Définition de règlement général sur la protection des données (rgpd)

Le règlement européen n° 2016/679, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, s’applique depuis le 25 mai 2018 en France comme dans tous les États membres, sans nécessité de transcription légale.

L’objectif principal est de renforcer le droit des personnes face au traitement de leurs données personnelles, (informatique ou non), notamment par la reconnaissance d’un droit à la portabilité des données et à la réparation des dommages matériels et moraux résultant du non-respect du règlement.

Plusieurs obligations trouvent leur traduction dans la gestion des salariés de l’entreprise depuis le 25 mai 2018.

Le responsable du traitement doit s’assurer de la pertinence des données collectées, notamment concernant les salariés, au regard de la nécessité du traitement qui en est fait.

Pour ce faire, un registre des données doit recenser toutes les données collectées ainsi que la nature, la motivation et les modalités des traitements réalisés. La mise en place et l’actualisation de ce registre sont obligatoires, notamment quand l’entreprise réalise des traitements de données de façon non occasionnelle. Il s’agit d’une obligation dans toutes les entreprises d’au moins 250 salariés.

Dans une délibération de la CNIL du 18 septembre 2023, une société a notamment été condamnée pour manquement au principe de minimisation des données à caractère personnel qui a conduit à porter atteinte à la vie privée des salariés et de tiers, en permettant la collecte d’informations relatives aux membres de leur famille.

L’objectif de ce recensement est de vérifier que seuls les traitements de données strictement nécessaires à l’activité de l’entreprise sont réalisés et que les droits des personnes sont respectés. Ces dernières doivent être informées de leur droit d’accès et de rectification des données les concernant. Elles disposent d’un droit à l’oubli et d’un droit à la portabilité de ces données.

Par ailleurs, lorsqu’un traitement risque de porter atteinte aux droits et aux libertés des salariés (mise en place d’un système de surveillance de leur activité), et/ou traite de données sensibles (données physiologiques), l’employeur doit mener une étude d’impact complète pour chaque traitement de données utilisé qui met en lumière les caractéristiques de ce traitement, les risques associés et les mesures prises.

Par ailleurs, un « délégué à la protection des données » doit être désigné dans les entreprises traitant à grande échelle de données récurrentes et/ou sensibles sur les salariés. Facultatif dans les autres structures, il est le garant de la conformité des traitements de l’entreprise au RGPD.

En conséquence de l’entrée en vigueur du RGPD le 25 mai 2018, de nombreuses formalités à accomplir auprès de la CNIL préalablement à la mise en place d’un traitement de données ont été supprimées. En contrepartie, la CNIL bénéficie de pouvoirs de contrôle et de sanction accrus.

Le non-respect du RGPD est sanctionné par des peines allant d’un simple avertissement à l’obligation d’effacer les données incriminées, ainsi que par des amendes administratives allant de 2 % à 4 % du chiffre d’affaires annuel réalisé par l’entreprise au niveau mondial.