Depuis le 25 mai 2018, le règlement général relatif à la protection des données (RGPD 2016/679 du 27 avril 2016) est entré en vigueur. Ce règlement a pour objectif le respect des droits et libertés des individus et il concerne toutes les entreprises qui collectent, traitent et stockent des données personnelles.
Bien qu’il n’existe pas de dispositions particulières concernant l’application du RGPD en droit social, il appartient aux Etats membres de définir comment appliquer le règlement dans cette matière.
Les sanctions pour non conformité au RGPD sont sévères et deux ans après l’entrée en vigueur du règlement, beaucoup d’entreprises doivent encore se mettre à jour.
Les impacts pour les salariés d’une entreprise sont importants et les employeurs doivent être en conformité avec le RGPD sous peine d’encourir les sanctions prévues.
Les salariés en contrat de portage salarial sont aussi concernés. Qu’ils travaillent dans les locaux de leur entreprise cliente ou non ils partagent avec leur client des informations personnelles qui peuvent relever de la protection imposée par règlement.
Retour sur les obligations et les sanctions imposées par le RGPD.
Jusqu’en 2018, la CNIL jouait le rôle de conciliateur, ne sanctionnant que très rarement les organismes ne respectant pas le RGPD.
Aujourd’hui, le rôle de la CNIL se durcit et elle n’hésite plus à sanctionner sévèrement les entreprises qui ne respectent pas le RGPD. Parmi les entreprises sanctionnées, entre 2018 et 2024, citons :
Le règlement vise à protéger les données dites “personnelles” c’est – à – dire l’ensemble des informations permettant d’identifier une personne.
Cela concerne les éléments suivants :
Cette liste n’est pas exhaustive et beaucoup d’autres informations permettent de renseigner sur l’identité d’une personne telles que les adresses IP et Mac comme l’a rappelé la Cour de cassation en 2016 (Cass. 1e civ. 3 novembre 2016 n°15-22.595 FS-PB).
Ensuite, le règlement vise les données personnelles qui ont fait l’objet d’un traitement, c’est – à – dire : “ une opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé. Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions. Un traitement de données doit avoir un objectif, une finalité déterminée préalablement au recueil des données et à leur exploitation ” comme le définit la Commission Nationale de l’Informatique et des Libertés (CNIL).
Le traitement des données peut se faire par différents procédés à savoir : la collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement.
L’application du RGPD par l’employeur suppose que les salariés et salariés portés, soient parfaitement informés de l’usage qui est fait de leurs données personnelles comme le précisent les articles 13 et 14 du RGPD.
Aussi, l’employeur qui traite et collecte les données personnelles d’un salarié doit fournir au salarié au moment où les données sont obtenues, les informations concernant notamment :
A titre d’exemple, un salarié dont certaines données personnelles seraient collectées durant un entretien d’évaluation doit en avoir connaissance à ce moment précis ou au plus tard dans un délai d’un mois à compter de la collecte des informations.
Le RGPD énonce différents droits de la personne qui concernent les salariés et les salariés portés. Ces droits doivent être préservés par l’employeur.
Aussi, le RGPD prévoit le droit d’accès, le droit de rectification, ou le droit d’opposition et de suppression.
Récemment le RGPD a été complété par de nouveaux droits tendant à renforcer la protection de la vie privée des personnes. Aussi, le droit à l’oubli, le droit à la portabilité ou encore le droit à la limitation des traitements ont été précisés dans le règlement.
Le salarié ou le salarié porté peut donc obtenir de l’employeur ou l’entreprise cliente l’effacement des informations le concernant. En outre, les informations recueillies durant les phases de recrutement d’une entreprise doivent être supprimées sauf accord des candidats de les conserver pendant une durée limitée.
L’employeur est tenu de mettre en place différentes mesures afin de sécuriser les données personnelles des salariés. Parmi ces mesures, les mises à jour informatiques relatives aux anti – virus et logiciels de protection, et autres protections d’accès informatique sont visés.
Enfin, si une entreprise est victime d’une violation de données, elle doit le signaler à la CNIL dans les 72 heures et informer les personnes concernées.
En début d’année 2022, la CNIL considérait que Google Analytics n’était pas conforme au RGPD.
Rappelons que Google Analytics est une solution permettant d’obtenir des statistiques très détaillées sur la fréquentation de votre site internet. Google Analytics recueille des données essentielles telles que l’adresse IP, des données de géolocalisation, etc…qui sont transmises par Google aux États-Unis.
Pour la CNIL ces transferts sont illégaux et précise sur son site toutes les conséquences du transfert de ces données personnelles.
Un véritable coup de théâtre pour cet outil très populaire chez les entreprises de toute taille.
Face au risque de perte conséquente du nombre d’utilisateurs, Google a annoncé que la version posant des problèmes de conformité au RGPD laisserait place à une nouvelle version dès le 1er juillet 2023 : Google Analytics 4.
Les sites internet utilisant la version actuelle de Google Analytics, doivent donc être vigilants à utiliser la nouvelle version dès que cela sera possible.
La conformité au RGPD est aujourd’hui fondamentale car la période de transition tolérée par la CNIL est arrivée à son terme. Les sanctions prévues par le RGPD sont des amendes administratives sévères dont le montant est très dissuasif. En effet, les amendes s’élèvent de 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, à 2 % jusqu’à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Textes de référence :
SUIVEZ-NOUS
Remplissez le formulaire pour recevoir votre guide par email
