Les donnees personnelles des agents territoriaux : un volume considerable
Les collectivites territoriales employent pres de deux millions d’agents en France. Chaque agent genere un volume important de donnees personnelles tout au long de sa carriere : dossier de recrutement, contrat, arrete de nomination, bulletins de paie, evaluations professionnelles, formations, conges, arrets maladie, accidents de service, dossier de retraite. La gestion des ressources humaines constitue donc l’un des traitements les plus sensibles d’une collectivite.
Le RGPD s’applique pleinement a ces traitements. La collectivite agit en qualite de responsable de traitement pour l’ensemble des donnees de ses agents. Elle doit respecter les principes de licite, de loyaute, de transparence, de minimisation et de limitation de la conservation.
Les bases legales des traitements RH dans la fonction publique territoriale
La plupart des traitements RH des collectivites reposent sur l’execution d’une mission d’interet public ou sur le respect d’une obligation legale. Le statut de la fonction publique territoriale, le code general de la fonction publique et les textes reglementaires imposent en effet de nombreuses obligations en matiere de gestion du personnel : tenue du dossier individuel, etablissement de la paie, declaration aux organismes sociaux, suivi medical.
Le consentement de l’agent n’est generalement pas la base legale appropriee pour les traitements lies a la gestion administrative de sa carriere. En revanche, certains traitements accessoires, comme la publication de la photo de l’agent sur l’intranet ou l’annuaire, peuvent reposer sur le consentement.
Le dossier individuel de l’agent : contenu et acces
L’article L. 137-1 du code general de la fonction publique prevoit que le dossier individuel de l’agent ne peut contenir que des pieces relatives a sa situation administrative. Il est interdit d’y inserer toute mention faisant reference aux opinions politiques, syndicales, religieuses ou philosophiques de l’agent, ainsi qu’a son orientation sexuelle.
L’agent dispose d’un droit d’acces a son dossier. Ce droit, consacre par la loi du 12 avril 2000 et renforce par le RGPD, permet a l’agent de consulter l’integralite de son dossier et d’en obtenir copie. La collectivite doit repondre dans le delai d’un mois prevu par le RGPD.
La numerisation du dossier individuel, encouragee par la dematerialisation des procedures RH, doit s’accompagner de mesures de securite renforcees : chiffrement, controle d’acces par profil, tracabilite des consultations et sauvegardes regulieres.
La paie et les declarations sociales
Le traitement de la paie implique la collecte de nombreuses donnees personnelles : identite, adresse, situation familiale, numero de securite sociale, coordonnees bancaires, elements de remuneration. Ces donnees sont transmises a des tiers dans le cadre des obligations legales de l’employeur : URSSAF, caisse de retraite CNRACL ou IRCANTEC, mutuelle, prevoyance.
La collectivite doit s’assurer que les transferts de donnees vers ces organismes sont encadres. Lorsqu’elle utilise un logiciel de paie edite par un prestataire, celui-ci agit en qualite de sous-traitant et doit etre lie par un contrat conforme a l’article 28 du RGPD.
Les bulletins de paie doivent etre conserves de maniere securisee. Le code du travail prevoit une conservation de cinq ans, mais certaines donnees de carriere peuvent etre conservees plus longtemps pour les besoins de reconstitution de carriere et de liquidation de la retraite.
Le recrutement et les candidatures
Lorsqu’une collectivite publie une offre d’emploi et recoit des candidatures, elle collecte des donnees personnelles de candidats. Le RGPD impose de limiter cette collecte aux informations strictement necessaires a l’evaluation de la candidature. Il est interdit de demander des informations sur la vie privee, la situation familiale envisagee, l’etat de grossesse ou les convictions personnelles du candidat.
Les candidatures non retenues doivent etre supprimees dans un delai raisonnable. La CNIL recommande une duree maximale de deux ans apres le dernier contact avec le candidat, sauf accord de celui-ci pour une conservation plus longue dans le cadre d’un vivier de candidatures.
Les donnees de sante des agents
La gestion des arrets maladie, des accidents de service, des restrictions medicales et des visites de medecine preventive genere des donnees de sante, qui constituent des donnees sensibles au sens de l’article 9 du RGPD. Leur traitement n’est autorise que dans des conditions strictement encadrees.
Le service RH ne doit recevoir que les informations necessaires a la gestion administrative de l’absence : dates d’arret, prolongation, aptitude ou restrictions. Le diagnostic medical ne doit jamais figurer dans le dossier RH. Seul le medecin de prevention ou le comite medical ont acces aux informations medicales detaillees.
La collectivite doit mettre en place des mesures de securite renforcees pour ces donnees : acces restreint aux seuls agents habilites du service RH, chiffrement des fichiers, armoires fermees a cle pour les dossiers papier.
Le controle du temps de travail et la badgeuse
De nombreuses collectivites utilisent des systemes de badgeage pour controler le temps de travail de leurs agents. Ces dispositifs collectent des donnees personnelles, horaires d’arrivee et de depart, et doivent faire l’objet d’une inscription au registre des traitements.
L’utilisation de la biometrie, empreinte digitale ou reconnaissance faciale, pour le controle du temps de travail est strictement encadree. La CNIL exige une analyse d’impact prealable et recommande de privilegier des dispositifs moins intrusifs comme le badge sans contact. La biometrie ne doit etre utilisee que si aucune alternative n’est possible et si une justification specifique le permet.
Les donnees de badgeage doivent etre conservees pendant une duree limitee. La CNIL recommande une conservation de cinq ans maximum, en coherence avec le delai de prescription en matiere de droit du travail.
La formation professionnelle et l’evaluation
Le suivi des formations suivies par les agents et les comptes rendus d’entretien professionnel annuel constituent des traitements de donnees personnelles. Les appreciations portees sur l’agent dans le cadre de l’evaluation doivent rester factuelles et proportionnees.
L’agent dispose d’un droit d’acces a son compte rendu d’entretien professionnel et peut formuler des observations. Il peut egalement demander la rectification d’informations inexactes dans son dossier de formation.
Les durees de conservation des donnees RH
Les durees de conservation des donnees RH varient selon la nature des documents. Les dossiers individuels des agents titulaires sont conserves jusqu’a la liquidation de la retraite, puis verses aux archives departementales. Les bulletins de paie sont conserves cinq ans en gestion courante. Les candidatures non retenues sont supprimees dans un delai de deux ans. Les donnees de badgeage sont conservees cinq ans au maximum.
La collectivite doit formaliser ces durees dans un referentiel de conservation et mettre en place des procedures de purge regulieres. Le DPO de la collectivite veille au respect de ces durees et a la suppression effective des donnees perimees.
Informer les agents sur leurs droits
Le RGPD impose au responsable de traitement d’informer les personnes concernees de maniere claire et transparente. La collectivite doit fournir a chaque agent une notice d’information detaillant les traitements de donnees mis en oeuvre, les bases legales, les destinataires, les durees de conservation et les droits dont il dispose.
Cette information peut prendre la forme d’une note de service, d’un document remis lors de l’embauche ou d’une page dediee sur l’intranet. L’essentiel est que chaque agent puisse y acceder facilement et que l’information soit regulierement mise a jour.
Article redige par Laurent de Cavel, DPO certifie.
