Collecte des données des salariés
Le but d’abord, puis les champs. Un formulaire du personnel est également en cours de traitement.
Qu'est-ce que Collecte des données des salariés?
La collecte excessive se produit en interne, car personne ne considère les formulaires du personnel comme un traitement de données. Un service rapide pour un responsable demande à des centaines de collègues les numéros d'impôt, les anniversaires de famille et l'état de santé avant que quiconque n'en écrive l'objectif, et il atteint également les profils archivés. A l'heure du déjeuner, le délégué à la protection des données est intervenu, les anciens collaborateurs ont transmis des données sensibles et l'autorité de contrôle a écrit. Vous réexécutez ensuite la demande correctement : établissez l'objectif, testez six champs par rapport à celui-ci, divisez les bases juridiques et envoyez un e-mail uniquement aux personnes concernées.
Ce que vous apprendrez dans Collecte des données des salariés
- Établir et consigner la finalité d'une collecte avant de demander la moindre donnée, et poser la question lorsque la finalité n'existe que dans la tête de quelqu'un
- Appliquer la minimisation des données au titre de l'article 5(1)(c) en confrontant chaque champ à la finalité déclarée plutôt qu'à son utilité
- Reconnaître que marquer un champ inutile comme facultatif ne satisfait pas la minimisation, et le supprimer à la place
- Identifier les informations alimentaires, religieuses et de santé comme des données de catégorie particulière au titre de l'article 9 et les collecter derrière un consentement explicite distinct
- Expliquer pourquoi des formulations telles que « obligatoire » ou « urgent » invalident le consentement dans une relation de travail, où le déséquilibre des pouvoirs constitue déjà un risque
- Énumérer les informations de l'article 13 qu'une information de collecte doit contenir : finalité, base légale, durée de conservation, destinataires, droits et coordonnées du DPO
- Associer le service juridique et la Data Protection Officer tant qu'une communication est encore un brouillon plutôt qu'après son envoi
- Délimiter délibérément le public interne et reconnaître que les anciens salariés ne devraient pas recevoir du tout les communications destinées au personnel
Collecte des données des salariés — Étapes de la formation
-
Un service pour Dagny
Lundi, neuf heures vingt. Dagny Sorheim, qui dirige People Operations et enchaîne les réunions depuis huit heures, vous envoie un formulaire et vous demande de le diffuser à tout le monde aujourd'hui. C'est l'affaire de deux minutes. Vous préférez le régler maintenant plutôt que de le laisser traîner dans votre boîte pendant que vous travaillez sur ce que vous aviez réellement prévu.
-
La pièce jointe
Le formulaire vient de Dagny, il n'y a donc aucune raison d'en douter. Téléchargez-le et lancez la diffusion.
-
Un coup d'œil rapide
Vous y jetez le coup d'œil que vous accordez à tout ce qu'un manager transfère : est-ce le bon document, a-t-il un titre, y a-t-il quelque chose de manifestement cassé.
-
Plutôt beaucoup de champs
Il est plus long que prévu. Rien n'y semble franchement faux, c'est simplement beaucoup de cases pour quelque chose présenté comme un petit service.
-
Direction la plateforme
Cela fait beaucoup de questions, mais Dagny l'a demandé et Dagny sait vraisemblablement pourquoi. Quatre autres choses vous attendent. Son e-mail renvoie directement vers Almvik People, la plateforme qui diffuse tout ce qui concerne l'ensemble de l'entreprise.
-
Connexion
Almvik People conserve un profil pour toute personne que l'entreprise a un jour rémunérée, et c'est le seul outil capable de les atteindre toutes en même temps.
-
Tout le monde, c'est vraiment tout le monde
Dagny a dit tout le monde. La plateforme répartit ses profils en groupes, et les sélectionner un par un est exactement le genre de bricolage qui transforme deux minutes en vingt. Il y a un bouton qui les prend tous d'un coup.
-
Joindre le formulaire
La diffusion a ses destinataires. Il lui manque encore la chose que vous demandez réellement de remplir. Almvik People n'envoie pas de diffusion vide, le formulaire passe donc avant tout le reste.
-
Envoyé
Il reste une chose : la note qui accompagne le formulaire. Les communications internes sont ignorées, et vous avez une échéance vendredi, alors vous lui donnez un ton important. Puis vous l'envoyez et reprenez votre matinée.
-
Le téléphone sonne
Vous êtes à mi-chemin du dossier d'intégration des nouveaux arrivants de la semaine prochaine quand votre téléphone sonne. C'est Ines Kovar, la Data Protection Officer, et elle ne vous a jamais appelée auparavant.
Couverture des référentiels de sécurité
CIS Controls
- CIS 3 Data Protection
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.DS Data Security
GDPR
- Art. 5 Principles relating to processing of personal data
- Art. 9 Processing of special categories of personal data
- Art. 13 Information to be provided where personal data are collected