Le Règlement général sur la protection des données (RGPD) est officiellement entré en application le 25 mai 2018. Et si l’on peut supposer que la CNIL (Commission nationale de l’informatique et des libertés) ait l’intention de faire preuve d’indulgence sur les premiers mois, les entreprises ont tout intérêt à se conformer rapidement au règlement afin d’éviter les risques d’amende. En quoi les RH sont-elles concernées ?

 

Transparence et information

C’est l’un des principaux buts du RGPD : s’assurer que les individus sachent exactement quelles sont les données collectées, dans quel but, pour combien de temps elles seront conservées… Le tout afin de limiter les atteintes à la vie privée et d’assurer la sécurité des données. En tant que RH, vous devez donc informer clairement tout le personnel de l’entreprise ainsi que les candidats dès lors que vous disposez de données à leur sujet.

 

Finalité et sécurité des données

Le RGPD renforce l’aspect finalité des données. Pas question par exemple d’utiliser pour des raisons marketing (envoi de publicités ou promotions notamment) des données collectées à la base dans le cadre d’un processus de recrutement. Les données conservées doivent absolument être pertinentes par rapport à la finalité de leur utilisation. Dans le cadre des ressources humaines, toutes les données doivent donc être en lien avec la gestion d’une candidature ou du parcours d’un salarié au sein de l’entreprise.

 

Consentement et conservation

Voilà un aspect qui concerne particulièrement les ressources humaines : les données ne peuvent pas être conservées une fois leur finalité accomplie. Lorsque vous rejetez une candidature, vous devez donc supprimer toutes les informations à propos du candidat. Si vous aviez l’habitude d’intégrer les CV reçus à votre vivier de talents, vous êtes toujours autorisé à le faire, à condition de les conserver sous une forme différente, d’obtenir l’accord express du propriétaire des données, et de pouvoir prouver que vous les conserver dans un but légitime. Le candidat peut par ailleurs retirer son consentement à tout moment.

 

Accès aux données

Toute personne dont les données sont traitées et conservées par une entreprise a le droit de demander un accès à ces données, pour quelque raison que ce soit (s’assurer de leur exactitude par exemple, ou simplement pour vérifier quelles sont les données concernées). L’entreprise ne dispose plus que d’un délai de 30 jours pour répondre à cette demande.

 

Pensez aux prestataires !

Enfin, en tant qu’entreprise, vous êtes responsable de toutes les données que vous utilisez de près ou de loin, qu’elles concernent les candidats ou vos salariés. Cela signifie que si vous faites appel à des fournisseurs ou prestataires RH (cabinets de recrutement, éditeurs de logiciels, organismes de formation…), vous devez vous assurer qu’ils soient eux aussi en conformité avec le RGPD.