Données RH et moyens de contrôle
Le recrutement, la paie, les évaluations et le contrôle d’accès relèvent de la protection des données. Le Code du travail demeure applicable aux relations professionnelles. La dématérialisation d’un outil n’écarte pas les règles sur l’emploi et la preuve. [, , ]
Recommandation : publier une information adaptée aux salariés et candidats. Limiter les habilitations RH, séparer les informations médicales des dossiers courants et documenter les durées par catégorie. Les fichiers conservés sur les postes individuels doivent être intégrés à la cartographie et aux règles de suppression.
Les outils de surveillance doivent être justifiés et proportionnés. L’entreprise devrait préciser les usages autorisés de la messagerie, du réseau et des équipements, ainsi que les contrôles possibles. Le contrôle d’un salarié ne doit pas devenir un accès sans limite à ses données et communications.
Charte informatique et travail à distance
Recommandation : adopter une charte lisible et l’articuler avec les règles internes applicables. Elle doit couvrir les mots de passe, les accès distants, les logiciels, les périphériques, les données confidentielles, les outils d’IA, les incidents et le départ de l’entreprise. Les modalités d’adoption et de communication doivent être examinées au regard du droit du travail.
Pour le travail à distance, préciser l’équipement, la sécurité de connexion, l’assistance, les documents papier, les conditions d’accès et la conduite à tenir en cas de perte. Les appareils personnels demandent une séparation des données et une procédure de restitution ou d’effacement compatible avec les droits du salarié.
Entrées, mobilités et départs
Recommandation : lier les habilitations à la fonction et faire valider les accès sensibles. Une mobilité doit entraîner une revue des anciens droits. Le départ doit couvrir les comptes, sessions, appareils, badges, certificats, boîtes partagées, transferts de dossiers et données détenues localement.
Un départ ne justifie pas l’effacement immédiat de toutes les traces. Les obligations de conservation et besoins de preuve doivent être distingués de l’accès opérationnel. Le Code du travail prévoit notamment des règles propres au registre d’employeur, avec possibilité de fichier électronique fiable et à jour pour certains fascicules et conservation pendant cinq ans après la dernière mention. []