En tant quโemployeur, vous devez veiller ร informer vos salariรฉs de leurs droits en matiรจre de gestion de leurs donnรฉes personnelles, ce qui constitue une premiรจre รฉtape dans la gestion des droits de vos employรฉs. La seconde est de vous assurer de respecter ces droits en mettant en place en interne une procรฉdure permettant dโassurer la gestion de ces droits.
Comment informer mes salariรฉs de leurs droits ?
Quelle procรฉdure puis-je mettre en place pour gรฉrer au mieux lโexercice des droits de mes salariรฉs ?
Nous tรขcherons dโy rรฉpondre dans cet article en vous rappelant dโabord lโobligation dโinformation qui pรจse sur lโemployeur, prรฉrequis indispensable ร lโexercice des droits, puis en dรฉtaillant la procรฉdure gรฉnรฉrique dโexercice des droits qui peut, bien รฉvidemment, รชtre adaptรฉe par lโemployeur, sous rรฉserve de respecter les dispositions lรฉgales et rรฉglementaires.
Lโobligation dโinformation ร charge de lโemployeur
Lโinformation dans le contrat de travail
Pour quโun salariรฉ puisse exercer ces droits, encore faut-il quโil soit informรฉ de lโexistence de ces droits ! Pour cela, en tant quโemployeur, vous avez plusieurs mรฉthodes ร votre disposition.
En application des dispositions lรฉgales, dans le cadre des traitements RH, lโemployeur est tenu dโune obligation dโinformation ร lโรฉgard de ses salariรฉs avant la mise en ลuvre dโun traitement. Plus simplement, cela veut dire quโavant mรชme de traiter les donnรฉes dโun nouveau salariรฉ, celui-ci doit รชtre informรฉ des รฉlรฉments suivants :
- Quelles donnรฉes vont รชtre traitรฉes ?
- Pourquoi lโemployeur en a-t-il besoin ? ร quoi vont servir les donnรฉes ?
- Combien de temps vont-elles รชtre conservรฉes ?
- Quels sont mes droits concernant ces donnรฉes ?
- Qui a accรจs ร mes donnรฉes ? Qui est le responsable de traitement de mes donnรฉes ?
On parle dโune obligation dโinformation (conformรฉment aux articles 12, 13 et 14 du RGPD) qui doit donc figurer au contrat de travail du salariรฉ. Cette obligation dโinformation impose ร lโemployeur de faire figurer plusieurs mentions dans le contrat de travail du salariรฉ (vous pouvez retrouver la liste des mentions obligatoires ร lโarticle ยซย Comment rรฉdiger une clause RGPD dans le contrat de travailย ยป.).
Concernant lโexercice des droits, le contrat doit contenir les informations suivantes :
- La liste des droits : accรจs, rectificatif, effacement, opposition, portabilitรฉ, limitation et connaรฎtre le sort de ses donnรฉes aprรจs sa mort.
Exemple de formulation : ยซ Conformรฉment ร la loi ยซ Informatique et Libertรฉs ยป du 6 janvier 1978 modifiรฉe et au Rรจglement Gรฉnรฉral sur la Protection des Donnรฉes du 27 avril 2016, le Salariรฉ dispose du droit dโaccรฉder ร ses donnรฉes, de les rectifier, de faire effacer celles qui ne seraient plus valides, de sโopposer ร leur traitement, ainsi que dโun droit ร la portabilitรฉ des donnรฉes, ร la limitation des traitements et ร connaรฎtre le sort de ses donnรฉes aprรจs sa mort. ยป
- Le nom du responsable de traitement au sein de lโentreprise. Attention, cela ne peut pas รชtre un nom gรฉnรฉrique (ex : ยซ Service RH ยป) mais bien le nom dโune personne identifiรฉe.
- Lโadresse mail ou lโadresse postale ร laquelle exercer la demande.
- Le dรฉlai sous lequel lโentreprise rรฉpondra ร sa demande. Attention, le dรฉlai courant est dโun mois, vous pouvez aller jusquโร 3 mois en cas de demande complexe et/ou abusive et/ou rรฉpรฉtitive du salariรฉ.
Exemple de formulation : ยซย Le Salariรฉ peut consulter les donnรฉes le concernant et exercer ses droits par mail ร lโadresse (mail). Le responsable de traitement est (nom, prรฉnom). La Sociรฉtรฉ lui rรฉpondra dans un dรฉlai dโun mois maximum.ย ยป
๐ Enquรชte sur la BDESE 2024 : votre avis compte
ย ย ย Les Editions Tissot lancent pour la 3รจme annรฉe le baromรจtre de la BDESE, afin de dresser une situation rรฉaliste de son dรฉploiement dans les entreprises franรงaises. Votre contribution en tant que professionnel des Ressources Humaines est prรฉcieuse. Rรฉpondez ร l'enquรชte en tout juste 4 minutes :) Cette enquรชte vous est proposรฉe par notre partenaire Les Editions Tissot.
Je participeLes autres possibilitรฉs dโinformation
En dehors du contrat de travail, cette mention peut รชtre rappelรฉe au salariรฉ ร tout moment :
- Dans le rรจglement intรฉrieur de lโentreprise.
- Dans une charte informatique ou des bonnes pratiques du numรฉrique, applicable en interne.
- Dans une communication adressรฉe par lโemployeur ร ses salariรฉs.
- Par le biais dโune affichette dans les locaux.
- Etc.
ร lire รฉgalement :
- Parcours Professionnel : Comment accompagner vos salariรฉs ?
- Oralitรฉ en entreprise : comment mieux la maรฎtriser ?
- Quโest-ce quโun objectif SMART ? Comment le dรฉterminer ?
Traiter les demandes dโexercice des droits de mes salariรฉs
Rรฉpondre ร la demande
Aprรจs avoir informรฉ le salariรฉ, la seconde รฉtape sera bien รฉvidemment de rรฉpondre ร sa demande.
Pour cela, plusieurs รฉtapes sโimposent :
Vรฉrifier que la demande est complรจte
Par exemple, si un salariรฉ vous demande de supprimer ses donnรฉes en votre possession, mais quโil ne prรฉcise pas de quelles donnรฉes il parle (pour vous permettre de savoir sโil parle de donnรฉes de moindre importance, non nรฉcessaires ร lโexรฉcution du contrat de travail ou des donnรฉes importantes, comme son nom et prรฉnom, sans lesquelles vous ne pouvez pas gรฉrer votre relation de travail).
Vous รชtes donc en droit de demander des prรฉcisions ร votre employรฉ.
Analyser sa demande au regard du droit invoquรฉ
Nous lโavons vu plus haut, mais tous les droits ne donnent pas lieu aux mรชmes applications et restrictions selon le RGPD. Pour lโexercice de certains droits, vous รชtes en mesure de vous opposer ร la demande du salariรฉ. Pour dโautres, vous ne pourrez y dรฉroger.
Prenez le droit invoquรฉ par votre salariรฉ et analysez-le selon lโangle de la rรฉglementation applicable. Prenez conseil auprรจs de votre Dรฉlรฉguรฉ ร la Protection des Donnรฉes (DPO) ou de votre avocat conseil. Est-ce que ce droit est soumis ร des limitationsย ? Dans quels cas puis-je mโy opposerย ?
Le responsable de traitement peut ne pas donner suite ร une demande dans les cas suivants :
- Sโagissant du droit dโopposition, quand il existe des motifs lรฉgitimes et impรฉrieux pour le traitement qui prรฉvalent sur les intรฉrรชts ou les droits et libertรฉs de la personne concernรฉe ou pour la constatation, lโexercice ou la dรฉfense des droits en justice.
- Sโil peut dรฉmontrer quโil nโest pas en mesure dโidentifier la personne concernรฉe.
- Sโagissant du droit ร lโeffacement, quand leur mise en ลuvre porte atteinte ร lโexercice dโun droit individuel ou sโoppose ร un motif dโintรฉrรชt public.
- Sโagissant des droits dโaccรจs et ร la portabilitรฉ, quand la mise en ลuvre porte atteinte aux droits ou libertรฉs dโautrui (ex : secret des affaires, propriรฉtรฉ intellectuelle).
- Sโil peut dรฉmontrer que les demandes dโune personne sont manifestement infondรฉes ou excessives, notamment en raison de leur caractรจre rรฉpรฉtitif.
Dans chaque cas, mรชme pour un refus, lโemployeur doit avertir le salariรฉ sous un mois ร compter de la rรฉception de sa demande pour lui indiquer les motifs de son refus ou de son inactivitรฉ, ainsi que la possibilitรฉ dโintroduire une rรฉclamation auprรจs dโune autoritรฉ de contrรดle et de former un recours juridictionnel si nรฉcessaire.
Apportez une rรฉponse ร votre salariรฉ sous un mois
Deux cas de figure se posent ร vous :
- Soit, vous pouvez rรฉpondre immรฉdiatement ร la demande du salariรฉ, traitez lร donc sous le dรฉlai lรฉgal dโun mois.
- Soit, vous avez besoin de plus de temps, vous devez donc en informer votre salariรฉ sous le dรฉlai dโun mois. Et vous aurez jusquโร trois mois pour traiter sa demande. Attention cependant ! On ne peut pas abuser du dรฉlai de trois mois ร tout va. Ce dรฉlai est applicable que si la demande du salariรฉ est rรฉpรฉtitive, excessive ou manifestement complexe (ex : elle nรฉcessite une analyse lรฉgale profonde ou un changement complet du systรจme informatique).
Informez de ce droit vos sous-traitants concernรฉs
Quand un salariรฉ exerce un droit en application du RGPD, lโemployeur doit en informer tous les organismes ร qui il a transmis les donnรฉes en question (ex : un cabinet comptable qui traiterait des fiches de paie, un client qui รฉtait auparavant en contact avec ledit salariรฉ).
Cette communication doit impรฉrativement รชtre effectuรฉe ร moins quโelle ne se rรฉvรจle impossible ou nโexige des efforts disproportionnรฉs.
Mettre en place des process
La gestion des demandes dโexercice des droits peut sโavรฉrer soit pรฉrilleuse (Comment y rรฉpondre ? Comment sโassurer de bien respecter la loi ?) soit chronophage si elle nโest pas bien anticipรฉe.
Pour cela, nous vous recommandons de mettre en place en amont des process qui vous permettront de traiter les demandes de maniรจre efficace.
- Dรฉsignez une personne en charge du traitement des demandes.
Lorsquโun salariรฉ effectue une demande dโexercice des droits, il doit savoir ร qui lโadresser. Pour cela, pensez ร bien marquer lโidentitรฉ de la personne dans son contrat de travail (ou dans les autres communications adressรฉes par lโentreprise ou dans le rรจglement intรฉrieur).
Veillez ร ce que cette personne soit la mรชme pour lโensemble du personnel, quโelle soit bien formรฉe ร la gestion de ces demandes et attribuez-lui, pourquoi pas, une adresse รฉlectronique dรฉdiรฉe, pour lui permettre dโassurer un suivi des demandes (exย : donnรฉes@entreprise.com).
En rรจgle gรฉnรฉrale, cette personne sera le responsable de traitement au sein de lโentreprise.
- Mettez en place un formulaire dโexercice des droits.
Pour aller plus vite et รฉviter les nombreux allers-retours par mails entre le responsable de traitement et lโemployรฉ (si la demande est imprรฉcise), nous vous conseillons de mettre en place un formulaire type dโexercice des droits que le salariรฉ devra remplir et communiquer au responsable de traitement.
Ce formulaire permettrait ร ce dernier de traiter la demande bien plus rapidement. Il devra contenir : lโidentitรฉ du demandeur, la liste des droits quโil souhaite exercer, les donnรฉes concernรฉes et les รฉventuels motifs ร lโappui de sa demande.
- Accusez rรฉception des courriels ou demandes reรงus pour avoir toujours un suivi du traitement des demandes et notamment en cas de contrรดle.
- Traitez la demande en application du chapitre prรฉcรฉdent et en respectant les dรฉlais lรฉgaux.
- รcrivez une charte de bonne pratique ou un rรฉfรฉrentiel de gestion des demandes dโexercice des droits qui permettra ร votre responsable de traitement de connaรฎtre la procรฉdure et dโavoir toujours un guide auquel il pourra se rรฉfรฉrer pour traiter les demandes.
Pour permettre une bonne gestion de lโexercice des droits de vos employรฉs, nous vous recommandons donc vivement de faire appel ร votre Dรฉlรฉguรฉ ร la Protection des Donnรฉes (DPO) ou ร votre avocat spรฉcialisรฉ en droit des donnรฉes personnelles, qui sauront vous conseiller au mieux et vous รฉviter les impairsย !
ร lire รฉgalement :
- DRH : comment parler ร un DAF ?
- Externalisation des entretiens professionnels : solution miracle ?
- Offboarding RH : dรฉfinition, enjeux pour lโentreprise, processus รฉtape par รฉtapeโฆ