Toutes les données ne présentent pas le même risque. Certaines exigent une attention particulière. Dans cette leçon, nous voyons le DNI, les données habituelles du personnel et les catégories particulières de l'article 9 du RGPD.
Le numéro de DNI et les autres identifiants
Le numéro du DNI, du NIE ou du passeport est une donnée personnelle comme une autre. Ce n'est pas une donnée de catégorie particulière, mais il sert à usurper l'identité de quelqu'un, donc il faut le traiter avec soin :
- Ne le demandez que si c'est nécessaire. Si le nom suffit, ne demandez pas aussi le DNI. Le principe de minimisation des données s'applique ici comme à toute autre donnée.
- Ne le publiez pas en entier à côté du nom. Pour publier des actes administratifs contenant des données personnelles, la septième disposition additionnelle de la LOPDGDD exige d'identifier la personne par ses nom et prénom plus quatre chiffres aléatoires de son document. C'est un bon modèle de prudence pour les listes, les panneaux et les avis.
- Ne laissez pas de copies traîner. Une photocopie du DNI oubliée sur un bureau ou dans le bac de l'imprimante est une violation de données personnelles qui attend de se produire.
- Ne l'utilisez pas comme mot de passe ni comme code d'accès, et ne l'envoyez pas par des canaux peu sûrs.
Les données habituelles du personnel
Une entreprise traite beaucoup de données de ses travailleurs : identification, compte bancaire, contrat, fiche de paie, horaires, congés, absences et formation. Presque toutes sont traitées au titre du contrat et des obligations légales. Seuls doivent les voir ceux qui en ont besoin pour leur fonction : le service du personnel et la gestoría voient les fiches de paie, mais le reste du personnel non.
Une règle simple : une donnée sur un collègue ne se commente pas, ne se transfère pas et ne se publie pas sans raison de travail claire. Les fiches de paie, les sanctions, les arrêts maladie et les problèmes personnels ne sont pas un sujet pour le couloir ni pour un groupe de messagerie.
Les catégories particulières de données
L'article 9 du RGPD interdit en principe de traiter ces données :
- l'origine raciale ou ethnique
- les opinions politiques
- les convictions religieuses ou philosophiques
- l'appartenance syndicale
- les données génétiques
- les données biométriques destinées à identifier une personne de manière unique, par exemple une empreinte digitale pour pointer
- les données concernant la santé
- les données concernant la vie sexuelle ou l'orientation sexuelle
Il existe des exceptions, et au travail les plus courantes sont les obligations du droit du travail et de la sécurité sociale (article 9, paragraphe 2, point b) et la médecine du travail. Un exemple : l'entreprise connaît l'arrêt maladie et sa durée, mais n'a pas besoin de connaître le diagnostic. Un autre : la cotisation syndicale n'est retenue sur la fiche de paie que si la personne le demande.
Les données relatives aux condamnations pénales et aux infractions bénéficient aussi d'une protection renforcée. Selon l'article 10 du RGPD, elles ne sont traitées que sous le contrôle d'une autorité publique ou lorsqu'une règle le permet. C'est pourquoi une entreprise ne peut pas demander sans plus un extrait de casier judiciaire à tout le personnel : seulement quand la loi l'exige pour l'activité, par exemple le certificat d'absence d'infractions de nature sexuelle pour travailler avec des mineurs.
Données de santé et données de mineurs
Si, dans votre travail, vous voyez des données de santé (un centre médical, une maison de retraite, une pharmacie, un service de prévention) ou des données de mineurs (une école, une académie), le risque est plus élevé. Appliquez avec plus de rigueur les consignes de votre entreprise et n'utilisez que les systèmes autorisés.
Retenez : plus une donnée est sensible, moins il faut de personnes pour la voir et mieux elle doit être protégée.