Que doit faire l'employeur en cas de demande d'un salarié sur l'usage de ses données dans un outil RH ?
Réponse courte
L'employeur doit répondre à toute demande d'un salarié relative à ses données personnelles dans un outil RH conformément aux articles 12 à 22 du RGPD. Il doit l'informer des finalités, des catégories de données, des destinataires et des durées de conservation, et lui permettre d'exercer ses droits (accès, rectification, effacement, opposition, limitation, portabilité).
La réponse doit intervenir dans un délai d'un mois, prorogeable de deux mois en cas de complexité. Elle doit être gratuite pour la première demande. En cas de refus motivé, l'employeur informe le salarié des voies de recours (saisine de la CNPD ou du tribunal du travail).
Définition
La demande d'un salarié sur l'usage de ses données désigne toute sollicitation visant à comprendre ou à modifier la manière dont un outil RH traite ses informations personnelles. Elle peut prendre la forme d'une demande d'accès, de rectification, d'effacement, d'opposition ou d'information générale. Le responsable de traitement doit s'organiser pour traiter efficacement ces demandes dans les délais imposés par le RGPD, sous peine de sanctions administratives.
Conditions d’exercice
L'article 12 du RGPD impose une réponse dans un mois (prorogeable de deux), la gratuité de la première demande, une motivation de tout refus et l'information sur les voies de recours.
| Condition | Détail |
|---|---|
| Identification | Vérification raisonnable de l'identité du demandeur |
| Délai de réponse | Un mois, prorogeable (art. 12 RGPD) |
| Gratuité | Première demande sans frais |
| Forme | Réponse claire, concise et intelligible |
| Motivation | Refus toujours motivé |
| Voies de recours | Information sur la CNPD et le tribunal |
| Traçabilité | Registre des demandes et des réponses |
Modalités pratiques
Une demande RGPD doit être enregistrée, qualifiée selon le droit exercé, instruite après vérification proportionnée d'identité, puis traitée dans le délai d'un mois (art. 12 RGPD) par une réponse écrite et sécurisée.
| Étape | Détail |
|---|---|
| Réception | Enregistrement de la demande |
| Qualification | Identification du droit exercé |
| Vérification d'identité | Contrôle proportionné |
| Instruction | Extraction et analyse des données |
| Réponse | Rédaction claire et complète |
| Notification | Envoi sécurisé au salarié |
| Archivage | Conservation de la demande et de la réponse |
Pratiques et recommandations
Mettre en place une procédure écrite de traitement des demandes RGPD avec un point de contact unique (DPO ou référent) et un calendrier interne pour respecter le délai d'un mois.
Utiliser des modèles de réponse standardisés pour chaque type de droit exercé, afin de gagner du temps et de garantir la complétude des informations fournies.
Documenter chaque demande dans un registre dédié avec la nature de la demande, la date, le délai de réponse et l'issue, pour démontrer la diligence en cas de contrôle.
Former les équipes RH à reconnaître les demandes RGPD, y compris lorsqu'elles ne sont pas explicitement formulées comme telles, pour éviter toute perte d'information.
Informer systématiquement le salarié des voies de recours disponibles en cas de refus ou d'insatisfaction, conformément à l'article 12 du RGPD.
Cadre juridique
Plusieurs articles fondent l'obligation de répondre aux demandes.
| Référence | Objet |
|---|---|
| Règlement UE 2016/679 (RGPD) | Protection des données personnelles |
| Art. 12 RGPD | Modalités d'exercice des droits |
| Art. 13 RGPD | Information de la personne concernée |
| Art. 15 RGPD | Droit d'accès |
| Art. 16 RGPD | Droit de rectification |
| Art. 17 RGPD | Droit à l'effacement |
| Art. 18 RGPD | Droit à la limitation |
| Art. 20 RGPD | Droit à la portabilité |
| Art. 21 RGPD | Droit d'opposition |
| Loi du 1er août 2018 | Mise en œuvre du RGPD au Luxembourg |
Note
Un silence persistant ou une réponse tardive constitue un manquement sanctionnable par la CNPD. Les demandes doivent être traitées avec la même diligence quelle que soit la position hiérarchique du salarié. Un refus fondé sur l'absence de motif est irrégulier : le salarié n'a pas à justifier l'exercice de ses droits.