Interview d'un avocat sur les données RH #RGPD
Interview d'un avocat sur les données RH #RGPD
Sensible.
L’un des freins à l’analyse des données RH dans les entreprises est la sensibilité de celles-ci. Par leur nature, elles doivent être traitées avec rigueur par les bonnes personnes. En effet, les données d’absentéisme (congés maladie par exemple), de salaires ou des raisons de départ doivent etre accessibles et analysées par des personnes habilitées.
Pour vous aider à vous situer, j’ai interviewé des juristes et avocats en droit du travail du cabinet Capstan, Théodore Desgrées du Loû et Thomas Salome.
⚖️ INTERVIEW
1) Pourquoi les entreprises collectent des données personnelles de leurs salariés ?
Avant de comprendre pourquoi les employeurs sont amenés à collecter des données personnelles, il convient de définir ce qu’est une « donnée personnelle ».
C’est le droit européen au travers du Règlement européen sur la protection des données, dit « RGPD », qui nous apporte une définition :
« Toute information se rapportant à une personne physique identifiée ou identifiable notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »
Cette définition est extrêmement large et couvre un très grand nombre des éléments et données utiles aux services des ressources humaines pour accompagner les salariés dans toutes les étapes de la relation de travail.
Sans être exhaustif, l’employeur recueille et traite des données dans les situations suivantes :
- Le recrutement : à l’occasion du traitement des candidatures ou de la gestion des entretiens l’employeur est amené à collecter par exemple les CV, lettres de motivation, photographie, coordonnées, téléphone, email … des salariés ;
- La gestion administrative du personnel : la réalisation d'états statistiques ou de listes de salariés pour répondre à des besoins de gestion administrative, la gestion des annuaires internes et des organigrammes ;
- Le service paie : exemple : la déclaration sociale nominative, les bulletins de salaire, les coordonnées, les numéros de sécurité sociale, les RIB ;
- L’organisation du travail : exemple : la gestion des absences des salariés et la collecte des justificatifs médicaux, dans le cadre des congés légaux ou conventionnels comme les congés maternité, paternité, enfants malades, adoption ;
- Les rapports avec les instances représentatives du personnel : l’employeur qui organise des élections professionnelles doit vérifier les conditions de l’électorat des salariés (âge, ancienneté …).
- Le suivi des carrières et de la mobilité : exemple : suivi de l’évolution professionnelle, suivi des formations, gestion des compétences professionnelles où l’employeur peut être amené à collecter des données relatives à la situation de famille par exemple ;
Etc.
Le traitement de ces données n’a pas vocation à diminuer dans les années à venir. Bien au contraire, l’employeur fait face à une multiplication des contraintes du législateur le poussant à analyser ses effectifs pour rectifier des imperfections sociales.
2) Quelles sont les données qu’un employeur ne peut pas collecter ?
Selon le RGPD, il est interdit de collecter des données à caractère personnel dites « sensibles ».
Ce sont les données qui font apparaître directement ou indirectement :
- les origines raciales ou ethniques ;
- les opinions politiques, philosophiques ou religieuses ;
- l'appartenance syndicale des personnes ;
- les données génétiques ;
- les données biométriques ;
- les données relatives à la santé ;
- les donnée relatives à la vie sexuelle
- ou encore les données relatives aux infractions et condamnations qu’une personne a encourue.
Il n’existe pas en réalité d’interdiction stricte puisque le RGPD prévoit un certain nombre d’exception notamment lorsque le traitement de ces données est nécessaire à l’employeur pour respecter ses obligations ou encore lorsque le salarié a expressément consenti au traitement des données sensibles dans le cadre d’une finalités spécifiques.
L’autorisation de la collecte d’une donnée sensible dépend donc plus des fins de son utilisation.
3) Qui peut collecter ces données ? Une équipe technique interne peut-elle développer les tableaux de bord RH avec salaires, type de contrat, congés etc ?
L'employeur doit prendre toutes les mesures techniques et organisationnelles pour assurer la confidentialité des données à caractère personnel et éviter toute divulgation à des tiers non autorisés.
Ainsi, les données à caractère personnel ne doivent être consultées que par les personnes habilitées à y accéder en raison de leurs fonctions.
Le responsable du traitement doit déterminer et mettre en place les mesures techniques et organisationnelles nécessaires pour assurer la confidentialité des données personnelles des salariés afin d’éviter toute divulgation. La signature de clauses de confidentialité peut donc parfois s’avérer nécessaire.
👀 Notre analyse
C’est le débat Build vs Buy.
Dans une logique stratégique et légale, il est nécessaire de suivre et d’analyser vos indicateurs RH. La question : faut-il investir du temps et l’expertise de personnes en interne ou passer par un prestataire externe ?
Mon avis est biaisé. Cependant, au regard de l’interview, nous sommes de plus en plus convaincus qu’il est davantage sécurisé et moins coûteux de passer par un tiers de confiance (Reflect 👀) au lieu d’entamer de lourds processus internes.
Un DRH d’une scale-up me confiait d’ailleurs son malaise quant à faire signer des Non Disclosure Agreement (NDA) à ses équipes techniques pour développer ses tableaux de bord et indicateurs RH.
📚 Lectures que je recommande
Une étude très sérieuse (How Working from Home boosted Golf), menée par deux étudiants de Stanford, démontre que les golfs ont vu leurs réservations, aux horaires de bureau, bondir au moment du Covid. Les auteurs ont utilisé l’IA pour reconnaître les terrains de golf à travers les Etats-Unis, ont récupéré des données GPS et ont découvert que beaucoup, beaucoup de personnes étaient en fait… au golf. Le pic de 278 % a lieu à 16 heures le mercredi.
✌️ Bonus track
Début juin, j’interviewe Nathalie Sauvage, VP People de Homa Games, sur un thème très chaud, le benchmark. On va débattre sur les avantages et inconvénients d'accéder à des données (turnover, salaires, recrutement etc) de marché, pourquoi c'est intéressant, à qui se comparer, comment le faire etc.
Je cherche un/e autre intervenant DRH.
Cela t’intéresse ? Ca sera la semaine du 5 juin.
Léopold Adam
Cofounder & CEO @Reflect. Welcome to the Jungle, Homa Games ou Pennylane utilisent Reflect tous les jours prendre de meilleures décisions People. Tous vos KPIs People, à un seul endroit, en temps réel.