L'Explication Prémisse
Cet article dit simplement que le Code du travail renvoie à un décret (pris en Conseil d’État) le soin de préciser deux choses : quelles informations peuvent être communiquées (par exemple entre employeurs, aux représentants du personnel ou à des tiers) et comment les données à caractère personnel doivent être protégées lorsqu’elles sont transmises. Autrement dit, les règles détaillées (types de données, mesures de sécurité, conditions de communication) ne sont pas écrites ici mais seront fixées par un texte réglementaire auquel l’employeur devra se conformer, en cohérence avec le RGPD et les prescriptions de la CNIL.
Lors de la cession d’une filiale, le repreneur demande une liste des salariés concernés. Conformément au décret prévu par L1263‑2, le service RH ne transmettra que les éléments autorisés (par exemple nom, date d’entrée, classification professionnelle) et s’assurera des mesures de protection : suppression des données non nécessaires (numéros de sécurité sociale, informations médicales), transmission par canal sécurisé (fichier chiffré), durée de conservation limitée, et signature d’un engagement de confidentialité par le repreneur. Les salariés sont informés de la communication et de leurs droits sur ces données.
- Le législateur délègue au pouvoir réglementaire (décret en Conseil d’État) la définition précise des informations communicables et des garanties de protection des données.
- Le décret précisera quelles catégories de données peuvent être transmises et à qui (ex. représentants du personnel, acheteurs, administrations).
- Les conditions de protection couvriront les mesures techniques et organisationnelles (chiffrement, limitation d’accès, pseudonymisation, conservation limitée).
- Obligation de conformité avec le RGPD : licéité de la transmission, minimisation des données, finalité déterminée et durée de conservation limitée.
- Information des personnes concernées : les salariés doivent être informés lorsque leurs données sont communiquées, et peuvent exercer leurs droits (accès, rectification, etc.).
- Compatibilité avec d’autres obligations légales : le décret précisera comment concilier communication d’informations et droits des représentants du personnel ou obligations liées à une restructuration/cession.
- Sanctions possibles en cas de non‑respect : responsabilité civile, sanctions administratives (CNIL) ou pénales en cas de violation grave des règles de protection des données.
- Le décret aura valeur réglementaire : son non‑respect par l’employeur peut entraîner des conséquences juridiques indépendamment des dispositions du Code du travail.