Le RGPD est l’un de ces sujets où l’écart entre la base pratique et le complexe industriel de la conformité est énorme. Pour un contexte de données RH dans une petite entreprise (moins de 250 salariés, pas d’obligation de DPO), voici ce qui compte vraiment.
Les trois choses que vous devez faire
- Tenez un registre minimal des activités de traitement (RAT). Trois colonnes : quelles données, pourquoi, durée de conservation. Une seule page suffit - la plupart des équipes ont 6 à 8 entrées.
- Ayez un accord de traitement des données (DPA) écrit avec chaque prestataire qui touche aux données des salariés. La plupart des prestataires SaaS vous en fournissent un ; demandez-le sinon.
- Soyez en mesure de répondre à une demande d’accès dans un délai de 30 jours. Un repère pratique : quelqu’un demande « quelles données RH détenez-vous sur moi ? » et vous pouvez produire un CSV.
Les trois choses que vous pouvez repousser (pour l’instant)
- La pseudonymisation des données RH. Utile pour la recherche et l’analyse, pas pour les opérations RH normales. Laissez-la de côté jusqu’à ce que votre échelle opérationnelle l’exige.
- Une analyse d’impact formelle pour chaque nouvel outil. Requise pour un traitement à haut risque, ce qu’un outil de suivi des congés n’est pas.
- La nomination d’un délégué à la protection des données. Obligatoire uniquement si vos activités principales impliquent un traitement à grande échelle ou de catégories particulières de données.
La question de la localisation des données
Pour les données RH de résidents de l’UE, le repère pratique est « chiffrées en transit et au repos, hébergées dans un pays bénéficiant d’une décision d’adéquation ou via un prestataire disposant de clauses contractuelles types ». Un hébergement uniquement aux États-Unis convient sur le plan opérationnel si le prestataire dispose de clauses contractuelles types et de la certification Data Privacy Framework.
Les demandes d’accès en pratique
La plupart des petites équipes paniquent au sujet de ces demandes parce qu’elles imaginent un ancien salarié hostile qui en dépose une. En pratique, le volume est proche de zéro, et le travail - exporter ses données - est simple si vos outils ont un bouton d’export. Cartographier à l’avance quels outils détiennent quelles données prend une heure et évite la panique.
Le théâtre de la conformité est plus dangereux que l’absence de conformité, car il immunise l’équipe contre le vrai travail.