Mes données au travail : les droits du salarié

Objectifs professionnels

• Reconnaître l'étendue réelle de la notion de donnée à caractère personnel au travail, y compris les courriels professionnels, et identifier son employeur comme responsable du traitement de ces données.
• Appliquer les six principes de l'article 5 du règlement — et en particulier la limitation des finalités et la minimisation — pour apprécier si une collecte qui le concerne excède ce qui est nécessaire.
• Distinguer les six bases légales de l'article 6 et en déduire pourquoi la plupart des traitements RH ne reposent pas sur son consentement, et ce que cela emporte quant aux droits mobilisables.
• Opposer la règle sèche et sans exception des articles L. 1222-4 et L. 1221-9 du Code du travail — aucune collecte par un dispositif non porté préalablement à sa connaissance — et savoir qu'elle ne suppose aucune démonstration de disproportion.
• Identifier, en tant qu'élu du comité social et économique, lequel des trois régimes de l'article L. 2312-38 s'applique à un outil donné, et situer le moment exact où l'obligation se déclenche.
• Distinguer l'information due spontanément par l'employeur (articles 13 et 14) du droit d'accès qui doit être exercé (article 15), et savoir ce que chacun permet d'obtenir.
• Formuler une demande d'accès qui porte à la fois sur les informations relatives au traitement et sur la copie des données, en s'appuyant sur la solution du 18 juin 2025 pour les courriels professionnels, métadonnées et contenu compris.
• Appliquer les règles de procédure de l'article 12 : délai d'un mois, prolongation de deux mois notifiée dans le mois initial, gratuité de principe, refus motivé, et charge de la démonstration du caractère excessif pesant sur l'employeur.
• Choisir, entre rectification, effacement, limitation, portabilité et opposition, le droit adapté à sa situation, en connaissant les conditions et les exceptions propres à chacun.
• Mobiliser le droit de limitation de l'article 18, paragraphe 1, c), pour faire geler sans supprimer des données nécessaires à sa propre défense en justice.
• Mesurer l'étroitesse réelle du droit à la portabilité — données fournies, base contractuelle ou consensuelle, traitement automatisé — et ne pas le confondre avec un droit d'emport du dossier RH.
• Distinguer l'opposition ordinaire, conditionnelle et arbitrable, de l'opposition absolue à la prospection.
• Identifier une décision automatisée au sens de l'article 22 et exercer les trois garanties du paragraphe 3 : intervention humaine, expression du point de vue, contestation.
• Demander, sur le fondement de l'article 47 de la loi n° 78-17, la communication des règles définissant le traitement et de ses principales caractéristiques de mise en œuvre.
• Savoir que le droit d'introduire une réclamation auprès de la CNIL existe et doit être rappelé par l'employeur en cas de refus, tout en sachant que la procédure de cette réclamation n'est pas enseignée par ce support et doit être vérifiée auprès de la CNIL.
• Construire une demande de réparation qui établit séparément la violation et le dommage, en sachant qu'aucun seuil de gravité n'est exigé pour un préjudice moral établi.
• Distinguer les trois questions que sont l'illicéité du traitement, la recevabilité de la preuve qui en est issue et le droit à réparation.
• Situer les incriminations pénales relatives à la collecte déloyale, au défaut de formalités préalables, à l'atteinte à l'intimité de la vie privée et à l'atteinte au secret des correspondances électroniques, et connaître les réserves de périmètre qui les affectent dans ce corpus.
• Connaître les deux seuils distincts de notification d'une violation de données — risque pour la notification à la CNIL, risque élevé pour l'information des personnes — et ne pas transposer le délai de 72 heures à l'information des personnes.
• Énoncer les lacunes de ce support, en premier lieu l'absence de la procédure de réclamation, des transferts hors Union européenne et du statut du délégué à la protection des données, plutôt que de les combler par une approximation.