Comment garantir la confidentialité des dossiers familiaux LGBTQIA+ dans un système RH ?
Réponse courte
Par le principe du besoin d'en connaître, appliqué au niveau du champ et non du dossier. Un manager a besoin de savoir qu'un salarié est absent et jusqu'à quelle date ; il n'a pas besoin de connaître le motif de l'absence, la pièce produite ni la composition de la famille.
Le cloisonnement technique doit précéder les consignes. Tant que le dossier reste consultable en entier par toute personne disposant d'un accès RH, la confidentialité repose sur la discipline individuelle — protection fragile, et invérifiable en cas d'incident.
La traçabilité complète le dispositif. Journaliser les consultations transforme une règle déclarative en règle contrôlable, et fournit la seule preuve utilisable si un salarié soutient que son dossier a circulé au-delà des personnes habilitées.
Définition
L'habilitation est le droit d'accès accordé à une personne identifiée pour une finalité déterminée. Elle se définit par profil et se révise, notamment lors des changements de fonction.
Le cloisonnement est la séparation des données selon leur sensibilité, de sorte qu'un accès légitime à une catégorie n'ouvre pas l'accès aux autres. Il est l'application technique du principe de minimisation.
Conditions d’exercice
Le périmètre d'accès se définit par fonction, en partant de ce que chacun doit décider.
| Profil | Doit connaître | Ne doit pas connaître |
|---|---|---|
| Manager | Dates d'absence, formule de congé | Motif, pièces, situation familiale |
| Gestionnaire de paie | Suspension du contrat, durée de travail | Composition du couple, mode de filiation |
| Gestionnaire du dossier | Pièces justificatives, références | — |
| Direction | Données agrégées | Dossiers individuels |
| Prestataire externe | Strict nécessaire au traitement confié | Le reste |
| Délégation du personnel | Informations collectives sur les traitements | Dossiers nominatifs |
Modalités pratiques
Les mesures utiles sont peu nombreuses et se vérifient.
| Mesure | Contenu |
|---|---|
| Profils d'habilitation | Définis par fonction, revus lors des mobilités et des départs |
| Cloisonnement des champs | Pièces et motifs séparés des données de planification |
| Journalisation | Consultations et modifications tracées, avec conservation limitée |
| Champs libres | Encadrés ou supprimés : ils échappent à tout cloisonnement |
| Exports et tableaux de suivi | Recensés ; ne contenir que les colonnes nécessaires |
| Sous-traitance | Périmètre contractuel restreint aux données utiles |
| Incidents | Procédure de constat, d'information de la personne et, le cas échéant, de notification |
Pratiques et recommandations
Les fuites viennent rarement du dossier principal, où les données sensibles sont en général correctement identifiées. Elles viennent d'un tableau partagé pour organiser les remplacements, d'un export vers un prestataire ou d'un courriel de coordination qui reprend le motif de l'absence. Recenser ces flux vaut mieux que renforcer une base déjà correctement protégée.
Le champ libre est l'angle mort structurel. Un commentaire de gestion notant « couple de femmes, deuxième mère en cours d'adoption » produit exactement l'effet qu'un champ dédié à l'orientation sexuelle aurait produit, sans avoir été soumis au moindre contrôle. Sa suppression ou son encadrement est la mesure au meilleur rendement.
La journalisation ne sert que si elle est exploitée. Un accès enregistré mais jamais examiné n'a d'effet que dissuasif ; prévoir une revue périodique, même sommaire, transforme la trace en contrôle et donne du crédit au dispositif lorsqu'il est contesté.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 | Traitement de données à caractère personnel à des fins de surveillance des salariés |
| Art. L.261-2 | Information préalable du salarié et de la délégation du personnel |
| Art. L.414-3 | Information et consultation de la délégation du personnel |
| Art. L.251-1 | Interdiction de la discrimination fondée sur l'orientation sexuelle |
| Art. L.241-1 | Discrimination fondée sur le sexe, y compris par référence à l'état familial |
| Loi du 1er août 2018 | Protection des personnes à l'égard du traitement des données |
| RGPD, articles 5 et 32 | Minimisation, limitation de la conservation, sécurité du traitement |
| RGPD, article 9 | Données sensibles, dont l'orientation sexuelle |
Note
Une consigne de confidentialité sans cloisonnement technique ne protège rien : elle déplace la responsabilité sur les gestionnaires sans réduire l'exposition des données.