Quelles précautions prendre avec un prestataire SIRH traitant des données familiales ?
Réponse courte
Le premier point est que l'externalisation ne déplace pas la responsabilité. L'employeur reste tenu de l'information préalable de l'article L.261-2, de la consultation de la délégation du personnel et de la minimisation : le prestataire agit pour son compte, pas à sa place.
Le deuxième est le périmètre. Le contrat doit limiter les données transmises à ce que la prestation exige réellement : un outil de planification n'a pas besoin des pièces d'état civil, un prestataire de paie n'a pas besoin du motif d'une absence, et aucun des deux n'a besoin de connaître la composition du couple.
Le troisième tient aux champs libres et aux exports. Ce sont eux qui font sortir du périmètre convenu des informations que le paramétrage protégeait, et ils échappent le plus souvent à la revue contractuelle comme au contrôle technique.
Définition
Le traitement pour le compte de l'employeur est celui qu'un prestataire réalise sur instruction, sans déterminer lui-même les finalités. L'employeur en demeure responsable à l'égard des salariés.
Le périmètre contractuel est la description des données transmises, des opérations autorisées et des durées de conservation. Il constitue la première mesure de protection, avant toute mesure technique.
Conditions d’exercice
Les obligations de l'employeur subsistent intégralement.
| Obligation | Maintenue en cas d'externalisation | Fondement |
|---|---|---|
| Information préalable des salariés | Oui | L.261-2 |
| Information de la délégation du personnel | Oui | L.261-2, L.414-3 |
| Minimisation des données transmises | Oui | RGPD, article 5 |
| Durées de conservation | Oui, imposées au prestataire | RGPD, article 5 |
| Sécurité du traitement | Oui, vérifiée contractuellement | RGPD, article 32 |
| Interdiction des données sensibles | Oui | RGPD, article 9 |
| Réponse aux demandes des salariés | Oui, par l'employeur | Loi du 1er août 2018 |
Modalités pratiques
Les points à traiter dans le contrat et dans le paramétrage.
| Point | Contenu |
|---|---|
| Liste des données transmises | Annexée au contrat, limitative |
| Destinataires | Identifiés, y compris les sous-traitants ultérieurs |
| Localisation | Précisée, avec les garanties applicables |
| Champs libres | Désactivés ou encadrés par une consigne écrite |
| Exports | Colonnes limitées au nécessaire ; destinataires tracés |
| Journalisation | Consultations et modifications tracées côté prestataire |
| Fin de contrat | Restitution puis suppression effective, sauvegardes comprises |
| Incidents | Obligation d'information immédiate de l'employeur |
Pratiques et recommandations
Le champ libre est le point de fuite structurel de tous les outils. Une note de gestion mentionnant la composition d'une famille produit exactement l'effet qu'un champ dédié aurait produit, sans avoir été soumise au moindre contrôle contractuel. Sa désactivation, ou à défaut une consigne écrite et un contrôle périodique, est la mesure au meilleur rendement.
Le paramétrage doit précéder la migration. Reprendre un historique complet dans un nouvel outil transfère au prestataire des données que la politique de conservation aurait dû supprimer ; l'occasion de purger est celle du changement d'outil, elle ne se représente pas.
La fin de contrat mérite autant d'attention que son début. La restitution et la suppression effective, sauvegardes comprises, doivent être stipulées et vérifiées : un prestataire quitté sans cette formalité conserve durablement des données dont l'employeur reste responsable.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 | Traitement de données à des fins de surveillance des salariés |
| Art. L.261-2 | Information préalable du salarié et de la délégation du personnel |
| Art. L.414-3 | Information et consultation de la délégation du personnel |
| Loi du 1er août 2018 | Protection des personnes à l'égard du traitement des données |
| RGPD, article 5 | Minimisation, limitation des finalités et de la conservation |
| RGPD, article 9 | Données sensibles, dont l'orientation sexuelle |
| RGPD, article 32 | Sécurité du traitement |
| Art. L.251-1 et L.241-1 | Interdictions de discriminer |
Note
L'externalisation déplace l'exécution, jamais la responsabilité. C'est l'employeur qui répond, devant ses salariés, du traitement réalisé pour son compte.