Le référentiel relatif à la gestion des ressources humaines en questions

L’entrée en application du règlement général sur la protection des données (RGPD), le 25 mai 2018, a entrainé certaines évolutions de la règlementation Informatique et Libertés. C’est le cas des formalités préalables qui devaient être effectuées auprès de la CNIL avant la mise en place des traitements de données, qui ont pour l’essentiel disparu.

Ces formalités ont fait place à une logique de responsabilisation des acteurs, désormais responsables de leur conformité à tout moment auprès de l’autorité de régulation à l’appui de certains « outils » (registre des traitements, réalisation d’analyses d’impact relative à la protection des données, nomination des délégués à la protection des données, etc.).

Afin d’aider les employeurs dans leurs démarches de conformité, la CNIL a adopté ce nouveau référentiel qui recense et applique les principes du RGPD aux traitements de données, nombreuses et parfois sensibles, couramment mis en œuvre dans le cadre de la gestion du personnel.

Ce référentiel constitue un cadre de référence qui permet à un organisme de mettre en conformité ses traitements de données personnelles en matière de gestion des ressources humaines. Il a été adopté à la suite d’une consultation publique.

Dans les limites de son champ d’application, il a vocation à remplacer les recommandations, dispenses, normes simplifiées et packs de conformité produits par la CNIL avant l’entrée en application du RGPD (notamment les dispenses de déclaration en matière de la gestion de paie, ainsi que la norme simplifiée NS 46 relative aux traitements de données dans le domaine RH).

Le référentiel n’est pas contraignant. Les responsables de traitement peuvent s’écarter de ses préconisations (par exemple, en appliquant des durées de conservation différentes de celles suggérées par le référentiel, en identifiant d’autres bases de traitement pour tel ou tel traitement spécifique, etc.), à condition toutefois de pouvoir justifier leur choix et sous leur responsabilité.

Le référentiel dont la portée est la plus générale possible, a vocation à s’appliquer aux relations de travail existant entre un employeur et son personnel, que cet employeur soit public ou privé.

La notion de « personnel » doit être comprise au sens large et couvre notamment tout type de contrats (CDI, CDD, alternance, contrats d’apprentissage, etc.).

Le référentiel n’a en revanche pas vocation à s’appliquer à certaines formes de relations de travail qui présentent des spécificités importantes telles que les activités des entreprises temporaires de travail ou encore le fonctionnement des instances représentatives du personnel.

Cette formalité n’ayant plus de valeur juridique, il convient à l’organisme d’appliquer les nouvelles obligations portées par le RGPD qui s’appliquent à tous les traitements, anciens comme nouveaux. Elles nécessitent dès lors que le responsable de traitement prenne notamment les mesures suivantes :

• Recenser les traitements relatifs à la gestion du personnel mis en œuvre par l’organisme et vérifier l’existence de potentielles différences avec ceux prévus par le référentiel.
• Informer les personnes concernées dans les conditions prévues par le référentiel qui intègre les nouvelles mentions prévues par le RGPD. Pour plus d’informations, vous pouvez consulter la page dédiée sur le site de la CNIL ainsi que les lignes directrices du G29 sur la transparence.

Inscrire les traitements de gestion du personnel dans le registre des traitements prévu par le RGPD : vous pouvez pour ce faire vous aider des modèles proposés par la CNIL.

S’interroger sur le besoin de réaliser une analyse d’impact relative à la protection des données (AIPD) à l’appui du référentiel. La CNIL vous aide à mener à bien cette analyse au travers d’un outil gratuit et de guides pratiques.

Le champ d’application du référentiel est plus large que celui de l’ancienne norme simplifiée car il couvre le processus de recrutement mais également la gestion de la paye.

Certaines règles de fond ont été précisées parmi lesquelles celles relatives à l’identification des bases légales susceptibles de fonder des traitements en matière RH, ou encore en matière de détermination des durées de conservation des données.

Enfin, ont été intégrées les nouvelles obligations en matière du processus de conformité, concernant notamment la tenue d’un registre des traitements ainsi que l’élaboration d’AIPD.

L’employeur doit, dans certaines situations, informer ou consulter les instances représentatives du personnel (IRP), particulièrement le Comité social et économique ou CSE. C’est par exemple le cas lors de la mise en place de nouvelles méthodes ou d’outils de recrutement des candidats, de contrôle et de surveillance des salariés, etc.

Ces obligations résultant du Code du travail ou des différents décrets de la fonction publique, la CNIL n’est pas compétente pour les interpréter.

Elle estime néanmoins que l’étroite implication des IRP dans la détermination des conditions de mise en œuvre des traitements de gestion du personnel  est une garantie supplémentaire de transparence, susceptible de faciliter l’exercice des droits conférés aux personnes concernées.

La CNIL recommande donc aux responsables de traitement d’associer ces instances, le plus en amont possible, aux différents projets d’introduction ou de modification de traitements de données relatifs au personnel.