AgentPublic/service-public huggingface dataset:
Que doit faire l'employeur en cas de décès d'un salarié ?
Quelles sommes sont versées par l'employeur en cas de décès d'un salarié ?

L'employeur doit verser aux héritiers ou aux ayants droit les sommes acquises à la date du décès. Ces sommes peuvent être les suivantes :
- Salaires non encore payés
- Primes dues
- Éventuelle indemnité compensatrice de congés payés
- Éventuels droits épargnés dans le compte épargne temps
- Indemnité correspondant aux droits acquis en matière de contrepartie obligatoire en repos .
Par ailleurs, l'employeur doit verser une aide financière si un accord collectif, un usage d'entreprise ou un engagement unilatéral le prévoit. Les héritiers ou ayants droit peuvent demander le déblocage anticipé des droits en matière d' épargne salariale (participation aux résultats de l'entreprise, réserve spéciale ou plan d'épargne d'entreprise...). (À savoir: L'employeur doit verser l'indemnité de licenciement si le licenciement a été notifié avant le décès du salarié. Il doit verser l'indemnité spécifique de rupture conventionnelle si la rupture conventionnelle a été homologuée avant le décès du salarié.)
Obligations en matière de protection des données personnelles (RGPD)

Toute entreprise qui réalise un traitement de données (gestion de la paie, recrutement, fichier clients ou fournisseurs...) doit respecter le Règlement général sur la protection des données (RGPD) . Il s'applique à toute entreprise , quelle que soit sa taille et son secteur d'activité , dès lors qu'elle est établie sur le territoire de l’ Union européenne ou que son activité cible directement des résidents européens.

Voici une liste de différentes questions ou thématiques relatives à ce sujet :
- Traitement de données personnelles : définition
- Informer les personnes concernées
- Recueillir le consentement des personnes concernées
- Garantir les droits des personnes concernées
- Tenir un registre des traitements
- Assurer la sécurité des données personnelles
- Encadrer la sous-traitance
- Désigner un délégué à la protection des données (DPO)
- Réaliser une analyse d'impact
- Protéger les données en cas de transfert hors de l'UE
- Par courrier
- Par téléphone
- Par courriel
Obligations en matière de protection des données personnelles (RGPD)
Traitement de données personnelles : définition

Il est nécessaire de définir la notion de donnée personnelle pour comprendre ce que recouvre le traitement de données personnelles.
Obligations en matière de protection des données personnelles (RGPD)
Traitement de données personnelles : définition
Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle ou « donnée à caractère personnel » est une information se rapportant à une personne physique identifiée ou identifiable (ex : nom, prénom, numéro de sécurité sociale, adresse, numéro de téléphone, adresse mail, photo, empreinte, donnée de géolocalisation, adresse IP ou identifiant en ligne). Une personne est dite identifiée lorsque l'on connaît son identité. Une personne est identifiable lorsqu'elle peut être identifiée, quand bien même ses nom et prénom resteraient inconnus, à partir du croisement d'un ensemble de données (ex : une femme vivant à telle adresse, née tel jour et membre de telle association). (À noter: Peu importe que l'information soit publique ou confidentielle et peu importe le support sur lequel se trouve l'information (formulaire papier, clé USB, disque dur, caméra, etc.).)
En revanche, une donnée n'est plus personnelle lorsqu'elle est anonymisée, éliminant ainsi toute possibilité d'identifier la personne concernée. De même, une donnée n'est pas personnelle lorsqu'elle se rapporte à une personne morale (ex : une entreprise, une association). Exemple: L'adresse postale, le numéro de téléphone du standard ou une adresse mail générique (ex : « compagnie1[@]email.fr ») d'une entreprise ne sont pas des données personnelles.
Obligations en matière de protection des données personnelles (RGPD)
Traitement de données personnelles : définition
Qui est responsable du traitement ?

Le représentant légal de l'entreprise (chef d'entreprise, gérant, président...) est désigné « responsable du traitement ». Le responsable du traitement est la personne à l'initiative du traitement de données, il détermine ses finalités et ses moyens. Le plus souvent, le responsable de traitement a recours à un sous-traitant chargé de traiter les données pour le compte du responsable du traitement (ex : hébergement de données, maintenance informatique, service d’envoi de messages de prospection commerciale). Le responsable du traitement et son sous-traitant doivent respecter de nombreuses obligations en matière de protection des données personnelles.
Obligations en matière de protection des données personnelles (RGPD)
Informer les personnes concernées

Le responsable du traitement doit informer toute personne dont les données sont collectées. Cette obligation s'applique que la collecte soit directe (ex : données recueillies auprès de la personne dans un formulaire) ou indirecte (ex : données récupérées auprès de partenaires commerciaux, de data brokers ou de sources accessibles au public). L'information doit être délivrée au moment de la collecte (en cas de collecte directe) ou dans un délai raisonnable après avoir obtenu les données, sans dépasser 1 mois (en cas de collecte indirecte).
Obligations en matière de protection des données personnelles (RGPD)
Informer les personnes concernées
Quelles informations faut-il délivrer ?

Le responsable du traitement doit transmettre les informations suivantes :
- Identité et coordonnées du responsable du traitement
- Coordonnées du délégué à la protection des données (DPO), le cas échéant
- Finalité poursuivie par le traitement : c'est-à-dire à quoi vont servir les données personnelles collectées
- Base légale justifiant le traitement : il peut s'agir du consentement de la personne, du respect d'une obligation prévue par un texte de loi, de l'exécution d'un contrat, etc.
- Caractère obligatoire ou facultatif de la fourniture de données personnelles : les conséquences pour la personne en cas de non-fourniture des données
- Destinataires des données personnelles : qui va recevoir et accéder aux données (service interne compétent, prestataire, etc.)
- Durée de conservation des données personnelles
- Droits de la personne sur ses données : droit de refuser la collecte, droit d'accéder, de rectifier et d'effacer ses données
- Droit de la personne d'introduire une réclamation auprès de la Cnil
- Source d’où proviennent les données personnelles, en cas de collecte indirecte
- Existence d'un transfert des données personnelles vers un pays hors de l' Union européenne , le cas échéant.
Obligations en matière de protection des données personnelles (RGPD)
Informer les personnes concernées
Comment délivrer l'information ?

Les informations doivent être transmises de façon concise, transparente, compréhensible et facilement accessible, en des termes clairs et simples. Autrement dit, l’information doit être présentée de manière efficace et succincte pour ne pas être noyée parmi d’autres contenus informatifs. Exemple: Une entreprise ne respecte pas l'exigence d’accessibilité de l’information lorsqu'elle multiplie les pages à consulter, les liens présents dans les différentes pages et la redondance des informations. La forme de présentation doit tenir compte du support sur lequel est communiquée l’information. Par exemple, pour éviter des mentions trop longues au niveau d’un formulaire en ligne, le responsable du traitement peut donner un premier niveau d'information en fin de formulaire et renvoyer vers une page dédiée sur son site internet. Le titre de la page doit être clair, par exemple : « politique de confidentialité », « page vie privée » ou « données personnelles ». Cette page fait partie des mentions obligatoires sur un site internet. (À noter: La Cnil met à disposition de nombreux exemples de mentions d'information , applicables selon la situation (ex : vente en ligne, prospection commerciale, vidéosurveillance sur le lieu de travail,
Obligations en matière de protection des données personnelles (RGPD)
Informer les personnes concernées
Comment délivrer l'information ?

accès aux locaux professionnels par badge).)
Obligations en matière de protection des données personnelles (RGPD)
Informer les personnes concernées
Quelle sanction en l'absence d'information ?

Le fait de ne pas informer la personne auprès de laquelle sont recueillies des données est puni d'une amende pénale de 1 500 € pour les entrepreneurs individuels et 7 500 € pour les sociétés.
Obligations en matière de protection des données personnelles (RGPD)
Recueillir le consentement des personnes concernées

Le consentement correspond à toute manifestation de volonté par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. Le plus souvent, le responsable du traitement doit recueillir le consentement de la personne avant de mettre en œuvre le traitement de ses données personnelles.
Obligations en matière de protection des données personnelles (RGPD)
Recueillir le consentement des personnes concernées
Le recueil de consentement est-il toujours obligatoire ?

Le recueil du consentement est obligatoire, à moins que le traitement soit justifié par l'exécution d'un contrat (ex : contrat de travail, contrat de vente, de location). De plus, le recueil de consentement est toujours obligatoire dans les cas suivants :
- Collecte de données personnelles « sensibles » . Il s'agit d'une catégorie de données éminemment personnelles qui sont susceptibles de conduire à des discriminations si elles sont révélées (ex : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, orientation sexuelle, appartenance syndicale, données génétiques).
- Réutilisation des données pour d'autres finalités . Par exemple, un magasin de sport organise un concours et collecte les données des participants pour pouvoir contacter le gagnant (finalité initiale). Si le magasin décide, par la suite, d'utiliser ces données pour constituer un fichier client (nouvelle finalité), il devra de nouveau recueillir le consentement des personnes.
- Utilisation de cookies non essentiels au fonctionnement du service (ex : ciblage publicitaire). La Cnil a constitué un dossier sur les règles applicables à l’usage de cookies .
- Utilisation des données à des fins de prospection commerciale par voie électronique (ex : newsletter, sms). L'obligation de consentement s'éteint si la personne prospectée est déjà cliente de l'entreprise et que la prospection concerne des produits ou services similaires.
Obligations en matière de protection des données personnelles (RGPD)
Recueillir le consentement des personnes concernées
Comment recueillir un consentement valable ?

Pour être valable, le consentement obtenu doit remplir les 4 conditions suivantes :
- Le consentement doit être libre : il ne doit être ni contraint ni influencé. La personne concernée doit avoir véritablement le choix d'accepter ou de refuser le traitement, sans avoir à subir de conséquences négatives en cas de refus (ex : inaccessibilité du site internet). La personne doit également avoir le droit de retirer son consentement à tout moment, et aussi facilement qu'elle l'a donné.
- Le consentement doit être éclairé : avant de consentir, la personne concernée doit avoir reçu une information suffisante (identité du responsable du traitement, finalité du traitement, type de données collectées, droit de retirer le consentement et éventuel transfert des données hors UE) de manière à pouvoir décider en toute connaissance de cause. L'information doit être communiquée en des termes clairs et facilement compréhensibles.
- Le consentement doit être spécifique : si le traitement comporte plusieurs finalités (ex : gestion de clientèle, enquête de satisfaction, opération de prospection), la personne concernée doit pouvoir donner son consentement de façon indépendante pour l’une ou l’autre de ces finalités.
- Le consentement doit être univoque : il doit être donné par un acte délibéré, sans aucune ambiguïté. Il peut être recueilli, par exemple, au moyen d'une déclaration écrite ou orale ou via le cochage d'une case par voie électronique (ex : « J’accepte que mon adresse électronique soit réutilisée à des fins de prospection commerciale par courrier électronique ».
En revanche, l'utilisation de cases de consentement cochées par défaut est interdite. De plus, le silence de la personne concernée (ex : la personne visite le site internet sans accepter ou refuser les cookies) ne vaut pas consentement. (À noter: Le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement libre, éclairé, spécifique et univoque.)
Obligations en matière de protection des données personnelles (RGPD)
Recueillir le consentement des personnes concernées
Comment fonctionne le retrait du consentement ?

La personne concernée doit également avoir le droit de retirer son consentement à tout moment, et aussi facilement qu'elle l'a donné. Par exemple, lorsque le consentement est obtenu par voie électronique uniquement par un clic, une frappe ou en balayant l’écran, la personne concernée doit pouvoir retirer ce consentement de la même manière. Exemple: Le fait d'obliger la personne concernée à suivre un cheminement complexe via des liens vers des documents électroniques ou le fait de la contraindre à saisir un mot de passe ne respecte pas l'exigence de pouvoir retirer son consentement de manière aussi simple qu'on l'a donné. Lorsqu'une personne concernée retire son consentement, le responsable du traitement doit cesser tous les traitements qui se fondent sur celui-ci. Toutefois, les opérations réalisées sur la base d'un consentement donné valablement avant le retrait restent valables.
Obligations en matière de protection des données personnelles (RGPD)
Recueillir le consentement des personnes concernées
Quelle sanction en l'absence de consentement ?

Lorsque le recueil de consentement est obligatoire, le traitement de données personnelles obtenues sans le consentement de la personne concernée est puni pénalement de 5 ans d'emprisonnement et 300 000 € d'amende pour les entrepreneurs individuels et 1 500 000 € pour les sociétés.
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées

Le responsable du traitement doit garantir des droits aux personnes dont les données sont collectées : droit d'accès, droit de rectification, droit d'effacement, droit à la portabilité des données ainsi que le droit d'opposition au traitement.
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées
Droit d'accès aux données

Le responsable du traitement doit permettre, à la personne qui en fait la demande, d'accéder à ses données faisant l'objet d'un traitement. La personne concernée doit pouvoir exercer ce droit, par exemple, au moyen d'un formulaire en ligne, d'une messagerie ou d'un mail de contact. À cette occasion, le responsable doit lui fournir les informations suivantes :
- Finalité poursuivie par le traitement : c'est-à-dire à quoi vont servir les données personnelles collectées
- Destinataires des données personnelles : qui va recevoir et accéder aux données (service interne compétent, prestataire, etc.)
- Durée de conservation des données personnelles
- Droits de la personne sur ses données : droit de refuser le traitement, droit de rectifier et d'effacer ses données
- Droit de la personne d'introduire une réclamation auprès de la Cnil
- Source d’où proviennent les données personnelles, en cas de collecte indirecte
- Existence d'un transfert des données personnelles vers un pays hors de l' Union européenne , le cas échéant.
La personne concernée doit pouvoir accéder aux informations sur lesquelles le responsable du traitement s’est fondé pour prendre une décision la concernant. Par exemple, les éléments qui auraient servi à un employeur pour ne pas lui accorder une promotion ou le score attribué par une banque et qui a conduit au rejet d'une demande de crédit. Le responsable a 1 mois pour répondre à compter de la date de réception de la demande, y compris s'il ne dispose d’aucune donnée sur la personne qui exerce son droit d’accès. Les éléments doivent être communiqués gratuitement et de manière facilement compréhensible. Les codes, sigles et abréviations utilisés doivent être expliqués (éventuellement par le biais d’un lexique). Exemple: Le code « Segmentation : A+ » peut signifier que la personne concernée est considérée comme un client VIP. Le responsable du traitement peut refuser la demande d’accès à condition de motiver sa décision. Dans ce cas, il doit informer le demandeur des voies et délais de recours permettant de la contester. Il peut également ne pas répondre aux demandes manifestement abusives notamment en raison de leur nombre et de leur caractère répétitif ou systématique (ex : demande d’une copie intégrale d’un enregistrement toutes les semaines).
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées
Droit de rectification des données

Le responsable du traitement doit permettre, à la personne qui en fait la demande, de rectifier ses données inexactes dans les meilleurs délais. La personne concernée doit pouvoir compléter ses données incomplètes, y compris en fournissant une déclaration complémentaire.
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées
Droit à l'effacement des données (« droit à l'oubli »)

Le responsable du traitement doit permettre, à la personne qui en fait la demande, d'obtenir l'effacement de ses données dans les meilleurs délais. Ce « droit à l'oubli » n'est pas général, il s'applique uniquement dans les cas suivants :
- Les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière.
- La personne concernée retire le consentement sur lequel est fondé le traitement, et ce traitement n'est pas justifié par l'exécution d'un contrat (ex : contrat de vente, de location, de travail).
- La personne concernée s’oppose au traitement et il n’existe pas de motif légitime pour le traitement.
- Les données personnelles ont fait l’objet d’un traitement illicite (ex : le consentement de la personne n'a pas été reucueilli alors qu'il était obligatoire)
- Les données personnelles doivent être effacées pour respecter une obligation légale prévue par le droit de l’ UE ou par le droit de l’État membre auquel le responsable du traitement est soumis.
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées
Droit à la portabilité des données

Le responsable du traitement doit permettre, à la personne qui en fait la demande, de recevoir ses données et de les réutiliser, dans un délai raisonnable (entre 1 et 3 mois selon la complexité de la demande). Le droit à la portabilité s'applique aux données personnelles déclarées par la personne (ex : adresse mail, nom, âge) ainsi qu'à celles générées par son activité lorsqu'elle utilise un service ou un appareil (ex : achats enregistrés sur une carte de fidélité). En revanche, les données personnelles qui sont dérivées, calculées ou déduites à partir des données fournies par la personne concernée (ex : profilage à des fins publicitaires) ne rentrent pas dans le périmètre de ce droit. (À noter: Par ailleurs, ce droit concerne uniquement les données traitées à l'aide de procédés automatisés, ce qui exclut les données conservées sous format papier.)
Le responsable doit communiquer gratuitement les données dans un format structuré, couramment utilisé et lisible par ordinateur. Lorsque c’est techniquement possible, la personne peut demander à ce que ses données soient directement transmises à un autre responsable de traitement. Ce droit n’entraîne pas la suppression des données du service depuis lequel elles sont portées. De plus, il peut s’exercer à tout moment, y compris si la personne veut continuer à utiliser le service après avoir exercé ce droit. Exemple: Le droit à la portabilité peut être exercé dans de nombreuses situations, par exemple :
- Services de musique ou de vidéo à la demande (ex : listes de lecture, contenus téléchargés)
- Réseaux sociaux (ex : liste des messages et des interactions)
- Sites de e-commerce (ex : adresse, numéro de téléphone)
- Ouverture et gestion d’un compte bancaire (ex : numéro de téléphone, liste de transactions réalisées)
- Services de messagerie en ligne (ex : numéro de téléphone, adresse courriel de récupération)
La Cnil recommande fortement de mettre en place une procédure interne pour répondre aux demandes qui pourraient être reçues. Par exemple, prévoir une fonctionnalité permettant à la personne concernée de télécharger ses données dans un format standard lisible par un ordinateur (CSV, XML, JSON, etc.) directement depuis son compte/espace authentifié. Le responsable du traitement peut refuser la demande de portabilité à condition de motiver sa décision. Il peut également ne pas répondre aux demandes manifestement abusives notamment en raison de leur nombre et de leur caractère répétitif ou systématique.
Obligations en matière de protection des données personnelles (RGPD)
Garantir les droits des personnes concernées
Droit d'opposition au traitement

Le responsable du traitement doit permettre à la personne concernée de s'opposer à la réutilisation de ses données à des fins de sollicitations, notamment commerciales, lors d’une commande ou de la signature d’un contrat. Une case à cocher, non cochée par défaut, doit leur permettre d’exprimer leur choix directement sur le formulaire ou le bon de commande à remplir. La simple mention de l’existence de ce droit dans les conditions générales n’est pas suffisante. Le droit d'opposition peut être exercé par la personne seulement si le traitement est justifié par un intérêt légitime (ex : traitement mis en œuvre à des fins de prévention de la fraude ou visant à garantir la sécurité du réseau et des informations). Au contraire, si le traitement est justifié parce que la personne concernée a donné son consentement, celle-ci devra exercer son droit au retrait du consentement et pas son droit d'opposition.
Obligations en matière de protection des données personnelles (RGPD)
Tenir un registre des traitements

Le registre des activités de traitement permet de recenser les traitements de données et d'avoir d’une vue d’ensemble des utlisations de ces données personnelles.
Obligations en matière de protection des données personnelles (RGPD)
Tenir un registre des traitements
Qui est concerné par le registre ?

L’obligation de tenir un registre des traitements ne s'applique pas à toutes les entreprises, il est nécessaire de se référer à leur taille.
Cas Moins de 250 salariés: La tenue du registre est obligatoire lorsque l'entreprise procède à l'un des traitements suivants : 
- Traitement non occasionnel (ex : gestion de la paie, gestion des clients/prospects et des fournisseurs)
- Traitement susceptible de comporter un risque pour les droits et libertés des personnes (ex : systèmes de géolocalisation, de vidéosurveillance)
- Traitement portant sur des données sensibles ou des données relatives à des condamnations pénales .
 En cas de doute, la Cnil recommande d'’intégrer le traitement dans le registre.
Cas À partir de 250 salariés: Lorsque l'entreprise emploie au moins 250 salariés, la tenue d'un registre des traitements est obligatoire .
(À noter: Les sous-traitants doivent également tenir un registre de leurs activités impliquant le traitement de données.)