Sources : règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ; loi n° 78-17 du 6 janvier 1978 modifiée — le cadre de la protection des données

Synthèse opérationnelle. La gestion des ressources humaines reposant sur un traitement massif de données personnelles, et la conformité au RGPD constituant une obligation permanente, il est utile de consacrer un point d'ensemble à ce sujet transversal. La collectivité territoriale, en tant qu'employeur, traite de très nombreuses données personnelles de ses agents : état civil, carrière, paie, absences, évaluations, données de santé. À ce titre, elle est responsable de traitement au sens du règlement général sur la protection des données du 27 avril 2016 et de la loi Informatique et Libertés du 6 janvier 1978 modifiée. Elle est donc tenue au respect des grands principes de ces textes : la licéité du traitement, qui suppose une base légale ; la limitation des finalités, les données n'étant collectées que pour des objectifs déterminés ; la minimisation, seules les données adéquates, pertinentes et non excessives pouvant être collectées ; la limitation de la durée de conservation ; et la sécurité des données. Le non-respect de ces principes expose la collectivité à des sanctions et à des contentieux. Pour les collectivités, connaître leur qualité de responsable de traitement, maîtriser les grands principes du RGPD, et les appliquer à la gestion des ressources humaines sont des éléments d'une gestion rigoureuse.

Impact RH : Orange Urgence : Vert

Lire la source

Sources : règlement (UE) 2016/679 (articles 37 à 39) ; recommandations de la CNIL — le délégué à la protection des données

Synthèse opérationnelle. La désignation d'un délégué à la protection des données s'imposant à toute collectivité, il importe d'en connaître les règles et les possibilités de mutualisation. Le règlement impose aux autorités et organismes publics, dont les collectivités territoriales, de désigner un délégué à la protection des données. Ce délégué, interne ou externe, personne physique ou morale, n'est soumis à aucune condition de diplôme ou de statut, mais doit disposer de compétences en la matière et, surtout, ne pas se trouver en situation de conflit d'intérêts : il ne peut donc être une personne qui décide des traitements, comme le responsable des systèmes d'information ou l'élu chargé du numérique. Compte tenu de la taille modeste de nombreuses collectivités, la mutualisation du délégué est très répandue : un délégué peut être partagé entre plusieurs collectivités, porté par un groupement, ou proposé par un centre de gestion aux collectivités affiliées. Le délégué conseille, contrôle la conformité, tient le registre des traitements et fait le lien avec la CNIL. Pour les collectivités, désigner un délégué à la protection des données, veiller à l'absence de conflit d'intérêts, et recourir le cas échéant à la mutualisation sont des éléments d'une gestion rigoureuse.

Impact RH : Orange Urgence : Orange

Lire la source

Sources : loi n° 78-17 du 6 janvier 1978 modifiée ; décisions et mises en demeure de la CNIL — le contrôle du respect du RGPD

Synthèse opérationnelle. Le respect du RGPD faisant l'objet d'un contrôle effectif, il importe de mesurer les risques encourus, y compris par les employeurs publics. La Commission nationale de l'informatique et des libertés dispose de pouvoirs de contrôle et de sanction. Elle peut procéder à des contrôles, mettre en demeure un organisme de se mettre en conformité, et, en cas de manquement, prononcer des sanctions, dont des amendes. Il importe de souligner que ces pouvoirs s'exercent aussi à l'égard des organismes publics, y compris des collectivités territoriales. La CNIL a ainsi eu l'occasion de mettre en demeure ou de rappeler à l'ordre des employeurs, publics comme privés, au sujet de dispositifs portant une atteinte disproportionnée aux droits des agents : à titre d'exemple, elle a condamné l'usage de dispositifs de pointage par reconnaissance photographique ou biométrique, jugés excessifs au regard de la finalité poursuivie. Au-delà de la sanction financière, un manquement expose la collectivité à une atteinte à sa réputation et à des contentieux engagés par les agents. Pour les collectivités, prendre la mesure des pouvoirs de la CNIL, prévenir les dispositifs disproportionnés, et traiter les manquements sont des éléments d'une gestion rigoureuse et prudente.

Impact RH : Rouge Urgence : Orange

Lire la source

Sources : règlement (UE) 2016/679 ; loi n° 78-17 du 6 janvier 1978 modifiée — les traitements de gestion des ressources humaines

Synthèse opérationnelle. Les traitements liés à la carrière, à la paie et au temps de travail constituant le cœur de la gestion RH, il importe d'en maîtriser le cadre. En premier lieu, la base légale de ces traitements n'est, en règle générale, pas le consentement de l'agent, peu adapté dans une relation d'emploi, mais le respect d'une obligation légale incombant à l'employeur ou l'exécution d'une mission d'intérêt public : la gestion de la carrière, de la paie et des cotisations repose ainsi sur les obligations statutaires de la collectivité. En deuxième lieu, les données ne peuvent être conservées au-delà de la durée nécessaire : la durée de la carrière administrative de l'agent pour les données de gestion, des durées légales spécifiques pour certains dossiers, ou la période d'organisation d'un concours, les données devant ensuite être archivées ou supprimées selon les règles applicables. En troisième lieu, l'agent dispose de droits : information préalable sur les traitements, accès à ses données, notamment à son dossier individuel, et rectification des données inexactes. Pour les collectivités, identifier la base légale des traitements RH, définir et respecter les durées de conservation, et garantir les droits des agents sur leurs données sont des éléments d'une gestion rigoureuse.

Impact RH : Orange Urgence : Vert

Lire la source

Sources : règlement (UE) 2016/679 (article 9) ; loi n° 78-17 du 6 janvier 1978 modifiée ; secret médical — le traitement des données de santé

Synthèse opérationnelle. Les données de santé des agents relevant d'une catégorie particulière de données, leur traitement obéit à des règles renforcées qu'il importe de respecter scrupuleusement, le sujet étant appréhendé ici sous l'angle du dispositif. Les données relatives à la santé sont des données sensibles au sens du règlement, dont le traitement est en principe interdit, sauf exceptions, notamment lorsqu'il est nécessaire à l'exécution des obligations de l'employeur en matière de droit social et de protection sociale. L'employeur territorial traite ainsi des données de santé pour la gestion des congés de maladie, des accidents de service, de l'invalidité ou du suivi par la médecine préventive. Ces traitements imposent une vigilance accrue : accès strictement réservé aux personnes habilitées, séparation des données médicales détenues par le service de médecine préventive dans le respect du secret médical, l'autorité ne connaissant que les avis et non les éléments médicaux, et conservation limitée et sécurisée. Toute divulgation ou tout accès non autorisé à ces données serait d'une particulière gravité. Pour les collectivités, protéger particulièrement les données de santé des agents, en réserver l'accès aux personnes habilitées, et respecter le secret médical sont des éléments d'une gestion rigoureuse et déontologique.

Impact RH : Rouge Urgence : Orange

Lire la source

Sources : règlement (UE) 2016/679 (articles 32 et 33) ; recommandations de la CNIL — la sécurité et la violation de données

Synthèse opérationnelle. La sécurité des données constituant une obligation de l'employeur dont le manquement emporte des conséquences, il importe d'en connaître les exigences. En premier lieu, le responsable de traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données : politique de mots de passe, gestion rigoureuse des habilitations limitant l'accès de chaque agent aux seules données que requièrent ses fonctions, sauvegardes, sécurisation des locaux et des postes, et séparation des usages personnels et professionnels des équipements. La gestion des habilitations est un point de vigilance majeur, l'accès aux données RH devant être strictement encadré. En second lieu, en cas de violation de données — divulgation, perte, accès non autorisé — susceptible d'engendrer un risque pour les droits des personnes, le responsable de traitement doit la notifier à la CNIL, en principe dans les soixante-douze heures, et, lorsque le risque est élevé, en informer les personnes concernées. Le manquement à ces obligations engage la responsabilité de la collectivité. Pour les collectivités, sécuriser les données RH, encadrer strictement les habilitations, et savoir réagir à une violation de données sont des éléments d'une gestion rigoureuse et responsable.

Impact RH : Orange Urgence : Orange

Lire la source

Sources : règlement (UE) 2016/679 ; attributions du comité social territorial et de sa formation spécialisée — l'association des instances

Synthèse opérationnelle. La mise en place d'outils numériques traitant des données des agents intéressant le dialogue social, il importe d'associer les instances compétentes. De nombreux traitements de données RH s'accompagnent du déploiement d'outils susceptibles d'affecter les conditions de travail des agents : systèmes d'information des ressources humaines, dispositifs de contrôle du temps, vidéosurveillance, géolocalisation des véhicules, outils liés au télétravail. Or le comité social territorial, et sa formation spécialisée en matière de santé, de sécurité et de conditions de travail, sont compétents pour examiner les questions d'organisation et de fonctionnement des services, ainsi que les projets importants introduisant de nouvelles technologies lorsqu'ils ont une incidence sur les conditions de travail. Il importe donc de consulter ces instances lors de la mise en place de tels outils, en complément des obligations propres au RGPD, telles que l'information individuelle des agents et, le cas échéant, la réalisation d'une analyse d'impact. L'association des instances et la transparence vis-à-vis des agents conditionnent l'acceptabilité de ces dispositifs. Pour les collectivités, associer le comité social territorial aux projets d'outils numériques, informer les agents, et garantir la transparence sont des éléments d'une gestion rigoureuse et d'un dialogue social de qualité.

Impact RH : Orange Urgence : Vert

Lire la source

Sources : règlement (UE) 2016/679 ; recommandations de la CNIL en matière de recrutement — les données des candidats

Synthèse opérationnelle. Le recrutement donnant lieu à la collecte de données sur des candidats, il importe d'en respecter le cadre, souvent négligé. Lors d'un recrutement, la collectivité ne peut collecter que les données strictement nécessaires à l'appréciation de la capacité du candidat à occuper l'emploi : les informations demandées doivent présenter un lien direct et nécessaire avec l'emploi proposé. Sont ainsi à proscrire les questions sans rapport avec l'emploi, portant par exemple sur la vie privée, les opinions ou des caractéristiques personnelles sans pertinence. Le candidat doit être informé des traitements réalisés et de ses droits. Par ailleurs, les données des candidats non retenus ne peuvent être conservées indéfiniment : elles doivent être supprimées, ou, si la collectivité souhaite les conserver en vue d'un recrutement ultérieur, le candidat doit en être informé et la durée de conservation doit rester limitée. Ces règles valent pour les candidatures reçues sur les emplois permanents comme pour les candidatures spontanées. Pour les collectivités, limiter la collecte aux données nécessaires au recrutement, informer les candidats, et encadrer la conservation des candidatures sont des éléments d'une gestion rigoureuse et respectueuse des droits.

Impact RH : Orange Urgence : Vert

Lire la source

Sources : règlement (UE) 2016/679 ; recommandations et décisions de la CNIL — l'encadrement des dispositifs de surveillance

Synthèse opérationnelle. Les dispositifs de vidéosurveillance et de géolocalisation touchant directement aux droits des agents, leur mise en œuvre est strictement encadrée et appelle une grande prudence. La vidéosurveillance des lieux de travail ne peut avoir pour finalité la surveillance permanente des agents : elle doit répondre à un objectif légitime, comme la sécurité des biens et des personnes, et les caméras ne peuvent filmer en continu les postes de travail. De même, la géolocalisation des véhicules de service ne peut être mise en place que pour une finalité déterminée, comme le suivi d'une prestation ou la sécurité, à l'exclusion d'un contrôle permanent de l'activité ou du temps de travail des agents, et elle doit pouvoir être désactivée en dehors du service. Dans tous les cas, le principe de proportionnalité s'impose : le dispositif doit être adéquat et non excessif au regard de sa finalité. Les agents doivent être informés individuellement, les instances consultées, et les dispositifs par reconnaissance biométrique ou photographique sont proscrits. Pour les collectivités, encadrer strictement la vidéosurveillance et la géolocalisation, respecter la proportionnalité et l'information des agents, et proscrire les dispositifs excessifs sont des éléments d'une gestion rigoureuse et prudente.

Impact RH : Rouge Urgence : Orange

Lire la source

Sources : règlement (UE) 2016/679 ; pratiques de mutualisation des centres de gestion — la dimension financière de la conformité

Synthèse opérationnelle. La mise en conformité au RGPD représentant un investissement, il importe de l'apprécier au regard du coût du risque qu'elle permet d'éviter. Le coût de la conformité comprend plusieurs composantes : la rémunération ou la prestation du délégué à la protection des données, les outils de sécurisation du système d'information, la formation des agents, et le temps consacré à la tenue du registre et au traitement des demandes. Pour les collectivités de taille modeste, la mutualisation, notamment au niveau d'un groupement ou par l'adhésion à un service proposé par un centre de gestion, permet de rendre ce coût soutenable, en partageant la ressource rare qu'est l'expertise en protection des données. Ce coût doit être apprécié au regard de celui du risque : une sanction financière de la CNIL, un contentieux engagé par un agent, ou les conséquences d'une violation de données — perte de confiance, désorganisation, atteinte à la réputation — peuvent se révéler bien plus lourds. La conformité est ainsi un investissement de prévention. Pour les directions des ressources humaines et financières, budgéter le coût de la conformité, recourir à la mutualisation, et l'apprécier au regard du coût du risque sont des éléments d'une gestion financière rigoureuse.

Impact RH : Orange Urgence : Vert

Lire la source

Sources : orientations de la CNIL ; études sur la numérisation de la fonction RH — les enjeux de fond de la protection des données

Synthèse opérationnelle. Au-delà de la conformité, la protection des données RH révèle un enjeu de fond qu'il est éclairant de mettre en perspective : la tension entre la numérisation croissante de la gestion des ressources humaines et l'exigence de protection des données des agents. D'un côté, la gestion RH se numérise à un rythme soutenu : systèmes d'information des ressources humaines de plus en plus intégrés, dématérialisation du dossier individuel, outils de gestion du temps et des absences, portails agents, et, désormais, premiers usages de l'intelligence artificielle dans le tri des candidatures ou l'analyse des données sociales. Cette numérisation apporte des gains d'efficacité réels, mais multiplie les traitements de données et les risques associés. De l'autre, les agents, les autorités de contrôle et la société dans son ensemble sont de plus en plus attentifs à la protection des données personnelles, et la CNIL a renforcé sa vigilance, y compris à l'égard du secteur public. La question de fond est celle de l'équilibre entre l'efficacité de la gestion numérique et la protection des droits des agents. Le signal à suivre est le développement des usages de l'intelligence artificielle en matière RH. Pour les collectivités, accompagner la numérisation de la gestion RH, renforcer la vigilance sur les données, et anticiper les nouveaux usages sont des éléments d'une veille prospective.

Impact RH : Vert Urgence : Vert

Lire la source