RGPD en entreprise : 5 erreurs à éviter avec les données de vos salariés

Quand on parle de RGPD en entreprise, on pense d’abord aux clients et aux prospects. Or les premières personnes concernées travaillent dans vos locaux. Recrutement, paie, badgeage, caméras, messagerie professionnelle : un employeur manipule tous les jours des données personnelles sur ses salariés, parfois très sensibles. Et c’est sur ce terrain que naissent la plupart des litiges, ainsi qu’une bonne partie des contrôles de la CNIL.

Nous avons consacré à ce sujet un webinaire sur le RGPD en entreprise, animé par Florian Boyenval, fondateur de DP FLOW, avec Maître Fabrice Mehats, avocat associé du cabinet Camille. Le replay est en ligne sur YouTube. L’idée était de croiser le regard du DPO et celui de l’avocat sur quatre questions très concrètes : l’information des salariés, la vidéosurveillance dans les procédures disciplinaires, le droit d’accès et la cybersécurité. Cet article reprend les erreurs qui reviennent le plus souvent chez nos clients, avec nos conseils pour les corriger.

Erreur n°1 : collecter des données sans informer ses salariés

C’est sans doute l’erreur la plus répandue, parce qu’elle ne se voit pas tant que tout va bien. Le RGPD impose à l’employeur, comme à tout responsable de traitement, une obligation d’information. Chaque salarié doit savoir quelles données sont collectées sur lui, pour quoi faire, sur quelle base légale, combien de temps elles seront conservées et à qui s’adresser pour exercer ses droits.

Dans la pratique, beaucoup d’entreprises collectent des données RH depuis des années sans avoir jamais rien formalisé. Rien dans le contrat de travail, pas de note d’information, rien non plus dans le livret d’accueil. Le problème surgit au moment d’un litige prud’homal ou d’un contrôle. Un traitement dont le salarié n’a jamais été informé est juridiquement fragile, et les éléments qui en sont issus risquent d’être écartés des débats.

La correction est pourtant à la portée de toutes les structures. Il s’agit de rédiger une note d’information des salariés couvrant l’ensemble des traitements RH (recrutement, gestion du personnel, paie, contrôle d’accès, outils informatiques), de la remettre à l’embauche et de la tenir à disposition. Ce document découle directement de votre registre. Si vous ne l’avez pas encore construit, notre guide sur le registre de traitement est un bon point de départ.

Erreur n°2 : utiliser la vidéosurveillance sans cadre, puis en procédure disciplinaire

La vidéosurveillance est un cas d’école. Installer des caméras pour sécuriser des locaux, oui. S’en servir pour surveiller en continu l’activité des salariés, non. La CNIL rappelle régulièrement les règles applicables à la vidéosurveillance au travail : une finalité précise, un dispositif proportionné, l’information des salariés et des instances représentatives, une durée de conservation limitée des images.

Le point qui fâche, et que nous avons longuement abordé pendant le webinaire, c’est l’usage des images en procédure disciplinaire. Un employeur qui découvre une faute grâce à ses caméras voudra naturellement produire les images à l’appui d’un licenciement. Sauf que si le dispositif n’a pas été correctement encadré ni porté à la connaissance des salariés, la preuve est déloyale. La jurisprudence a certes évolué sur ce point, le juge acceptant désormais de mettre en balance le droit à la preuve de l’employeur et les droits du salarié. Mais compter sur cette tolérance reste un pari, qui expose en parallèle à une sanction de la CNIL.

Notre conseil : auditez votre dispositif avant d’en avoir besoin. Panneaux d’affichage, information individuelle des salariés, consultation du CSE, durée de conservation des images (un mois maximum en règle générale), accès aux enregistrements réservé à quelques personnes identifiées. Le jour où un incident survient, vous serez content d’avoir un dispositif irréprochable.

Erreur n°3 : sous-estimer le droit d’accès des salariés

Le droit d’accès est devenu l’arme favorite des salariés en conflit avec leur employeur. Le scénario est désormais classique. Un salarié qui prépare un dossier prud’homal exerce son droit d’accès pour obtenir copie des données que l’entreprise détient sur lui : évaluations, échanges le concernant et, dans certaines conditions, courriels professionnels.

Face à ces demandes, on voit à peu près tout. Des employeurs qui ne répondent pas, d’autres qui répondent au bout de six mois, d’autres encore qui refusent en bloc parce que la demande « sert un contentieux ». Aucune de ces réponses ne tient. Le motif de la demande est indifférent, le délai est d’un mois (prolongeable de deux mois pour les demandes complexes), et l’absence de réponse constitue en elle-même un manquement que le salarié peut porter devant la CNIL. L’employeur se retrouve alors avec un second front, en plus du contentieux prud’homal.

Mieux vaut avoir défini à froid une procédure interne de gestion des demandes de droits : qui réceptionne, qui instruit, avec quels modèles de réponse. Les cas délicats méritent d’être anticipés, notamment les documents mêlant les données du demandeur et celles de tiers, les courriels et le secret des affaires. Bien gérée, une demande de droit d’accès se traite sans drame.

Erreur n°4 : conserver les données trop longtemps

Des CV gardés « au cas où » depuis dix ans, des dossiers de salariés partis de longue date, des boîtes mail d’anciens collaborateurs jamais supprimées. La conservation sans limite est l’un des manquements les plus simples à constater pour un contrôleur : il lui suffit d’ouvrir un dossier partagé.

Le principe du RGPD est pourtant clair. Chaque donnée a une durée de conservation définie et justifiée : deux ans après le dernier contact pour les candidatures non retenues, cinq ans pour les bulletins de paie après le départ du salarié, un mois pour les images de vidéosurveillance. Encore faut-il que ces durées se traduisent par des purges effectives, et pas seulement par une ligne dans le registre. Nous avons rassemblé les principaux repères dans notre article sur la durée de conservation des données personnelles.

Faire le tri a d’ailleurs une vertu très concrète au-delà du risque juridique : moins de données stockées, c’est moins de dégâts en cas de piratage ou de fuite. Ce qui nous amène à la dernière erreur.

Erreur n°5 : traiter la cybersécurité comme un sujet à part

Le webinaire se concluait sur les bonnes pratiques de cybersécurité, et ce n’était pas un hasard. La sécurité des données est une obligation du RGPD à part entière (article 32). Une entreprise peut avoir un registre impeccable et des mentions d’information parfaites ; si un ransomware chiffre son serveur RH ou qu’un phishing compromet sa messagerie, c’est une violation de données, avec selon les cas notification à la CNIL sous 72 heures et information des personnes concernées.

La bonne nouvelle, c’est que les fondamentaux restent à la portée d’une PME. Mots de passe robustes, authentification à deux facteurs, mises à jour appliquées, sauvegardes testées, droits d’accès limités au nécessaire. Et surtout la sensibilisation des équipes, parce que la première faille est presque toujours humaine. Nous avons consacré un guide à la cybersécurité et un autre à la sensibilisation RGPD des collaborateurs ; les deux vont de pair.

Les 5 erreurs en un coup d’œil

Erreur	Risque principal	Mesure corrective
Absence d'information des salariés	Traitement fragile, preuve écartée en contentieux	Note d'information remise à l'embauche, adossée au registre
Vidéosurveillance non encadrée	Preuve déloyale, sanction CNIL	Audit du dispositif : finalité, information, CSE, conservation
Droit d'accès ignoré ou mal traité	Manquement documenté, plainte CNIL en parallèle du contentieux	Procédure interne de gestion des demandes, réponse sous un mois
Conservation illimitée	Manquement facile à constater, exposition accrue en cas de fuite	Durées définies par traitement et purges effectives
Cybersécurité négligée	Violation de données, notification CNIL sous 72 h	MFA, sauvegardes, moindre privilège, sensibilisation des équipes

Par où commencer ?

Ces cinq erreurs ont un point commun : elles ne se corrigent pas dans l’urgence, au moment du contrôle ou du contentieux. Elles se préviennent par une démarche structurée, menée à froid. État des lieux, registre, procédures, sensibilisation, dans cet ordre.

Si vous ne savez pas où en est votre entreprise, un audit RGPD permet d’objectiver les écarts et de prioriser les actions. Et si personne en interne n’a le temps de piloter la conformité dans la durée, un DPO externalisé prend le relais, avec un accompagnement dimensionné à la taille de votre structure. DP FLOW accompagne entreprises et collectivités, à Bordeaux et à distance. Contactez-nous pour en parler.