Le RGPD chez Oxil : comment nous protégeons les données personnelles de vos salariés

Des missions RH pleinement soumises au RGPD

Les données que nous traitons pour nos clients sont des données à caractère personnel au sens du RGPD : elles se rapportent à des personnes identifiées, les salariés de l'entreprise. Leur traitement doit donc respecter les grands principes du règlement, notamment la limitation des finalités, la minimisation des données, la sécurité et la limitation de la durée de conservation.

Dans ce cadre, les rôles sont clairement répartis. L'entreprise cliente est responsable de traitement : c'est elle qui décide de lancer un projet, de déployer un outil ou de produire un document, et qui en fixe les finalités. Oxil intervient en tant que sous-traitant au sens du RGPD : nous traitons les données pour le compte de notre client, sur ses instructions, et uniquement pour la mission qui nous est confiée. Cette répartition n'est pas qu'une formalité juridique puisque c'est elle qui détermine qui fait quoi, et qui garantit que les données ne sont jamais utilisées à d'autres fins que celles prévues.

Un cadre contractuel clair avec chaque client

L'article 28 du RGPD impose que la relation entre un responsable de traitement et son sous-traitant soit encadrée par un contrat. Nous signons donc avec chacun de nos clients un accord de sous-traitance des données. Ce document précise l'objet et la durée du traitement, la nature des données concernées et les catégories de personnes visées. Il formalise aussi nos engagements : ne traiter les données que sur instruction documentée du client, garantir la confidentialité des personnes qui y ont accès, mettre en œuvre des mesures de sécurité appropriées, aider le client à répondre aux demandes des salariés, et supprimer les données au terme de la mission.

Pour nos clients, cet accord constitue une garantie concrète. Il leur permet de démontrer, en cas de contrôle, que le recours à un prestataire s'inscrit dans un cadre conforme au RGPD.

Une organisation dédiée à la protection des données

Au-delà du volet contractuel, la conformité RGPD suppose une organisation interne capable de la faire vivre au quotidien. Nous avons désigné un délégué à la protection des données (DPO), déclaré auprès de la CNIL. Il est l'interlocuteur identifié de nos clients sur toutes les questions liées au RGPD.

Nous tenons également un registre des activités de traitement, comme l'exige l'article 30 du RGPD pour les sous-traitants. Ce registre recense, pour chaque client, les catégories de traitements que nous effectuons pour son compte et les mesures de sécurité associées. Il nous permet de documenter nos pratiques et de rendre compte, à tout moment, de la manière dont les données nous sont confiées et traitées.

Ne traiter que les données strictement nécessaires

Le principe de minimisation est au cœur de notre approche. Pour chaque mission, nous ne demandons à nos clients que les données strictement nécessaires à l'objectif poursuivi. Les données sensibles au sens de l'article 9 du RGPD, comme les données de santé, ne sont généralement pas requises pour nos missions (à l'exception notable des données relatives à la situation de handicap, nécessaires à l'élaboration des BDESE), et nous ne les collectons que si elles sont absolument nécessaires à la réalisation de notre mission.

Cette exigence vaut aussi pour les outils RH que nous développons. Un outil qui accède aux données des salariés doit être conçu pour n'utiliser que ce dont il a besoin, et pour n'être accessible qu'aux personnes habilitées. Nos développements sont par ailleurs testés sans données réelles, afin qu'aucune information personnelle ne circule en dehors du strict nécessaire. La minimisation a ainsi une double vertu : elle réduit le risque, puisqu'une donnée qui n'est pas transmise ne peut pas être exposée, et elle simplifie le travail des équipes RH, qui n'ont pas à extraire ni à transmettre des informations inutiles.

Les droits des salariés, pris en compte de bout en bout

Le RGPD reconnaît aux salariés plusieurs droits sur leurs données, notamment le droit d'accès, le droit de rectification et le droit à l'effacement, dans les conditions prévues par le règlement. Ces droits s'exercent auprès de l'employeur, responsable de traitement. En tant que sous-traitant, nous l'assistons pour y répondre rapidement : identifier les données détenues, corriger une information inexacte, ou supprimer une donnée lorsque c'est justifié.

Le droit de rectification prend un relief particulier dans les missions RH. Un salarié qui relève une erreur dans un document qui lui est remis, ou dans les informations affichées par un outil RH, doit pouvoir la signaler et obtenir une correction. Notre organisation permet de traiter ces demandes sans délai, en lien avec les équipes RH de l'entreprise.

Une fin de mission maîtrisée

Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire. À l'issue de chaque mission, nous détruisons les données qui nous ont été confiées, selon une procédure formalisée, et nous remettons à notre client une attestation de destruction des données. Le client dispose ainsi d'une preuve écrite que ses données n'existent plus chez son prestataire, un élément précieux pour sa propre documentation de conformité.