RGPD et communication interne : ce que chaque responsable RH doit savoir

Ce que le RGPD exige pour la communication professionnelle

Le Règlement général sur la protection des données (RGPD) s'applique à tout traitement de données personnelles au sein de l'UE. Les numéros de téléphone, les noms et les schémas de communication des collaborateurs sont des données personnelles. Cela signifie que tout outil qu'un employeur utilise pour communiquer avec ses collaborateurs doit répondre aux exigences du RGPD.

Les trois exigences fondamentales pour les outils de communication sont :

1. Contrat de traitement des données (DPA) : si le fournisseur de l'outil traite des données personnelles pour le compte de l'employeur, un contrat de traitement écrit est obligatoire.
2. Droit à l'oubli : les collaborateurs ont le droit de faire supprimer leurs données. L'outil doit techniquement le permettre.
3. Minimisation des données : seules les données strictement nécessaires à la finalité sont traitées.

Les trois principaux risques RGPD de WhatsApp pour la communication professionnelle

Risque 1 : Les données de contact sont partagées avec Meta

Lorsqu'un collaborateur installe WhatsApp et autorise l'application à accéder à ses contacts, les numéros de téléphone de toutes les personnes enregistrées, y compris les collègues et les clients, sont téléchargés vers les serveurs de Meta. C'est un transfert de données personnelles à un tiers sans le consentement explicite de ces personnes.

L'Autorité de protection des données belge (APD) et l'autorité hambourgeoise de protection des données (le plus grand régulateur européen pour Meta) ont déjà à plusieurs reprises identifié WhatsApp dans des contextes professionnels comme problématique.

Risque 2 : Aucun contrat de traitement des données possible

Meta ne propose pas de contrat de traitement des données (DPA) pour l'utilisation professionnelle de WhatsApp. Cela signifie que l'employeur ne peut légalement pas démontrer que le traitement des données des collaborateurs via WhatsApp est conforme aux exigences du RGPD. En cas d'audit ou de plainte, l'organisation se trouve dans une position juridique faible.

Risque 3 : Aucun contrôle sur la conservation des données

Lorsqu'un collaborateur quitte l'organisation, l'employeur n'a aucun mécanisme pour supprimer ses données de l'environnement WhatsApp. L'ex-collaborateur conserve l'accès à tous les messages historiques sur son appareil personnel. Toute information confidentielle partagée via WhatsApp reste hors du contrôle de l'organisation.

Ce qu'une plateforme de communication conforme au RGPD doit offrir

Un outil de communication conforme aux exigences du RGPD doit offrir au minimum :

• Contrat de traitement des données : le fournisseur signe un DPA avec l'employeur et assume ainsi les obligations RGPD en tant que sous-traitant.
• Hébergement des données en UE : les données sont stockées sur des serveurs situés dans l'Espace économique européen.
• Droit à l'oubli : les comptes et les données associées peuvent être entièrement supprimés après départ de l'entreprise.
• Contrôle d'accès : l'employeur gère qui a accès à la plateforme, et peut révoquer l'accès immédiatement.
• Séparation vie privée et travail : pas de mélange des données personnelles des collaborateurs avec les données de l'entreprise.

Comment UP2D8 fonctionne de façon conforme au RGPD

UP2D8 a été développé avec la privacy by design comme point de départ. Toute l'infrastructure fonctionne sur des serveurs européens. Chaque client signe un contrat de traitement des données standard avec Rovata BV, la société belge derrière UP2D8.

Les collaborateurs sont ajoutés avec seulement un nom et un numéro de téléphone. Il n'y a aucun lien avec les profils de réseaux sociaux personnels, pas de stockage de données de localisation et pas d'accès à la liste de contacts du téléphone. Lorsqu'un collaborateur quitte l'organisation, son compte peut être supprimé en un clic, y compris toutes les données de communication associées.

UP2D8 satisfait ainsi à toutes les exigences RGPD pour les plateformes de communication interne, et élimine un risque de conformité considérable pour les responsables RH et leurs organisations.

Étape pratique : réalisez un audit RGPD interne de vos outils de communication

Utilisez les questions suivantes pour déterminer rapidement si vos outils de communication actuels contiennent des risques RGPD :

• Avons-nous un contrat de traitement des données signé avec chaque fournisseur d'outil ?
• Savons-nous où sont stockées les données de nos collaborateurs ?
• Pouvons-nous supprimer toutes les données d'un collaborateur après son départ ?
• Avons-nous le contrôle sur qui a accès à quels canaux de communication ?

Si une de ces questions reçoit une réponse « non » ou « je ne sais pas », l'organisation court un risque qui peut être facilement éliminé avec une plateforme de communication professionnelle.