Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 183

RESPECT DU RGPD PAR LA RH
communication informe a minima de la nature de la
violation, des conséquences probables de la violation,
des mesures prises pour y remédier et en atténuer les
conséquences négatives, le nom et les coordonnées du
délégué à la protection des données (ou de tout point de
contact auprès duquel des infirmations supplémentaires
peuvent être obtenues).
425. Exception ? - Cette communication est inutile
dans 3 situations :
* les mesures de protection prises (ex. : chiffrement)
rendent les données incompréhensibles pour toute
personne non autorisée ;
* le Responsable du traitement a pris des mesures ultérieures
garantissant que le risque élevé pour les droits
et libertés des personnes concernées n'est plus susceptible
de se matérialiser ;
* elle exigerait des efforts disproportionnés (il est
alors procédé à une communication publique ou
à une mesure similaire permettant aux personnes
concernées d'être informées de manière tout aussi
efficace).
Remarque
L'article 226-17-1 du Code pénal indique que l'absence
de notification à l'autorité de contrôle fait encourir une
sanction au Responsable de traitement de 5 ans de prison
et 300 000 € d'amende (les mêmes sanctions sont
prévues à l'encontre du sous-traitant qui ne notifierait pas
une violation au Responsable de traitement).
Sources possibles à consulter
En cas de doute sur l'obligation de procéder à cette information
de violation des données, il est possible d'utiliser
l'outil d'autoévaluation en ligne de la CNIL
European Data Protection Board, Lignes Directrices
01/2021 « Exemples concernant la notification de violations
de données à caractère personnel », adoptées
le 14 décembre 2021, 39 pages (entre autres sources
de risques, les pages 24 à 27 abordent la question des
« Risques internes d'origine humaine »).
§ 2 * Permettre l'exercice effectif des droits
des candidats et salariés du fait de la collecte,
du traitement et de la détention de données
personnelles les concernant
426. Dans le cadre professionnel, quels droits le
RGPD confère-t-il aux candidats, salariés et anciens
salariés ? - Le RGPD attribue en ses articles 15 à 21,
6 droits principaux pour la personne dont des données
personnelles sont collectées, traitées et détenues, y
compris par un employeur.
427. L'employeur doit avoir informé le salarié de
l'existence de ces droits dès l'embauche :
* droit d'accès aux données ;
* droit de rectification des données ;
* droit à l'effacement (ou droit à l'oubli des données) ;
* droit à la limitation (du traitement) des données ;
* droit à la portabilité des données ;
* droit d'opposition au traitement des données ;
Dans ses multiples considérants et articles, le RGPD prévoit
à la fois des règles communes (A) et spécifiques (B)
aux conditions d'exercice et de réponses à ces droits.
A. Les règles communes aux conditions
d'exercice et de réponse à ces droits
Les principales conditions communes se rapportent
aux conditions d'identification du demandeur et à celles
de formulations des réponses. Elles peuvent être ainsi
schématisées.
1. L'identification
428. Les conditions communes d'identification
des personnes revendiquant l'exercice de l'un des
droits relativement à la nécessité d'identifier ou
non le demandeur pour pouvoir traiter sa demande
d'exercer l'un ou plusieurs de ses droits. - Lorsque
l'identification n'est pas nécessaire (article 11-1 du
183
Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re
