Données des salariés et des candidats : les règles

Le dossier du personnel est souvent le traitement le plus sensible d'une entreprise, et le moins examiné. Il contient des informations précises sur des personnes qui, par définition, ne sont pas en position de négocier. Voici les repères pour la gestion des salariés comme pour le recrutement. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Sur quelle base traite-t-on les données du personnel ?

Le consentement est rarement adapté dans la relation de travail : le lien de subordination rend difficile un accord réellement libre. Les traitements reposent plutôt sur l'exécution du contrat de travail, sur le respect d'obligations imposées par les textes, ou sur un intérêt légitime de l'employeur.

Ce qui ne se collecte pas

Le principe de minimisation prend ici un relief particulier. Seules les informations utiles à un objectif précis se justifient.

• l'état de santé détaillé : l'employeur connaît les absences et les aptitudes transmises par la médecine du travail, pas les diagnostics ;
• les opinions politiques, les convictions religieuses ou l'appartenance syndicale ;
• la situation familiale au-delà de ce qui est nécessaire aux droits sociaux ;
• des éléments recueillis sur les réseaux sociaux personnels d'un candidat sans rapport avec le poste ;
• les données relatives à des proches, sauf nécessité précise.

Les commentaires libres méritent une attention spécifique. Une appréciation notée dans un champ de texte reste une donnée personnelle, consultable par la personne concernée si elle exerce son droit d'accès. La règle pratique tient en une phrase : n'écrivez rien que vous ne pourriez assumer devant l'intéressé.

Le recrutement et les candidatures

1. Ne demandez que ce qui éclaire les compétences attendues pour le poste.
2. Informez les candidats sur la page de recrutement et dans l'accusé de réception : qui traite le dossier, pour quel poste, combien de temps il est conservé.
3. Annoncez une durée de conservation des candidatures non retenues et tenez-vous-y. Si vous souhaitez garder un dossier au-delà, demandez l'accord de la personne.
4. Traitez les candidatures spontanées comme les autres : elles ne s'accumulent pas sans règle dans une boîte mail.
5. Encadrez les outils d'aide au tri : si un dispositif classe automatiquement les dossiers, les personnes doivent en être informées et une intervention humaine réelle reste nécessaire.
6. Supprimez à l'échéance, y compris les copies présentes dans les messageries des personnes ayant participé au recrutement.

Informer et encadrer la surveillance

Tout dispositif qui permet de suivre l'activité doit être connu du personnel avant sa mise en service, et les instances représentatives consultées lorsqu'elles existent. Cela vaut pour la géolocalisation des véhicules, le contrôle des accès par badge, les outils de suivi d'activité informatique ou l'analyse des connexions.

Les fichiers d'un poste de travail sont présumés professionnels, sauf ceux que le salarié a identifiés comme personnels. Une procédure écrite, connue de tous, évite les improvisations. Nos repères sur la gestion des droits d'accès aident à limiter ce que chacun peut consulter.

Le départ d'un collaborateur

• fermez les accès le jour du départ et retirez les droits partagés ;
• traitez la boîte mail selon une règle annoncée à l'avance, plutôt qu'au cas par cas ;
• retirez la photo et les coordonnées des supports publics ;
• conservez le dossier administratif selon les durées applicables, sans le laisser accessible à tous.

Notre article sur le départ d'un collaborateur détaille ces opérations. Selon les cas, le droit du travail ajoute des règles propres : reportez-vous à la CNIL, à service-public.fr et à un conseil juridique. NexSecure sécurise ces accès dans le cadre de son offre de conformité RGPD.