Le règlement général à la protection des données : comment s’en saisir !

L’objectif du RGPD est d’être le nouveau texte de référence dans l’Union européenne au sujet des données personnelles, en remplaçant une directive datant de 1995. Une réforme de la législation européenne apparaissait nécessaire au regard de sa relative vétusté, accentuée par l’explosion du numérique et l’apparition de nouveaux usages et la mise en place de nouveaux modèles économiques.
Il s’agissait aussi d’harmoniser le panorama juridique européen en matière de protection des données personnelles, afin qu’il n’y ait qu’un seul et même cadre qui s’applique parmi l’ensemble des États membres
La mise en place de cette harmonisation et sa rapidité s’explique notamment par la multiplication des contentieux liés aux réseaux sociaux et aux moteurs de recherche qui sont dépositaires de beaucoup de données personnelles. S’agissant des données dites « sociales », les contentieux ne manquent également pas.
Ainsi, toute entité manipulant des données personnelles concernant des Européens doit se conformer à la RGPD, qu’il s’agisse d’une entreprise, d’un sous -traitant ou même d’une association. La taille de l’entreprise, son secteur d’activité ou son caractère public ou privé n’entre donc pas en ligne de compte.
Vous l’avez compris, cette nouvelle réglementation touche notamment les données personnelles des salariés de votre entreprise et c’est justement sur ce point que les élus ont un rôle important à jouer.

Le rôle des élus

Tout d’abord, la loi impose à l’employeur d’informer et de consulter préalablement le CE et le CHSCT (ou CSE) voir délégués du personnel sur la mise en application da la RGPD. La consultation doit notamment porter sur les modalités de stockage, utilisation et sécurisation des données personnelles des salariés. Mais également des droits personnels des salariés à avoir la maîtrise de leurs données.
Dans ce cadre, l’élaboration d’une charte de bonnes pratiques est donc importante pour rappeler aux acteurs de l’entreprise les nouvelles pratiques imposées par le RGPD ainsi que les sanctions en cas d’écart à la RGPD.
Bon à savoir : RGPD ou pas, le traitement des données personnelles des salariés ne doit pas être disproportionné par rapport aux tâches et à la nature de l’activité de l’entreprise.

Les droits personnels des salariés

Les personnes concernées par des traitements de données personnelles disposent de droits leur permettant de garder la maîtrise des informations les concernant auprès de l’employeur.
Les salariés ont donc un droit d’accès et rectification et d’opposition en ce qui concerne les données qui les concernent. Ainsi, un salarié doit pouvoir avoir accès à son « dossier disciplinaire », ses « évaluations professionnelles » ou encore l’historique de ses mails professionnelles BREF ! tous ce qui permet de l’identifier, directement ou indirectement. Il peut s’agir d’un nom, d’une photographie, d’une adresse IP, d’un numéro de téléphone, d’un identifiant de connexion informatique, d’une adresse postale, d’une empreinte, d’un enregistrement vocal, d’un numéro de sécurité sociale, d’un mail, etc.
De plus, certaines données dites « sensibles », sont même sacralisées car elles touchent à des informations qui peuvent donner lieu à de la discrimination ou des préjugés. Une opinion politique, une sensibilité religieuse, un engagement syndical, une appartenance ethnique, une orientation sexuelle, une situation médicale ou des idées philosophiques sont des données sensibles. Elles ont un cadre particulier, qui interdit toute collecte préalable sans consentement écrit, clair et explicite, et pour des cas précis, validés par la Cnil et dont l’intérêt public est avéré
Ce droit des personnes qui est renforcé par le RGPD ne fait que maintenir ce que la législation française avait déjà introduit avec la Loi Informatique et liberté de 1979. Néanmoins, le nouveau cadre qui s’imposera à tous nous laisse entrevoir des risques de contentieux multiples…

Les risques de contentieux !

Le règlement européen introduit de manière claire un droit à réparation des personnes physiques. Ainsi, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
Le règlement va même plus loin, puisqu’il introduit également « le recours collectif », c'est-à-dire que tout comme pour la législation relative à la protection des consommateurs, les associations actives dans le domaine de la protection des droits et libertés des personnes en matière de protection des données auront la possibilité d’introduire des recours collectifs en matière de protection des données personnelles.

En somme, nul doute que ces recours tendent à se multiplier notamment en ce qui concerne les « données des salariés ».