AgentPublic/cnil huggingface dataset:
Après avoir entendu le rapport de M. Alexandre LINDEN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Adopte le référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel, qui sera publié au Journal officiel de la République française.
Annexe
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE AUX FINS DE GESTION DU PERSONNEL
Adopté le 21 novembre 2019
Modifié le 23 mai 2022
1. A qui s'adresse ce référentiel ?
Ce référentiel s'adresse aux organismes privés ou publics, quelle que soit leur forme juridique, et encadre la mise en œuvre de leurs traitements courants de gestion du personnel .
Pour les besoins du présent référentiel, les termes personnes employées , personnels effectifs , moyens humains ou ressources humaines , sont considérés comme synonymes et désignent l'ensemble des collaborateurs permanents ou temporaires de l'employeur, quels que soient leur statut, leur type ou durée de contrat, leur niveau de rémunération. Sont notamment couverts par les dispositions du présent référentiel les salariés, les agents de la fonction publique, les stagiaires, les vacataires, etc., faisant partie des effectifs de l'organisme employeur.
Les organismes mettant en place des traitements de gestion du personnel doivent s'assurer de sa conformité :
aux dispositions du Règlement général sur la protection des données (RGPD) ainsi qu'à celles de la loi du 6 janvier 1978 modifiée (LIL) ;
à l'ensemble des autres règles applicables telles que la législation du travail, les textes régissant la fonction publique, les conventions collectives, etc.
2. Portée du référentiel
Ce référentiel a pour objectif de fournir aux organismes publics et privés mettant en œuvre des traitements de gestion courante des ressources humaines (RH), un outil d'aide à la mise en conformité à la réglementation relative à la protection des données à caractère personnel.
Il couvre les traitements mis en place couramment par les organismes-employeurs dans le cadre de la gestion de leur personnel.
Il n'a dès lors pas vocation à s'appliquer aux traitements mis en œuvre notamment par les organisations syndicales, les instances représentatives du personnel, ou encore les services de médecine de travail.
En raison de leur sensibilité, ce référentiel n'a pas vocation à encadrer :
les traitements de gestion RH impliquant le recours à des outils innovants tels que la psychométrie (i.e. les techniques de quantifications des aspects de personnalité), les traitements algorithmiques à des fins notamment de profilage, ou encore les traitements dits de Big Data , qui seront traités à part ;
les traitements ayant pour objet ou pour effet le contrôle individuel de l'activité des salariés.
Le respect de ce référentiel permet aux organismes de s'assurer de la conformité des traitements de données mis en œuvre dans ce cadre aux principes relatifs à la protection des données.
Les organismes qui s'écarteraient du référentiel au regard des conditions particulières tenant à leur situation doivent être en mesure de justifier l'existence d'un tel besoin, puis prendre toutes les mesures appropriées à même de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel.
Le référentiel n'a pas pour objet d'interpréter les règles de droit autres que celles relatives à la protection des données à caractère personnel. Il appartient aux acteurs concernés de s'assurer qu'ils respectent les autres réglementations qui peuvent par ailleurs trouver à s'appliquer.
Ce référentiel constitue également une aide à la réalisation d'une analyse d'impact relative à la protection des données (AIPD), dans le cas où celle-ci est nécessaire.
Pour réaliser une étude d'impact, le responsable de traitement pourra également se reporter aux outils méthodologiques proposés par la CNIL sur son site web. Les organismes seront ainsi à même de définir les mesures permettant d'assurer la proportionnalité et la nécessité de leurs traitements (points 3 à 7), de garantir les droits des personnes (points 8 et 9) et la maîtrise de leurs risques (point 10). A cette fin, l'organisme s'appuiera sur les lignes directrices de la CNIL sur les AIPD. Si l'organisme en a désigné un, le délégué à la protection des données (DPD/DPO) devra être consulté.
3. Objectif(s) poursuivi(s) par le traitement (Finalités)
Le traitement mis en œuvre doit répondre à un objectif précis et être justifié au regard des missions et des activités de l'organisme.
Un traitement de gestion du personnel peut être mis en œuvre pour les finalités suivantes :
a) Gestion administrative des personnels ;
b) Gestion des rémunérations et accomplissement des formalités administratives afférentes ;
c) Mise à disposition du personnel d'outils professionnels ;
d) Organisation du travail ;
e) Suivi des carrières et de la mobilité ;
f) Formation ;
g) Tenue des registres obligatoires, rapports avec les instances représentatives du personnel ;
h) Communication interne ;
i) Gestion des aides sociales ;
j) Réalisation des audits, gestion du contentieux et du précontentieux.
Les informations recueillies pour l'une de ces finalités ne peuvent pas être réutilisées pour poursuivre un autre objectif qui serait incompatible avec la finalité initiale. Tout nouvel usage des données doit en effet respecter les principes de protection des données personnelles. Les traitements mis en œuvre ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l'accomplissement des finalités ci-dessus énoncées.
4. Base(s) légale(s) du traitement
Lorsqu'un traitement poursuit plusieurs finalités, le responsable du traitement doit déterminer la base légale la plus appropriée pour chacune d'elles (art. 6.1 du RGPD).
Il appartient au responsable de traitement de déterminer ces bases légales avant toute opération de traitement, après avoir mené une réflexion, qu'il pourra documenter, au regard de sa situation spécifique et du contexte.
Ayant un impact sur l'exercice de certains droits, ces bases légales font partie des informations devant être portées à la connaissance des personnes concernées.
Afin d'aider les organismes dans cette analyse, le présent référentiel présente les différentes bases légales applicables, puis propose, à titre indicatif, un choix de base légale pour chaque finalité dans un tableau.
Aussi, les bases légales les plus fréquemment mobilisables dans le contexte de gestion des ressources humaines, sont :
le respect d'une obligation légale incombant à l'organisme, imposant la mise en œuvre d'un traitement entrant dans le cadre de la gestion du personnel (par ex. les obligations liées à la déclaration sociale nominative (DSN) ou encore à la tenue d'un registre unique du personnel) ;
l'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à sa demande.
	A noter : un contrat conclu entre l'employeur et un tiers (par ex. un client ou un prestataire) ne peut pas en tant que tel constituer la base légale d'un traitement de données d'une personne qui n'y est pas elle-même partie.
la réalisation de l'intérêt légitime poursuivi par l'organisme ou par le destinataire des données, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée ;
l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.
Dans certains cas exceptionnels, les bases légales suivantes peuvent également être invoquées dans le contexte RH :
le consentement libre, spécifique, éclairé et univoque de la personne concernée.
A noter : Les employés ne sont que très rarement en mesure de donner, de refuser ou de révoquer librement leur consentement, étant donné la dépendance qui découle de la relation employeur/employé. Ils ne peuvent donner leur libre consentement que dans le cas où l'acceptation ou le rejet d'une proposition n'entraine aucune conséquence sur leur situation.
Exemple : l'enregistrement d'un clip promotionnel dans un espace de travail faisant apparaitre des employés identifiables, peut être fondé sur leur consentement dès lors que les personnes concernées bénéficient d'un choix d'apparaitre ou non dans ces enregistrements, et à condition que le choix réalisé n'ait aucun impact à leur égard (notamment à l'égard des conditions de travail, de rémunération, d'avancement, etc.).
Pour une étude d’ensemble des différentes bases légales, voir l’avis de l’ex-G29, devenu Comité Européen de la Protection de Données (CEPD) n° 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE.
Le tableau reproduit ci-dessous vise à apporter aux responsables de traitement des éléments concrets relatifs à l'identification de bases légales susceptibles d'être utilisées dans les cas les plus courants.
Bien entendu, ces éléments doivent être adoptés à la situation spécifique de chaque organisme concerné. Ainsi, par exemple, selon que l'organisme en question relève du secteur privé ou public, certains traitements répondant pourtant à la même finalité peuvent être fondés sur des bases légales différentes (intérêt légitime dans le secteur privé, exécution d'une mission d'intérêt public dans le secteur public).
Pour plus de conseils sur la méthode à suivre, vous pouvez également reporter à l’article La licéité du traitement : l’essentiel sur les bases légales prévues par le RGPD , publié sur le site de la CNIL.
Activités de traitement
Finalités
Bases légales envisageables
(sous réserve de choix différents justifiés par un contexte spécifique)
Gestion administres connaissances et des formations. de gestion administrative.ssés.tions législatives et réglementaires, ainsi qu'ative du personnel
Gestion du dossier professionnel des employés, tenu conformément aux dispositions législatives et réglementaires, ainsi qu’aux dispositions statutaires, conventionnelles ou contractuelles qui régissent les intéressés.
- Exécution du contrat
Réalisation d’états statistiques ou de listes d’employés pour répondre à des besoins de gestion administrative.
- Intérêt légitime
Gestion des annuaires internes et des organigrammes.
- Intérêt légitime
Gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement.
- Intérêt légitime
Gestion des élections professionnelles.
- Obligation légale
Organisation des réunions des instances représentatives du personnel.
- Obligation légale
Gestion des rémunérations et accomplissement des formalités administratives
Etablissement des rémunérations, mise à disposition des bulletins de salaire
- Exécution du contrat
Déclaration sociale nominative.
- Obligation légale
Mise à disposition des personnels d'outils informatiques
Suivi et maintenance du parc informatique.
- Intérêt légitime
Gestion des annuaires informatiques permettant de définir les autorisations d'accès aux applications et aux réseaux.
- Intérêt légitime
Mise en œuvre de dispositifs destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux.
- Intérêt légitime
Gestion de la messagerie électronique professionnelle.
- Intérêt légitime
Réseaux privés virtuels internes à l'organisme permettant la diffusion ou la collecte de données de gestion administrative des personnels (intranet).
- Intérêt légitime
Organisation du travail
Gestion des agendas et projets professionnels.
- Intérêt légitime
Suivi des carrières et de la mobilité
Evaluation professionnelle des personnels, dans le respect des dispositions législatives, réglementaires ou conventionnelles qui la régissent.
- Intérêt légitime
Gestion des compétences professionnelles internes.
- Intérêt légitime
Gestion prévisionnelle de l’emploi et des compétences (GPEC)
- Intérêt légitime
Gestion de la mobilité professionnelle.
- Exécution du contrat
Formation
Gestion des demandes de formation et des périodes de formation effectuées.
- Exécution du contrat
Organisation des sessions de formation et évaluation des connaissances et des formations.
-
- Intérêt légitime
Gestion des aides sociales
Gestion de l'action sociale et culturelle directement mise en œuvre par l'employeur, à l'exclusion des activités de médecine du travail, de service social ou de soutien psychologique.
- Intérêt légitime
5. Données personnelles concernées
Dans un souci de minimisation des données personnelles traitées, l'organisme doit veiller à ne collecter et n'utiliser que les données pertinentes et strictement nécessaires au regard de ses propres besoins de gestion du personnel. Il peut s'agir de données relatives :
a) A l'identification de l'employé ;
b) Au suivi de carrière et de la formation de l'employé ;
c) A l'établissement de la fiche de paie et aux obligations légales connexes (notamment, dans le cadre du prélèvement à la source, le taux d'imposition) ;
d) A la validation des acquis de l'expérience ;
e) A la gestion des déclarations d'accident du travail et de maladie professionnelle, à la gestion des arrêts de travail et autres cas d'absences autorisées et au suivi des visites médicales de l'employé ;
f) Aux sujétions ou situations particulières ouvrant droit à congés spéciaux ou à un crédit d'heures de délégation ;
g) Aux outils et matériels professionnels mis à la disposition de l'employé dans le cadre de ses missions (i.e. cartes de paiement, dotation en matériel informatique, etc.) ;
h) A la gestion des activités sociales et culturelles mises en œuvre par l'employeur ;
i) Aux élections professionnelles et réunions des instances représentatives du personnel ;
j) A la lutte contre la discrimination, à l'obligation d'emploi résultant des articles L. 5212-2 et suivants du code du travail, etc.
De manière générale, l'employeur ne doit collecter que les données dont il a réellement besoin, et ne doit le faire qu'à partir du moment où ce besoin se concrétise.
Exemple 1 : lors de la conclusion d'un contrat de travail, l'employeur a l'obligation d'accomplir certaines formalités déclaratives qui requièrent le traitement du numéro de sécurité sociale (NIR) des salariés. Si cette utilisation est alors justifiée, elle ne saurait être demandée à un candidat avant la validation définitive de sa candidature.
Exemple 2 : les informations pouvant être demandées à un candidat à l'embauche, doivent présenter un lien direct avec l'appréciation de ses qualités et compétences professionnelles, et ne doivent donc pas porter sur la composition de sa famille, sur des informations relatives à ses proches, etc. En revanche, lorsqu'un salarié en poste demande à bénéficier d'un congé spécifique pour le décès ou l'accompagnement de grave maladie d'un proche, l'employeur peut exiger la production de documents établissant la réalité des situations invoquées.
Attention : les données, dont le traitement est justifié pour une finalité déterminée, ne peuvent être réutilisées à d'autres fins que si cette utilisation est elle-même légalement justifiée.
Par ailleurs, certaines catégories de données appellent une vigilance renforcée en raison de leur caractère particulièrement sensible. Bénéficiant d'une protection particulière, elles ne peuvent être collectées et traitées que dans des conditions strictement définies par les textes.
Il s'agit notamment :
du numéro de sécurité sociale ;
des données relatives aux infractions, condamnations pénales et mesures de sûreté connexes.
Exemple : à la suite d'un accident du travail concernant l'un de ses salariés, l'employeur remplit une déclaration d'accident du travail dans laquelle il doit indiquer la nature et le siège des lésions de la victime. Or, ces données sont relatives à l'état de santé de l'employé et constituent de ce fait des données sensibles. Leur traitement est donc en principe interdit en vertu de l'article 9.1 du RGPD.
Toutefois, l'employeur bénéficie d'une exception pour les traiter sur le fondement de l'article 9-2-b du RGPD ( le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale […]).
Dans certains cas très limités :
des données sensibles (article 9 du RGPD, articles 6 et 44 de la LIL), c'est-à-dire celles qui révèlent l'origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne, les données génétiques, les données biométriques, les données concernant la santé ou celles concernant la vie sexuelle ou l'orientation sexuelle d'une personne.
Un tableau reproduit ci-dessous recense des données pouvant être collectées et traitées selon les finalités du traitement.
Catégories de données
Exemples de données
Identification de l’employé
Données relatives à l’identité : nom, prénom, photographie (facultatif), sexe, date et lieu de naissance, nationalité, coordonnées professionnelles, coordonnées personnelles (facultatif), références du passeport (uniquement pour les personnels amenés à se déplacer à l'étranger), situation familiale, situation matrimoniale, enfants à charge, type de permis de conduire détenu par l’employé.
Données relatives à la situation professionnelle : lieu de travail, numéro d'identification interne, date d'entrée dans l'entreprise, ancienneté, emploi occupé et coefficient hiérarchique, section comptable, nature du contrat de travail, taux d'invalidité, reconnaissance de la qualité de travailleur handicapé (RQTH), autres catégories de bénéficiaires de la loi n° 87-517 du 10 juillet 1987 (invalide pensionné, mutilé de guerre, assimilé mutilé de guerre).
Données relatives au titre valant autorisation de travail : type, numéro d'ordre et copie du titre pour les employés étrangers en application de l'article R. 620-3 du code du travail.
Coordonnées des personnes à prévenir en cas d'urgence.
Distinctions honorifiques.
Suivi de la carrière et de la formation de l’employé
Gestion de la carrière de l'employé : date et conditions de recrutement, date, objet et motif des modifications apportées à la situation professionnelle de l'employé, simulation de carrière, desiderata de l'employé en termes d'emploi, sanctions disciplinaires à l'exclusion de celles consécutives à des faits amnistiés.
Evaluation professionnelle de l'employé : dates des entretiens d'évaluation, identité de l'évaluateur, compétences professionnelles de l'employé, objectifs assignés, résultats obtenus, appréciation des aptitudes professionnelles sur la base de critères objectifs et présentant un lien direct et nécessaire avec l'emploi occupé, observations et souhaits formulés par l'employé, prévisions d'évolution de carrière.
Formation : diplômes, certificats et attestations, langues étrangères pratiquées, suivi des demandes de formation professionnelle et des périodes de formation effectuées, organisation des sessions de formation, évaluation des connaissances et des formations.
Suivi administratif des visites médicales des employés : dates des visites, aptitude au poste de travail (apte ou inapte, propositions d'adaptation du poste de travail ou d'affectation à un autre poste de travail formulées par le médecin du travail).
Etablissement des fiches de paie et obligations légales connexes
Numéro de sécurité sociale dans les conditions fixées par le décret n° 2019-341 du 19 avril 2019 ou par l'article L. 444-5 du code du travail, numéros attribués par les organismes d'assurances sociales, de retraite et de prévoyance, situation familiale, situation matrimoniale, enfants à charge, régime et base de calcul de la rémunération, éléments déterminant l'attribution d'un complément de rémunération, congés et absences donnant lieu à retenues déductibles ou indemnisables, ainsi que toute retenue légalement opérée par l'employeur, frais professionnels, taux de prélèvement à la source, données transmises via la Déclaration sociale nominative.
Validation des acquis de l’expérience
Date de la demande de validation, diplôme, titre ou certificat de qualification concerné, expériences professionnelles soumises à validation, validation (oui/non), date de la décision.
Gestion des déclarations d'accident du travail et de maladie, autres absences
Coordonnées du médecin du travail, date de l'accident ou de la première constatation médicale de la maladie, date du dernier jour de travail, date de reprise, motif de l'arrêt (accident du travail ou maladie professionnelle), travail non repris à ce jour et autres éléments nécessaires auxdites déclarations.
Sujétions particulières ouvrant droit à congés spéciaux ou à un crédit d'heures de délégation
Données relatives à l’exercice d'un mandat électif ou représentatif syndical, la participation à la réserve opérationnelle ou aux missions de sapeur-pompier volontaire.
Outils et matériel mis à la disposition de l’employé dans le cadre de ses missions professionnelles
Annuaires internes et organigrammes : nom, prénom, photographie (facultatif), fonction, coordonnées professionnelles, le cas échéant, formation et réalisations professionnelles.
Agendas professionnels : dates, lieux et heures des rendez-vous professionnels, objet, personnes présentes.
Tâches des personnels : identification des personnels concernés, répartition des tâches.
Gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement : gestion des demandes, nature de la dotation, dates de dotation, de maintenance et de retrait, affectations budgétaires.
Annuaires informatiques permettant de définir les autorisations d'accès aux applications et aux réseaux.
Données de connexion enregistrées pour assurer la sécurité et le bon fonctionnement des applications et des réseaux informatiques, à l'exclusion de tout traitement permettant le contrôle individuel de l'activité des employés.
Messagerie électronique : carnet d'adresses, comptes individuels, à l'exclusion de toute donnée relative au contrôle individuel des communications électroniques émises ou reçues par les employés.
Réseaux privés virtuels de diffusion ou de collecte de données de gestion administrative des personnels (intranet) : formulaires administratifs internes, organigrammes, espaces de discussion, espaces d'information.
Activités sociales et mises en œuvre par l’employeur
Identité de l'employé et de ses ayants droit ou ouvrants droit, revenus, avantages et prestations demandés et servis.
Relations avec les instances représentatives de personnel
Convocations, documents préparatoires, comptes rendus, procès-verbaux divers.
Après s'être assuré de la nécessité et de la pertinence des données personnelles qu'il traite, l'organisme doit par ailleurs s'assurer, tout au long de la durée de vie du traitement, de la qualité de ces données qui doivent être exactes et mises à jour.
6. Destinataires des données
Les données personnelles doivent uniquement être rendues accessibles aux personnes habilitées à en connaitre au regard de leurs attributions.
Les habilitations d'accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l'objet de mesures de traçabilité (cf. point relatif à la sécurité).