GDPR nelle risorse umane: trattamento dei dati dei dipendenti

Introduzione

Dall'entrata in vigore del Regolamento generale sulla protezione dei dati (GDPR) il 25 maggio 2018, i dipartimenti delle risorse umane sono stati in prima linea nella conformità. Le funzioni delle risorse umane trattano quotidianamente dati personali sensibili: curricula, buste paga, dati sanitari, valutazioni, coordinate bancarie. La cattiva gestione espone l’azienda a sanzioni fino a 20 milioni di euro o al 4% del fatturato globale (articolo 83 del GDPR). Questo articolo presenta gli obblighi principali e le migliori pratiche per proteggere il trattamento dei dati dei dipendenti durante l'intero ciclo delle risorse umane.

I principi fondamentali applicabili ai dati HR

Il GDPR impone sei principi cardinali codificati nell'articolo 5: liceità, lealtà, trasparenza, limitazione delle finalità, minimizzazione, esattezza, limitazione della conservazione e integrità/riservatezza. In pratica, ciò significa che il dipartimento Risorse umane può raccogliere solo i dati strettamente necessari per uno scopo specifico. Ad esempio, chiedere il codice fiscale in fase di candidatura è sproporzionato: è giustificato solo dopo l'assunzione per il DSN.

La CNIL, con deliberazione n. 2019-160 relativo alla gestione del personale, specifica i periodi di conservazione consigliati: 2 anni per le domande non accolte (salvo consenso), 5 anni dopo la partenza per la pratica amministrativa, 6 anni per le buste paga in versione datore di lavoro.

Base giuridica e informazioni per i dipendenti

Contrariamente alla credenza popolare, il consenso è raramente la base giuridica appropriata nelle risorse umane, a causa del rapporto di subordinazione. Le basi rilevanti sono piuttosto l'esecuzione del contratto di lavoro (articolo 6.1.b), l'obbligo legale (articolo 6.1.c) o l'interesse legittimo (articolo 6.1.f). Per i dati sensibili (salute, sindacato), l'articolo 9 richiede una base specifica come l'obbligo in termini di diritto del lavoro.

Il datore di lavoro deve fornire informazioni chiare tramite un avviso GDPR rilasciato al momento dell'assunzione, aggiornare il registro dei trattamenti (articolo 30) e consultare il CSE prima di qualsiasi nuovo trattamento che abbia ripercussioni sui dipendenti (articolo L.2312-38 del Codice del lavoro).

Sicurezza e diritti dei dipendenti

La sicurezza tecnica e organizzativa (articolo 32) richiede: crittografia dell'HRIS, controllo degli accessi per profilo, tracciabilità delle consultazioni, clausole di riservatezza con buste paga o reclutamento subappaltatori (articolo 28). In caso di violazione, notifica alla CNIL entro 72 ore.

I dipendenti hanno diritti rafforzati: accesso, rettifica, cancellazione (limitato dagli obblighi legali di conservazione), portabilità, opposizione. Una procedura interna deve consentire una risposta entro un mese massimo. Il rifiuto di accesso al fascicolo disciplinare deve essere giuridicamente motivato.

Esempi pratici

Esempio 1 – Reclutamento:Una PMI ha conservato i CV di tutti i candidati in una cartella condivisa per 5 anni. Non conforme: durata eccessiva, mancanza di sicurezza. Soluzione: eliminazione automatizzata dopo 2 anni, accesso limitato ai reclutatori, menzione GDPR nell'offerta di lavoro.

Esempio 2 – Videosorveglianza:Un magazzino logistico filma continuamente le postazioni di lavoro. Possibile sanzione (la CNIL ha sanzionato Amazon France Logistique di 32 milioni di euro nel 2024). Soluzione: limitazione alle aree sensibili, informativa individuale, consultazione del CSE, periodo di conservazione massimo di un mese.

Esempio 3 – Strumenti di collaborazione:L'implementazione di Microsoft 365 richiede un'analisi di impatto (AIPD) se le funzioni di monitoraggio sono attivate, nonché una clausola di subappalto conforme con l'editore.

Rispetto e sanzioni

Oltre alle sanzioni della CNIL, il datore di lavoro è esposto ad azioni giudiziarie del lavoro per violazione della privacy (articolo 9 del Codice civile, articolo L.1121-1 del Codice del lavoro). La designazione di un DPO è obbligatoria per i soggetti che trattano dati su larga scala. Una mappatura annuale del trattamento delle risorse umane, abbinata alla formazione dei manager, costituisce la migliore tutela legale e operativa.

Conclusione

La conformità al GDPR nelle risorse umane non è un progetto una tantum ma un processo continuo di miglioramento. Tra obblighi legali, diritti dei dipendenti e performance operativa, i responsabili delle risorse umane devono gestire in modo rigoroso la governance dei dati. Investire in un HRIS conforme, formare i team e documentare ogni elaborazione trasforma i vincoli normativi in ​​una leva di fiducia da parte dei dipendenti.