Ressources humaines : la CNIL contrôle cinquante entreprises !

26/06/2008 - Echos des séances

La CNIL a décidé d’effectuer des contrôles sur les fichiers de gestion des ressources humaines d’entreprises. Ces contrôles ont conduit pour certains, à l’engagement de procédures de sanction. Ils ont également démontré la nécessaire vigilance qui doit accompagner le développement par les entreprises des outils informatiques concernant la gestion de leurs salariés.

Le contrôle par la CNIL des conditions de mise en œuvre de la loi "informatique et libertés" par les entreprises dans le cadre de leurs applications «RH» constituait une activité importante de son programme annuel de contrôle adopté le 23 mai 2007. En outre, certains de ces contrôles résultaient de l’instruction de plaintes.

Les constats les plus fréquemment établis concernent la mauvaise information des salariés sur leurs droits, la faiblesse des mesures de sécurité mises en place, notamment en cas de transfert à l’étranger de données, ou l’absence de politique de purge des données.

Ces contrôles ont également permis à la CNIL d’avoir une vision précise de l’évolution des pratiques des entreprises sur des sujets nouveaux.

Les dispositifs d’alerte professionnelle sont peu utilisés par les entreprises

Les contrôles menés ont permis de constater l’absence d’utilisation, par les salariés français, des dispositifs dits «d’alerte professionnelle». Si les quelques contrôles effectués ne permettent pas d’avoir une vison globale de leur utilisation en France, la tendance qui se dégage paraît toutefois indiquer que ces dispositifs ne présentent guère d’utilité au regard des dispositions du code du travail ou de l’utilisation, classique, de la voie hiérarchique afin de signaler des dysfonctionnements.

… Les sociétés contrôlées ayant mis en œuvre des dispositifs d’alerte professionnelle, ou envisageant de le faire dans un bref délai, n’ont pas effectué les formalités préalables prévues par la loi. Cette absence de formalités préalables ne résulte pas d’une ignorance des obligations issues de la loi de 1978 mais d’une sorte de «réticence» à porter à la connaissance de la Commission des traitements dont la conformité ne correspond pas aux principes dégagés par la CNIL dans ses différentes décisions.

Le développement des flux transfrontières

La Commission a aussi pu constater le développement important des flux transfrontières de données opérés par les grandes entreprises en matière de gestion des ressources humaines. Ce développement ne s’est pourtant pas accompagné d’un effort suffisant afin de veiller au respect des règles relatives à la protection des données à caractère personnel : absence d’information des personnes, méconnaissance de la durée de conservation des données une fois transférées, absence d’autorisation de la CNIL pourtant prévue par la loi et dont la méconnaissance est constitutive d’un délit lourdement sanctionné (cinq ans d’emprisonnement et 300 000 euros d’amende).

L’ensemble de ces constats milite pour une vigilance toujours accrue en matière de respect de la loi "informatique et libertés", corollaire nécessaire au développement constant des outils informatiques dans le monde du travail et des entreprises mondialisées.