
- Respecter une politique de protection des données,
- Conclure un accord de confidentialité avec ses salariés,
- Établir les contrats de sous-traitance conformément à l’article 28 du RGPD.
Coffreo, soucieuse de la protection des données personnelles des salariés, respecte toutes les obligations en matière de sécurité des données. Vous souhaitez bénéficier d’une solution simple, performante et sécurisée pour votre entreprise ? Demandez une démo de Coffreo !