RGPD : RH, êtes-vous prêts ?
Mis à jour le 24/12/2021
Ce texte unique vient renforcer les dispositions en matière de protection des données personnelles et apporte également des obligations nouvelles pour les entreprises et in fine pour les professionnels RH.
Retrouvez sur cette page, l’ensemble des ressources mises à disposition par l’ANDRH et la CNIL pour vous préparer et être prêt dès aujourd’hui !
Les grands principes de la protection des données personnelles
Certains grands principes de la protection des données personnelles sont déjà en vigueur :
Une finalité déterminée, explicite et légitime
La collecte et le traitement d’une donnée personnelle doivent être créés pour un certain objectif qui doit être justifié et légitime, c’est-à-dire répondre à un besoin qui s’appréciera au regard des activités de l’organisme ou de ses obligations légales. Les informations collectées ne peuvent pas être utilisées pour un autre objectif que celui qui a été défini initialement (risque de détournement de finalité).
La pertinence et proportionnalité des données
Vous devez veiller à ce que les données collectées soient strictement nécessaires au regard de l’objet du traitement tout en vous interrogeant sur la proportionnalité du traitement envisagé qui peut être jugé disproportionné.
Une conservation limitée des données
Les données ne peuvent être conservées que pendant une durée limitée, définie en amont et en fonction de la finalité de chaque traitement. Cette durée varie selon les différents objectifs poursuivis.
Exemple : Les données issues d’un dispositif de contrôle par badge pour l’accès aux locaux et le contrôle des horaires pourront être conservées 3 mois s’agissant des informations relatives aux déplacements et 5 ans s’agissant des horaires (application du code du travail)
Une obligation de sécurité
Lorsque vous collectez et utilisez des données à caractère personnel, vous devez prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Le respect des droits des personnes (droit à l’information, droit d’opposition, droit d’obtenir communication de ses données et le droit de rectifier ses données)
Les nouvelles obligations apportées par le RGPD
- La désignation d’un délégué à la protection des données ou DPO (data protection officer), interne ou externe
- La tenue du registre des traitements (prise en compte du statut des microentreprises et des PME puisqu’elles peuvent bénéficier d’une dérogation)
- L’apport de la preuve du respect des exigences
- La responsabilisation des sous-traitants
- La réalisation d’analyses d’impact obligatoires
- La notification des failles de sécurité…
“ Avec le RGPD, toute nouvelle technologie qui traitera des données à caractère personnel devra intégrer, par défaut, le plus haut niveau possible de protection. ”
Liens utiles
Anne Doré (ADHEL & Clusif) : "Le RH a un rôle clé à jouer dans la cyber résilience"