Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 170

6
§ 1 * Mettre en place une organisation
et des procédures afin de respecter
les conditions de collecte, traitement
et conservation des données personnelles
386. Les principales mesures devant être prises
dans le cadre d'une gestion RH des données personnelles
respectueuses du RGPD. - Elles peuvent
être schématisées ainsi :
* désigner un délégué à la protection des données (DPO) ;
* cartographier les données personnelles et tenir un
registre de traitement des activités de traitement des
données comportant des fiches de traitement des données
personnelles ;
* réaliser une analyse d'impact relative à la protection
des données (AIPD) ;
* respecter des durées de conservation des données
personnelles ;
* informer les candidats et salariés relativement à la
collecte et aux fuites des données les concernant.
A. Désignation et missions du délégué
à la protection des données (DPO)
387. Comment est désigné le DPO ? - La désignation
d'un délégué à la protection des données interne ou
externe ou DPO (pour Data Protection Officer) peut être
obligatoire ou facultative. L'article 37 du RGPD indique
les trois situations pour lesquelles elle est obligatoire :
* le traitement est effectué par une autorité publique ou
un organisme public, à l'exception des juridictions agissant
dans l'exercice de leur fonction juridictionnelle ;
* les activités de base du Responsable du traitement ou
du sous-traitant consistent en des opérations de traitement
qui, du fait de leur nature, de leur portée et/ou de
leurs finalités, exigent un suivi régulier et systématique
à grande échelle des personnes concernées ;
* les activités de base du Responsable du traitement
ou du sous-traitant consistent en un traitement à
grande échelle de catégories particulières de données
170
et de données à caractère personnel relatives à des
condamnations pénales.
388. Ce sont bien entendu les situations 2 et (parfois)
3 qui obligent les RH à désigner un DPO. Relativement
à la situation n° 2, il faut entendre par « activités de
base à grande échelle », celles principales que doivent
réaliser les responsables de traitement des données
(et leurs éventuels sous-traitants) pour atteindre leurs
objectifs et à une échelle considérée comme « grande »
au regard, non pas d'un seuil prédéterminé, mais par
ex. : du nombre de personnes concernées au regard de
la population totale, du volume de données traitées et
du caractère plus ou moins permanent de ce traitement.
Relativement aux traitements des données RH, il pourra
s'agir par ex. : du traitement des données relatives à
la surveillance des salariés (v. supra, le chapitre relatif
au télétravail) ; de celles nécessaires à l'établissement
des feuilles de paye ; à l'inscription à une mutuelle, une
prévoyance, etc.
Relativement à la situation n° 3, elle concerne le traitement
de données « sensibles », telles celles relatives
aux casiers judiciaires, aux appartenances syndicales ;
ou à l'état de santé.
Le DPO pourra être une personne interne ou externe à
l'entreprise. Dans tous les cas de figure, il devra s'agir
d'une personne disposant des compétences14
, des
moyens et d'une indépendance lui permettant d'exercer
correctement ses missions. Le DPO peut donc être un
membre du personnel mais, dans ce cas, il sera peutêtre
plus complexe d'éviter les conflits d'intérêts et de
démontrer son indépendance15
.
14. Le point 5 de l'article 37 du RGPD indique en la matière : « Le délégué
à la protection des données est désigné sur la base de ses qualités
professionnelles et, en particulier, de ses connaissances spécialisées du
droit et des pratiques en matière de protection des données, et de sa
capacité à accomplir les missions visées à l'article 39 ».
15. V. Délégué à la protection des données | European Data Protection
Supervisor (europa)eu).
Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re
