Clause RGPD dans le contrat de travail : 7 mentions obligatoires pour votre conformité
La mise en conformité au Règlement Général sur la Protection des Données (RGPD) est une obligation pour tout employeur traitant les données personnelles de ses collaborateurs. Dès l’embauche, l’entreprise doit assurer une transparence sur la collecte, le traitement et la conservation des informations. L’intégration d’une clause dédiée au sein du contrat de travail répond aux exigences des articles 12, 13 et 14 du RGPD tout en sécurisant la relation contractuelle.
Pourquoi intégrer une clause RGPD est nécessaire
L’employeur est le responsable du traitement des données de ses salariés et a une obligation d’information préalable. Omettre cette étape expose l’entreprise à des sanctions de la CNIL pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Cette démarche renforce la confiance numérique et prévient les contentieux prud’homaux liés à une utilisation opaque des données professionnelles.
Testez vos connaissances RGPD
Clause intégrée ou note d’information séparée ?
Le droit n’impose pas une forme unique. Deux options s’offrent aux services RH :
La clause insérée dans le contrat de travail centralise l’information. Le salarié signe les conditions d’emploi et ses droits liés aux données simultanément, ce qui constitue une solution robuste pour les nouveaux recrutements. La note d’information séparée offre davantage de flexibilité. Elle permet de mettre à jour les modalités de traitement sans modifier le contrat par un avenant formel, une option recommandée pour les entreprises dont les outils de gestion évoluent fréquemment.
Le traitement des données personnelles est une chaîne où chaque maillon compte. Une information mal collectée à l’embauche ou mal sécurisée lors de son transfert vers un logiciel de paie fragilise la crédibilité du dossier salarié. Garantir la conformité assure que chaque étape, de la saisie par les RH jusqu’à l’archivage, respecte la finalité déclarée et les droits du collaborateur.
Les 7 mentions obligatoires à intégrer
Pour être valide, votre document doit contenir les éléments suivants :
Finalité et base légale : Précisez pourquoi vous collectez ces données, comme la gestion de la paie ou l’accès aux outils informatiques, et sur quel fondement juridique vous vous appuyez, généralement l’exécution du contrat de travail.
Droits des salariés : Le salarié dispose d’un droit d’accès, de rectification, d’effacement, de portabilité et de limitation du traitement. Indiquez que l’employeur doit répondre à toute demande dans un délai d’un mois, extensible à trois mois en cas de complexité.
Durée de conservation : Les données ne peuvent être conservées indéfiniment. Les bulletins de paie doivent être archivés pendant 5 ans après le départ du salarié, tandis que d’autres données RH ont des durées de rétention spécifiques qu’il convient d’expliciter.
Modèle de clause type à adapter
Ce modèle est une base de travail à personnaliser selon les spécificités de votre structure et à valider par votre DPO ou votre conseil juridique.
Exemple de formulation : « Conformément au RGPD, le salarié est informé que ses données personnelles font l’objet d’un traitement automatisé pour les finalités suivantes : gestion administrative, paie et accès aux outils informatiques. Ces données sont conservées pour la durée nécessaire à la gestion de la relation contractuelle, augmentée des durées de prescriptions légales. Le salarié dispose d’un droit d’accès, de rectification et d’opposition, qu’il peut exercer en s’adressant au délégué à la protection des données (DPO) de l’entreprise. En cas de non-satisfaction, une réclamation peut être déposée auprès de la CNIL. »
Risques et sanctions en cas de non-conformité
L’omission de cette clause n’est pas une simple erreur administrative. Les contrôles de la CNIL ciblent la gestion des ressources humaines. Une absence d’information claire entraîne des rappels à l’ordre, des injonctions de mise en conformité sous astreinte ou des sanctions financières. Un salarié peut également se prévaloir d’un défaut d’information pour contester la légitimité d’une sanction disciplinaire basée sur des preuves numériques dont la collecte n’aurait pas été notifiée.
Vers une culture de la donnée durable
La rédaction de la clause est une première étape. Pour une conformité pérenne, nommez un responsable de traitement identifiable et sensibilisez les managers aux principes de minimisation des données. Ne collectez que ce qui est nécessaire à l’exécution du contrat. Mettez à jour vos documents internes dès qu’un nouveau traitement est mis en place pour maintenir une transparence totale tout au long de la carrière du collaborateur.
Partager cet article
Articles qui pourraient vous intéresser :
Aide juridique droit du travail : choisir le bon interlocuteur entre Point-justice, avocat et inspection du travail
Grossesse au travail : ce que prévoit le droit sur le licenciement, le poste à risques et les absences payées
Entretien préalable au licenciement : vos droits et les enjeux réels
CDI de droit privé : écrit, clauses utiles et pièges à éviter