Le RGPD dans le domaine de l'emploi
régit la manière dont les employeurs traitent les données des salariés : fondements juridiques autres que le consentement (contrat, obligation légale, intérêt légitime), avis de transparence, principe de minimisation, sécurité et limites strictes en matière de surveillance. Les flux de données RH vers les prestataires de services de paie et d’ EOR s nécessitent la conclusion d’accords de sous-traitance et la mise en place de garanties de transfert.
Les règles spécifiques à l'emploi qui comptent
- Le consentement est rarement valable : le déséquilibre des pouvoirs invalide la plupart des consentements donnés par les salariés — il convient donc de fonder la procédure sur le contrat, l'obligation légale et l'intérêt légitime, en procédant à une mise en balance documentée.
- La surveillance est soumise à des limites : la surveillance secrète ou généralisée est vouée à l'échec ; en Allemagne, les comités d'entreprise participent à la définition des outils de surveillance ; les critères de référence sont la proportionnalité et la notification préalable.
- Les prestataires sont des sous-traitants : les prestataires chargés de la gestion de la paie, de l’ EOR s et des avantages sociaux signent des accords au titre de l’article 28 ; les flux transfrontaliers nécessitent des clauses contractuelles types (SCC) ou une décision de caractère adéquat.
- Les demandes relatives aux droits parviennent au service des ressources humaines : les demandes d'accès portent sur les e-mails et les fichiers concernant la personne concernée — la durée de conservation et la structure des données déterminent si une réponse est possible.
- La durée de conservation dépend de la finalité : les dossiers de paie sont conservés pendant la durée prévue par la loi ; ce n'est pas le cas des données relatives aux candidats.
FAQ
Pouvons-nous transférer les données des salariés vers des sociétés du groupe situées à l'étranger ?
Avec des garanties : décisions d'adéquation lorsqu'elles existent, clauses contractuelles types et évaluations des transferts dans le cas contraire, et règles d'entreprise contraignantes pour les groupes bien établis. Les transferts intragroupe sont des transferts — le fait d'appartenir à « la même famille d'entreprises » ne constitue pas un fondement juridique.
Quelles données un prestataire de services d'EOR s ou de gestion de la paie peut-il détenir ?
Ce dont le service a besoin : données d'identité, contractuelles, bancaires, fiscales et sociales — dans le cadre d'un accord de sous-traitance au titre de l'article 28, garantissant la transparence quant aux sous-traitants secondaires et la suppression des données à la fin du contrat. Le service RH du client ne doit pas renvoyer l'intégralité du fichier de paie sans raison valable ; le principe de minimisation s'applique dans les deux sens.