Lorsqu'une entreprise embauche une personne, elle accède à un volume important de données personnelles : nom, numéro d'identification nationale, coordonnées bancaires, historique professionnel, données de santé pour la mutuelle patronale, informations syndicales dans certains cas, géolocalisation si un véhicule de fonction est utilisé. La tentation de traiter ces données avec la même liberté que toute autre ressource interne est compréhensible, mais c'est une erreur aux conséquences réelles. Le Règlement (UE) 2016/679 (RGPD) et la Loi organique espagnole 3/2018 sur la protection des données et la garantie des droits numériques (LOPDGDD) établissent un cadre spécifique pour le contexte de l'emploi que toute entreprise — quelle que soit sa taille — est tenue de respecter.
Ce guide répond, sous forme de questions-réponses, aux interrogations les plus fréquentes des entreprises de Castille-et-León et des Îles Canaries qui cherchent à comprendre ce qu'elles peuvent et ne peuvent pas faire avec les données de leurs salariés.
Quelles données peuvent être traitées et sur quelle base juridique ?
L'article 6 du RGPD exige que tout traitement repose sur une base juridique. Dans le contexte de l'emploi, les trois bases les plus couramment applicables sont :
- Exécution d'un contrat (art. 6.1.b RGPD) : couvre les données nécessaires à la gestion de la relation de travail — salaire, cotisations sociales, gestion des congés, arrêts maladie. Ces traitements ne nécessitent pas le consentement du salarié car ils sont inhérents au contrat.
- Obligation légale (art. 6.1.c RGPD) : couvre ce qu'impose la législation du travail, fiscale ou en matière de prévention des risques — enregistrement du temps de travail (art. 34.9 du Statut des travailleurs), déclaration d'accidents à l'Inspection du travail, conservation des bulletins de paie pendant quatre ans.
- Intérêt légitime du responsable (art. 6.1.f RGPD) : peut fonder certains contrôles patronaux, mais exige une mise en balance réelle entre l'intérêt de l'entreprise et les droits du salarié. L'AEPD et la Cour de justice de l'UE ont averti que l'intérêt légitime n'est pas une base résiduelle utilisable pour tout.
Le consentement est rarement la base appropriée dans la relation de travail. L'AEPD a indiqué dans de nombreuses résolutions que le déséquilibre de pouvoir entre employeur et salarié rend difficilement libre tout consentement donné dans ce contexte, le rendant invalide comme base juridique.
Quelle information le salarié doit-il recevoir ?
Le RGPD (arts. 13-14) oblige le responsable du traitement à informer la personne concernée avant le début du traitement. En pratique, cela signifie que l'entreprise doit remettre à chaque salarié — au moment de l'embauche et par écrit — une notice d'information comprenant :
- L'identité et les coordonnées du responsable du traitement.
- Les finalités du traitement et la base juridique de chacune.
- Les destinataires ou catégories de destinataires (cabinet comptable, mutuelle, administration fiscale, service public de l'emploi, etc.).
- La durée de conservation pour chaque catégorie de données.
- Les droits du salarié et les modalités de leur exercice.
- Le droit d'introduire une réclamation auprès de l'AEPD.
Cette information ne peut pas être noyée dans le contrat de travail ni rédigée en termes génériques. Le non-respect de l'obligation d'information est, en lui-même, une infraction sanctionnable.
Quels droits les salariés ont-ils sur leurs données ?
Les articles 15 à 22 du RGPD reconnaissent aux salariés les mêmes droits qu'à tout autre particulier, avec quelques spécificités dans le contexte de l'emploi :
- Accès (art. 15) : le salarié peut demander quelles données l'entreprise détient à son sujet et en obtenir une copie. Le délai de réponse est d'un mois, prorogeable à trois mois dans les cas complexes ou en présence de nombreuses demandes simultanées.
- Rectification (art. 16) : correction des données inexactes ou incomplètes. Si le salarié constate une erreur dans son dossier RH ou sur son bulletin de paie, il peut en exiger la correction.
- Effacement ou droit à l'oubli (art. 17) : limité dans le contexte de l'emploi par les obligations légales de conservation. Les données ne peuvent pas être effacées pendant la relation de travail ni pendant les délais légaux qui suivent (quatre ans pour les obligations fiscales et de sécurité sociale, par exemple).
- Opposition (art. 21) : le salarié peut s'opposer aux traitements fondés sur l'intérêt légitime. L'entreprise devra démontrer l'existence de motifs légitimes impérieux qui prévalent sur les droits du salarié.
- Limitation du traitement (art. 18) : pendant la résolution d'un litige sur l'exactitude ou la licéité du traitement, le salarié peut demander le blocage de ses données.
- Portabilité (art. 20) : applicable lorsque le traitement est fondé sur le consentement ou le contrat et est effectué par des moyens automatisés. Permet au salarié de recevoir ses données dans un format structuré pour les transmettre à un autre responsable.
- Décisions automatisées (art. 22) : le salarié a le droit de ne pas faire l'objet de décisions fondées exclusivement sur des traitements automatisés qui produisent des effets significatifs à son égard. Cela s'applique, par exemple, aux systèmes entièrement automatisés d'évaluation des performances ou de gestion des absences.
L'entreprise doit répondre à l'ensemble de ces droits dans un délai d'un mois. L'absence de réponse, ou une réponse hors délai, constitue une infraction directement sanctionnable.
L'entreprise peut-elle contrôler le courrier électronique et les appareils du salarié ?
C'est l'une des questions les plus fréquentes — et celle qui a généré le plus de résolutions de l'AEPD et d'arrêts du Tribunal Suprême. La réponse n'est ni un oui ni un non catégorique : tout dépend des modalités.
L'article 87 de la LOPDGDD reconnaît le droit à la vie privée des salariés dans l'utilisation des appareils numériques mis à leur disposition par l'entreprise. Il établit que les employeurs peuvent fixer des règles d'utilisation — y compris l'accès aux contenus pour vérifier le respect des obligations professionnelles —, mais seulement s'ils en ont informé préalablement les salariés, en précisant les usages autorisés et la possibilité de contrôle.
La jurisprudence consolidée de la Cour européenne des droits de l'homme (affaire Barbulescu II, 2017) et du Tribunal constitutionnel espagnol exige que le contrôle patronal respecte trois conditions :
- Adéquation : la mesure est appropriée à la finalité de contrôle légitime poursuivie.
- Nécessité : aucune mesure moins intrusive ne permettrait d'atteindre le même résultat.
- Proportionnalité stricte : l'avantage pour l'entreprise l'emporte sur le coût pour la vie privée du salarié.
Sans information préalable ni politique d'utilisation documentée, le contrôle de l'appareil ou du courrier professionnel peut être déclaré nul comme élément de preuve dans une procédure disciplinaire ou judiciaire.
Quand la vidéosurveillance sur le lieu de travail est-elle licite ?
L'article 89 de la LOPDGDD réglemente l'utilisation des caméras à des fins de contrôle professionnel. Les conditions sont cumulatives : l'entreprise doit informer préalablement les salariés et leurs représentants de l'existence des caméras, de leur finalité et de leur emplacement ; les caméras ne peuvent pas être installées dans les espaces de repos, les vestiaires, les sanitaires ni d'autres espaces intimes ; et les enregistrements ne peuvent être conservés que le temps nécessaire, avec un maximum d'un mois sauf s'ils font l'objet d'une enquête disciplinaire ou judiciaire en cours.
Le panneau d'avertissement visible est obligatoire même lorsque les salariés ont déjà été informés individuellement. L'AEPD a sanctionné des entreprises disposant de caméras sans signalisation, même lorsque celles-ci n'étaient utilisées qu'à des fins de contrôle d'accès.
L'entreprise peut-elle utiliser des systèmes de géolocalisation dans les véhicules ou les appareils ?
L'article 90 de la LOPDGDD autorise l'utilisation de systèmes de géolocalisation pour contrôler l'activité professionnelle des salariés, mais avec des conditions équivalentes à celles de la vidéosurveillance : information préalable claire (finalité, durée de conservation, accès aux données), limitation aux heures de travail et proportionnalité avec l'objectif poursuivi.
Une entreprise de transport ou de services à domicile peut géolocaliser ses véhicules pour gérer les tournées et vérifier les horaires. Ce qu'elle ne peut pas faire, c'est utiliser ces données pour sanctionner un salarié pour des faits survenus hors de son temps de travail, ou sans l'avoir informé de cette possibilité.
Qu'en est-il du droit à la déconnexion numérique ?
L'article 88 de la LOPDGDD reconnaît le droit à la déconnexion numérique en dehors des heures de travail. Cela signifie que l'entreprise ne peut pas — directement ou indirectement — exiger une disponibilité en dehors du temps de travail du salarié, ni traiter les données relatives à sa connectivité ou à son activité pendant cette période. Les entreprises de plus de 250 salariés ou tenues de négocier un plan d'égalité doivent élaborer une politique interne de déconnexion numérique, de préférence négociée avec les représentants des salariés.
Les données de santé des salariés peuvent-elles être traitées ?
Les données de santé sont une catégorie particulière (art. 9 RGPD) qui ne peut être traitée que dans des cas limitativement prévus. Dans le contexte de l'emploi, les bases habituelles sont :
- Respect des obligations en matière de sécurité sociale et de droit du travail (art. 9.2.b).
- Médecine préventive et du travail, évaluation de la capacité de travail du salarié, sous obligation de secret professionnel du personnel de santé (art. 9.2.h).
Le responsable des ressources humaines n'a pas accès au diagnostic médical d'un salarié. Il ne peut connaître que le verdict d'aptitude (apte/inapte, avec ou sans restrictions) émis par le service de prévention. Partager davantage d'informations entre services internes constitue une violation des règles relatives aux données de catégorie particulière, avec les circonstances aggravantes que cela implique au regard du régime de sanctions de l'article 83 du RGPD.
Quelles sanctions l'AEPD peut-elle infliger ?
L'article 83 du RGPD établit un cadre de sanctions à deux niveaux, sans fixer de montants automatiques : la gravité de l'infraction, l'intentionnalité, le nombre de personnes concernées, les mesures prises pour atténuer le préjudice et la coopération avec l'autorité de contrôle sont des facteurs que l'AEPD prend en compte dans chaque dossier. Les infractions les plus graves — telles que le traitement de données sans base juridique, le non-respect des droits des personnes concernées ou le manquement aux garanties relatives aux données de catégorie particulière — relèvent du niveau supérieur. L'AEPD publie ses résolutions en accès libre, ce qui crée un risque réputationnel s'ajoutant au risque purement financier.
Comment l'entreprise doit-elle gérer les données à la fin de la relation de travail ?
Lorsque le contrat est rompu, l'entreprise ne peut pas conserver indéfiniment les données de l'ancien salarié. La règle générale est de ne conserver que ce qu'exigent les obligations légales — quatre ans pour les obligations fiscales et de sécurité sociale, un an pour les procès-verbaux d'infraction au droit du travail, le délai de prescription applicable pour les éventuelles réclamations — et d'effacer ou de bloquer le reste. Le compte de messagerie professionnel de l'ancien salarié doit être désactivé dans un délai raisonnable, et les messages stockés ne peuvent pas être consultés sans motif justifié.
Lorsqu'un système de vidéosurveillance est en place, les enregistrements dans lesquels apparaît l'ancien salarié sont soumis à la durée maximale de conservation d'un mois, sauf s'ils font l'objet d'une procédure en cours.
Quel rôle joue le cabinet comptable ou l'expert-comptable chargé des salaires ?
Lorsqu'une entreprise externalise la gestion de la paie à un cabinet comptable ou à un conseil juridique, ce cabinet devient sous-traitant au sens de l'article 28 du RGPD. Cela signifie que la relation doit être formalisée par un contrat de sous-traitance de données couvrant, au minimum : les instructions du responsable du traitement, les obligations de confidentialité du personnel du sous-traitant, les mesures de sécurité requises, l'interdiction de recourir à un autre sous-traitant sans autorisation préalable, l'assistance dans l'exercice des droits des personnes concernées, et le retour ou la destruction des données à l'issue de la mission. Sans ce contrat, les deux parties sont en infraction au regard du RGPD.
Summum Consultoría peut-elle accompagner mon entreprise ?
La conformité au RGPD dans le contexte de l'emploi combine droit de la protection des données, droit du travail et, dans de nombreux cas, négociation collective. Elle ne peut pas être résolue avec une clause type téléchargée sur internet. Chez Summum Consultoría, nous accompagnons les entreprises dans leur mise en conformité au RGPD et à la LOPDGDD : nous passons en revue les traitements existants, rédigeons la documentation nécessaire — registre des activités de traitement, notices d'information, contrats de sous-traitance, politique d'utilisation des appareils — et formons les équipes RH à leurs obligations concrètes. Notre rôle est d'aider à respecter la règlementation ; la décision finale sur chaque traitement incombe toujours à l'entreprise en tant que responsable du traitement. Pour les questions de protection des données nécessitant une fonction dédiée, notre service de Délégué à la protection des données externe (DPD) peut également vous intéresser.