RGPD et relation de travail : le socle pour l’avocat
Avocats : maîtrisez le RGPD en droit du travail, de la base légale à la transparence et à l’accountability, pour conseiller employeurs et salariés.
Pour l’avocat en droit social, une grande partie des dossiers liés au numérique repose désormais sur des données personnelles, ce qui fait du RGPD un socle incontournable de l’analyse. Avant même de parler de contrôle des salariés ou d’intelligence artificielle, tout dossier de droit social passe par le Règlement général sur la protection des données du 27 avril 2016, applicable depuis le 25 mai 2018.
Le cadre juridique repose en réalité sur trois piliers qu’il faut distinguer soigneusement : le droit du travail, qui encadre déjà le pouvoir de direction et le contrôle des salariés, le RGPD, qui encadre les données personnelles, et les textes spécifiques à l’intelligence artificielle. En pratique, les difficultés naissent moins de chaque bloc pris isolément que de leur articulation.
Cet article revient sur les notions clés, les principes structurants et les points de fragilité les plus fréquemment rencontrés en entreprise.
Une notion de donnée personnelle volontairement très large
La définition figure à l’article 4 du RGPD : constitue une donnée personnelle toute information permettant d’identifier directement ou indirectement une personne. Le texte est consultable sur EUR-Lex .
En entreprise, cette définition recouvre à peu près tout ce qui circule : adresses courriel, noms, destinataires, informations contenues dans les messages, journaux de connexion, logs, historiques, données RH. La question de savoir si l’on est en présence de données personnelles recevra donc, dans un dossier, une réponse quasiment toujours positive.
Il faut également rappeler que le RGPD ne s’est pas substitué à la loi Informatique et libertés de 1978, laquelle continue d’exister dans une version profondément remaniée, destinée à compléter le règlement, notamment sur l’organisation et les pouvoirs de la CNIL et sur certaines règles nationales.
Trois principes structurants, et l’impasse du consentement
Tout traitement de données doit être justifié, encadré et proportionné, la proportionnalité étant visée à l’article 5. Plutôt que de retenir toute la liste des principes, il est plus efficace de raisonner autour de trois idées : une finalité, une base légale, une proportionnalité.
C’est sur la base légale que se concentre la difficulté propre au droit du travail. Dans la relation employeur salarié, il est presque impossible de s’appuyer sur un consentement libre et éclairé, en raison du déséquilibre structurel de la relation. La question devient donc systématiquement celle de la base légale alternative sur laquelle repose la collecte et le traitement des données des salariés.
La transparence constitue le second point d’attention. L’employeur doit informer les salariés de manière claire sur les données collectées d’une part, sur les finalités et l’usage qui en est fait d’autre part. C’est un point clé en contentieux : une information insuffisante peut à elle seule suffire à fragiliser tout un dispositif.
Vient enfin la question des données sensibles, qui relèvent principalement de l’état de santé, des opinions notamment politiques et de l’appartenance syndicale. L’employeur peut détenir ces informations dans le cadre de la relation de travail, mais le principe reste celui de l’interdiction, assortie d’exceptions. Dès que l’on touche à ces données, le niveau de risque juridique augmente immédiatement.
AIPD, registre et accountability : le risque probatoire
Tout outil de contrôle est encadré par le RGPD au regard de ces principes, en particulier la proportionnalité, la transparence et la sécurité. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des salariés, une analyse d’impact doit être menée : dès qu’un outil devient un peu intrusif, on entre dans un régime de protection renforcé.
La logique d’accountability est probablement le point le plus mal appréhendé en entreprise. L’employeur ne doit pas seulement respecter le RGPD, il doit être capable de démontrer qu’il a préventivement pris les mesures nécessaires. L’ancien système de déclaration préalable a disparu, mais l’employeur doit tenir un registre des traitements en application de l’article 30.
La fonction de délégué à la protection des données n’est en principe pas obligatoire en entreprise. Elle le devient pour les organismes publics, lorsque l’activité consiste à surveiller ou profiler des personnes de façon continue, ou en cas de traitement à grande échelle de données sensibles.
C’est en pratique sur ce terrain documentaire que les dossiers se perdent. Pour donner un ordre de grandeur, environ cinq pour cent des entreprises disposent d’une documentation RGPD réellement conforme, et quatre-vingts pour cent ne maîtrisent pas complètement les demandes liées au RGPD. Le risque n’est pas tant l’absence de règles que l’impossibilité de démontrer qu’elles ont été respectées.
CSE, décisions automatisées et usage stratégique du RGPD
Le RGPD n’envisage pas expressément le rôle du CSE et ne prévoit pas sa consultation, dont l’obligation résulte du Code du travail pour les entreprises d’au moins cinquante salariés. Il renforce toutefois indirectement l’exigence d’information des représentants du personnel, en imposant à l’employeur de structurer et de formaliser ses traitements.
L’article 22, relatif aux décisions fondées exclusivement sur des traitements automatisés, mérite une attention nouvelle. Ce qui pouvait paraître théorique il y a quelques années devient une problématique concrète avec le déploiement de l’intelligence artificielle : une décision RH ne peut pas être entièrement automatisée.
Enfin, il faut garder à l’esprit que le RGPD n’est pas seulement un cadre de conformité, mais aussi un outil stratégique dans le contentieux du travail. Le droit d’accès de l’article 15, le droit de rectification et le droit d’opposition offrent à la partie salariée un levier probatoire dont l’usage s’est considérablement développé.
Les réflexes à adopter dans un dossier
Trois vérifications permettent de qualifier rapidement une situation :
- Identifier la base légale du traitement, en excluant d’emblée le consentement du salarié comme fondement fiable.
- Vérifier la qualité de l’information délivrée aux salariés, car son insuffisance suffit souvent à fragiliser le dispositif.
- Demander la documentation : registre des traitements, analyse d’impact le cas échéant, traçabilité des décisions. C’est là que se joue la démonstration de conformité.
Pour aller plus loin
Ce socle et son articulation avec le droit du travail sont approfondis dans notre formation dédiée aux enjeux du numérique, de l’IA et du RGPD en droit du travail : Voir la formation →. Homologuée CNB et disponible en e-learning, elle vous permet de valider vos heures de formation continue avec souplesse. Découvrez également nos formations en droit social et notre catalogue de formations pour avocats.
En résumé
Le RGPD est le socle de tout dossier social touchant au numérique. Retenez trois idées : la donnée personnelle est partout, le consentement du salarié n’est pas une base légale fiable, et le véritable risque tient à l’impossibilité de démontrer la conformité. La transparence et la documentation sont les deux leviers sur lesquels se gagnent ou se perdent les contentieux.
Sources
