CNIL : déclaration simplifiée pour la gestion des ressources humaines 13 janvier 2005

Habilitée par l’article 24 de la loi du 6 janvier 1978 modifiée à établir des normes destinées à simplifier l’obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, la Commission Nationale de l’Informatique et des Libertés (CNIL) a adopté par délibération du 13 janvier 2005 une norme simplifiée n°46 permettant désormais aux employeurs du privé comme du public de procéder à une déclaration simplifiée, au lieu d’une déclaration normale, pour leurs traitements courants de gestion des ressources humaines.

Afin de bénéficier de cette norme, les traitements doivent satisfaire aux conditions cumulatives énumérées par les articles 2 à 8 de la norme n°46 :

• Le traitement a pour finalité en tout ou pour partie la gestion administrative des personnels (dossier professionnel, annuaires, élections professionnelles…), la mise à disposition des personnels d’outils informatiques (suivi et maintenance des matériels, annuaires informatiques, messagerie électronique, intranet…), l’organisation du travail (agendas professionnels, gestion des tâches), la gestion des carrières et de la mobilité (évaluation, validation des acquis, mobilité…) et la formation des personnels (suivi des demandes de formations, organisation des sessions de formation, évaluation des connaissances et des formations).
   
• Les données traitées concernent l’identification de l’employé (nom, prénom, sexe, date, lieu de naissance, nationalité…), la gestion administrative de l’employé (gestion de la carrière de l’employé, de ses déclarations d’accident du travail et de maladie professionnelle, évaluation professionnelle de l’employé...), l’organisation du travail (annuaires internes et organigrammes, agendas professionnels..) ou l’action sociale et la représentation du personnel (élections professionnelles, gestion des réunions des instances représentatives du personnel etc.)
   
• Les destinataires du traitement sont :
  • les personnes habilitées chargées de la gestion du personnel ;
  • les supérieurs hiérarchiques des employés concernés, à l’exclusion des données relatives à l’action sociale directement mise en œuvre par l’employeur ;
  • les instances représentatives du personnel ;
  • les délégués syndicaux.

La norme n°46 précise que ces destinataires doivent assurer la stricte confidentialité des données personnelles en leur possession.

• La durée de conservation de ces données ne doit pas dépasser, en tout état de cause, la période d’emploi de la personne concernée par le traitement.
   
• Les personnes concernées sont informées de l’identité du responsable du traitement, des finalités poursuivies, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles à leur égard d’un défaut de réponse, des destinataires des données et de leur droit d’opposition pour des motifs légitimes au traitement de leurs données sauf dans les cas où le traitement répond à une obligation légale, d’accès aux données les concernant et de rectification de ces données.
   
• Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et notamment empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.

Commentaires

Si cette nouvelle norme vise à faciliter les déclarations des employeurs, elle prend soin de ne pas affaiblir les garanties des salariés quant à la protection de leurs données personnelles. En effet, la norme n°46 n’englobe pas dans ses dispositions la cybersurveillance ou la vidéosurveillance et encore moins les domaines sensibles, tels que les fichiers médicaux gérés par la médecine du travail, les dossiers du service social, ou encore le recours à des techniques biométriques.

Il est important de noter que cette norme ne s’applique pas dans le cas où les données personnelles figurant dans le traitement sont destinées à être transférées vers des pays tiers à l’Union européenne, y compris dans le cadre d’opérations de sous-traitance.

Enfin, il est à noter que la déclaration simplifiée peut être effectuée en ligne.