RGPD en RH：員工數據處理指南

《通用數據保護條例》(RGPD)不僅適用於企業與客戶之間的商業關係：它也以非常精確的方式規範員工個人數據的處理。招聘、薪資管理、訪問控制、績效評估、視頻監控……工作合同生命週期的每一個階段都會產生僱主必須嚴格遵照歐洲法律處理的個人數據。罰款最高可達2000萬歐元或全球年營業額的4%，這個問題至關重要。本文詳細介紹了適用的法律基礎、人力資源部門的實際義務和保護您的處理流程的最佳做法——包括在人力資源文件數字化期間。

人力資源數據處理的法律基礎

勞動法中認可的法律基礎

RGPD列舉了六項允許處理個人數據的法律基礎(第6條)。在人力資源背景下，其中三項幾乎總是被動員的：

• 執行工作合同(第6.1.b條)：是管理薪資、監控工作時間、發放工資單或管理假期的主要基礎。

• 法律義務(第6.1.c條)：證明由勞動法或社會立法強制的處理，如聘用前聲明(DPAE)、社會申報表(DSN)或人員登記冊的維護。

• 合法利益(第6.1.f條)：可以支持某些信息安全或內部欺詐預防的處理，但前提是這種利益不被員工的基本權利所取代。

⚠️ 同意基礎在薪資背景下應極其謹慎地使用。CNIL經常提醒說，僱主與員工關係內在的力量失衡使得同意很少是RGPD第7條意義上的「自由」。為可能基於其他法律基礎的處理訴諸同意會使僱主面臨重新定性的風險。

特殊類別數據：加強的制度

人力資源部門收集的某些數據屬於RGPD第9條所述的「敏感數據」制度，其處理原則上是被禁止的，除非有例外：

• 健康數據：病假、職業醫學宣布的不適當、職位調整以應對殘疾。

• 工會數據：工會成員資格、代表性授權。

• 生物識別數據：通過指紋或面部識別的訪問控制。

• 與違規相關的數據：犯罪記錄檢查，僅在受管制部門(安全、兒童等)中允許。

對於這些類別，僱主必須確定明確的例外(第9.2條)，在大多數情況下進行數據保護影響評估(DPIA)，並且通常在部署前諮詢CNIL。

人力資源部門的實際義務

處理活動登記冊

所有僱用250名以上員工的組織都必須維護一份處理活動登記冊(RGPD第30條)。在此閾值以下，一旦處理不是偶發性的或涉及敏感數據，該義務仍然存在——這在人力資源中幾乎總是情況。此登記冊必須記錄：

• 每項處理的目的(例：「薪資單管理」)

• 相關的數據類別

• 接收者(第三方、分包商、當局)

• 保留期限

• 實施的安全措施

CNIL提供了一個可免費下載的登記冊模板。其嚴格維護構成在檢查時的第一道防線。

保留期限：經常被忽視的一點

RGPD第5.1.e條強制保留期限限制原則：數據不應保留超過為其被收集的目的所需的時間。在人力資源中，參考的法定期限如下：

| 數據類型 | 建議的保留期限 | |---|---| | 工資單 | 5年(民事訴訟時效) | | 工作合同 | 合同終止後5年 | | 招聘數據(未被錄用的候選人) | 最後聯繫後最多2年 | | 紀律檔案 | 根據處罰而異(警告最多3年) | | 視頻監控數據 | 一般情況下1個月 | | DSN和人員登記冊 | 員工離職後5年 |

這些期限必須記錄在登記冊中並通過清除或最終歸檔程序執行。

員工信息通知：經常被低估的義務

RGPD第13條強制提供完整的信息通知給收集數據時的相關人員。在人力資源中，此通知應理想地在以下時間提供：

• 從申請開始：用於招聘流程中收集的數據。

• 聘用時：集成到工作合同中或在簽署時作為附件提供。

• 在合同關係期間：每次部署新處理時(例：部署生物識別打卡工具)。

人力資源流程的數字化，特別是通過人力資源簽名電子簽名，有利於此信息提供的可追蹤性：通知的閱讀和簽署日期以可證明的方式帶時間戳，這在訴訟時構成寶貴的證據。

人力資源數據安全：技術和組織措施

加密、訪問控制和隔離

RGPD第32條要求實施適應風險的安全措施。對於本質上敏感且在入侵時被目標的人力資源數據，最少的最佳做法包括：

• 靜態和傳輸中數據的加密：薪資文件、合同和個人檔案必須加密存儲(最少AES-256)並通過安全協議傳輸(TLS 1.3)。

• 基於角色的訪問控制(RBAC)：只有授權的人力資源經理才能訪問薪資數據；團隊主管只能訪問管理所需的數據。

• 訪問日誌記錄：對員工檔案的任何查閱或修改必須使用用戶標識符、日期和時間進行跟蹤。

• 偽名化用於分析處理(人力資源儀表板、薪酬研究)。

人力資源分包商的管理

人力資源部門依靠許多分包商：SIRH編輯商、外包薪資提供商、培訓平台、在線招聘工具。這些第三方中的每一個都必須受符合RGPD第28條的分包合同的約束，特別是規定：

• 分包處理的性質和目的

• 分包商在安全和機密性方面的義務

• 未經事先授權禁止進行分包分包

• 合同結束時數據歸還或銷毀的模式

在選擇提供商時，還應驗證其服務器是否位於歐洲經濟區(EEA)內，或是否為EEA外的傳輸制定了適當的機制(標準合同條款、充分性決定)。

人力資源文件的數字化與RGPD合規性

人力資源流程的不斷數字化——電子工作合同、數字化工資單、遠程簽署修正案——引發了特定的RGPD問題。雖然符合eIDAS的電子簽名提供了不可否認的完整性和真實性保證，但僱主必須確保所使用的平台：

• 在簽署流程中不收集多余的數據(最小化原則，第5.1.c條)

• 以安全的條件和適當的期限內保留簽署證據(審計跟蹤)

• 允許簽署人行使其權利(訪問、更正、刪除在法律限制內)

要進一步了解簽名工具的合規性，Certyneo的完整電子簽名指南詳細介紹了部署前要驗證的技術和法律標準。

員工權利及其有效行使

RGPD保障權利概覽

員工享受RGPD第15至22條規定的所有權利。在人力資源背景下，最經常行使的權利是：

• 訪問權(第15條)：員工可以要求獲得僱主持有的所有涉及其的數據的副本，包括在某些條件下的專業電子郵件交換。

• 更正權(第16條)：更正不準確的數據(銀行賬戶號碼錯誤、學位記錄不當等)。

• 刪除權(第17條)：在人力資源中受法律保留義務限制，但適用於未被錄用的候選人的招聘數據。

• 反對權(第21條)：可針對基於合法利益的處理行使，如某些監控處理。

• 數據可移植權(第20條)：適用於員工本人在合同執行框架內提供的數據。

響應期限和內部程序

僱主有一個月的時間來回應任何權利行使請求，在複雜性或請求量高的情況下可延長至三個月(第12.3條)。為有效組織此處理，建議：

• 指定一個單一的聯繫點(DPO或RGPD代表)來接收請求

• 為員工建立專門的可訪問表格

• 在權利行使請求登記冊中記錄每項請求及其回應

• 培訓人力資源經理識別隱含的請求(要求「個人檔案」的員工事實上在行使訪問權)

企業中DPO的角色

RGPD在三種情況下強制指定數據保護官(DPO)(第37條)：公共當局、大規模處理敏感數據或大規模系統監控。許多人力資源處理重大的企業屬於此義務。DPO可以是內部的或外包的；它必須具有職能獨立性，並應參與所有影響數據保護的決定，包括部署新的數字人力資源工具。其角色是顧問性的，而非決策性的：最終責任仍然是負責處理的人，即僱主。

人力資源數據處理的適用法律框架

RGPD：奠基文本

歐洲議會和理事會2016年4月27日條例(EU)2016/679(RGPD)構成了歐洲個人數據處理的監管基礎。自2018年5月25日以來在所有成員國中直接適用，它適用於處理歐盟居民數據的任何僱主，無論公司國籍如何。在人力資源背景下適用的主要條款是：

• 第5條：基本原則(合法性、忠誠、透明度、最小化、準確性、保留限制、完整性和機密性、問責制)

• 第6條：處理的法律基礎

• 第9條：敏感數據制度

• 第12至22條：相關人員的權利

• 第24至32條：負責處理者和分包商的義務

• 第33-34條：數據違規通知(72小時內通知CNIL，如果風險高則通知人員)

• 第35條：對高風險處理的強制影響評估(DPIA)

• 第83條：行政處罰(最高2000萬歐元或全球營業額的4%)

修改後的《信息和自由法》

在法國法律中，1978年1月6日第78-17號法律關於信息、檔案和自由，由2018年6月20日第2018-493號法律和2018年12月12日第2018-1125號命令修改，通過開放國家措施空間(「開放條款」)來補充RGPD。其中最重要的人力資源：在人員代表機構管理框架內處理工會數據的可能性(法律第9條)，或工作健康數據處理的具體規則。

《勞動法》和社會判例法

《勞動法》強制僱主在部署任何員工監控或控制設備之前要求社會和經濟委員會(CSE)的信息和協商義務(第L. 2312-38條)。缺乏協商會導致所收集證據的不可對抗性以及刑事處罰。

最高法院的判例法經常提醒說控制工具(地理定位、打卡機、活動監控軟件)必須與追求的目標成比例，不能轉向向員工和CNIL申報的其他目的。

人力資源文件的電子簽名：eIDAS和民法

在人力資源合同數字化、修正案或紀律文件時，僱主必須尊重(EU)第910/2014條例eIDAS，該條例定義了三級電子簽名。對於如CDI工作合同或解除協議等有結構的文件，建議採用高級電子簽名(甚至合格簽名)以保證簽署人的身份和文件的完整性。《民法》第1366和1367條規定了電子書寫和電子簽名的證明價值，但前提是簽署人的可靠識別和完整性保證。

CNIL在人力資源方面的處罰

CNIL在人力資源數據處理方面實施了幾項重大處罰：2022年，一家企業因通過屏幕捕獲軟件過度監控遠程工作員工而被罰款40萬歐元。2023年，一家安全公司因未經有效法律基礎收集過多生物識別數據而被罰款20萬歐元。這些決定說明了監管者在此領域越來越多的警惕。

使用場景：人力資源RGPD的實踐

場景1——一家450名員工的中等工業企業使其招聘流程符合規範

一家中等工業企業，在三個地點僱用約450人，每年收到3000多份主動申請，並回應約60個工作機會。簡歷和求職信在六位部門負責人之間共享的電子郵件文件夾中存儲，沒有持續時間限制。沒有關於候選人數據使用的信息通知。

在RGPD審計後，以下行動在六個月內部署：

• 遷移到經RGPD認證的ATS(申請人跟蹤系統)，不活躍24個月後自動清除檔案

• 在每個在線申請表中添加RGPD信息通知

• 通過符合eIDAS的電子簽名平台簽署聘用信和工作合同，將合同返回時間從平均8天減少到不到48小時

• 更新處理活動登記冊，添加12份新的人力資源處理表

結果：隨後18個月內未收到CNIL請求；由於招聘數字化，估計節省1.2個全職工作崗位的人力資源管理。

場景2——一家1200名員工的分銷集團規範其視頻監控政策

一家專門從事食品分銷的集團部署了覆蓋34個銷售點的視頻監控系統。圖像在某些地點保留45天，沒有為員工展示任何信息。多個傳感器永久覆蓋收銀台位置，造成不成比例的監控風險。

在員工向CNIL投訴後，公司進行了包括以下內容的合規性升級：

• 在所有地點將保留期限減少至最多30天

• 重新定位攝像頭以排除對個人工作崗位的連續監控

• 在任何新部署之前咨詢並獲得中央CSE的同意

• 通過工作合同和張貼的內部章程系統地通知員工

結果：CNIL投訴在沒有處罰的情況下結束；隨後年度滿意度調查中測得的社會氛圍改善(「對僱主的信任」項目增加11分)。

場景3——一家外包人力資源顧問事務所保護與客戶的數據傳輸

一家專門從事薪資和人事管理外包的顧問事務所為大約20家中小企業客戶管理員工檔案，代表每月約1800份工資單。薪資文件通過未加密的電子郵件傳輸，沒有符合RGPD第28條的正式分包合同。

該事務所進行了其做法的完整改革：

• 與每位客戶簽署符合第28條的數據處理協議(DPA)，通過允許可追蹤性的電子簽名平台

• 建立安全的客戶門戶(TLS加密+雙因素認證)，用於薪資文件的存儲和檢索

• 在法國認證為HDS的服務器上託管數據，用於工作健康數據

• 起草一份分包政策，規範對第三方的使用(薪資軟件編輯商、檔案保管員)

結果：減少100%的通過未安全電子郵件傳輸的人力資源數據；獲得兩份新的客戶合同，這些合同將RGPD合規性作為其採購招標中的強制選擇標准。

結論

人力資源中的RGPD不僅僅是額外的行政負擔：它是僱主與其協作者之間信任的槓桿，也是在透明度越來越受重視的勞動力市場中的競爭因素。更新的處理活動登記冊、受控的保留期限、正式的員工信息通知、強化的敏感數據安全和合同化的分包商：這些支柱中的每一個都有助於建立既合法又負責任的人力資源政策。

人力資源文件的數字化——合同、修正案、工資單、信息通知——提供了獨特的機會來結合RGPD合規性和運營效率，條件是依靠認證工具。Certyneo通過符合eIDAS的電子簽名解決方案為您提供幫助，該解決方案專為人力資源團隊設計。在Certyneo上發現我們的定價並立即啟動您的免費試用以立即保護您的人力資源文件。