L'Allemagne fait partie des pays où la législation en matière de protection des données des salariés est la plus stricte. De nombreux employeurs étrangers sous-estiment la rigueur des réglementations relatives au traitement de ces données.
Qu'il s'agisse des dossiers de recrutement, des informations relatives à la paie, du suivi des salariés ou des données relatives à la santé, les employeurs étrangers doivent se conformer à la fois aux règles du RGPD applicables à l'échelle de l'Union européenne et à la législation allemande en matière de protection des données spécifiques au domaine de l'emploi.
Le non-respect de ces lois allemandes peut entraîner des amendes importantes au titre du RGPD, des litiges juridiques, une atteinte à la réputation et des conflits avec les comités d'entreprise. C'est pourquoi ce guide présente les principales lois allemandes en matière de protection des données.
Auteur
L'Allemagne fait partie des pays où la législation en matière de protection des données des salariés est la plus stricte. De nombreux employeurs étrangers sous-estiment la rigueur des réglementations relatives au traitement de ces données.
Qu'il s'agisse des dossiers de recrutement, des informations relatives à la paie, du suivi des salariés ou des données relatives à la santé, les employeurs étrangers doivent se conformer à la fois aux règles du RGPD applicables à l'échelle de l'Union européenne et à la législation allemande en matière de protection des données spécifiques au domaine de l'emploi.
Le non-respect de ces lois allemandes peut entraîner des amendes importantes au titre du RGPD, des litiges juridiques, une atteinte à la réputation et des conflits avec les comités d'entreprise. C'est pourquoi ce guide présente les principales lois allemandes en matière de protection des données.
Auteur
En Allemagne, la protection des données des salariés désigne l'ensemble des règles juridiques qui régissent la manière dont les employeurs collectent, traitent, conservent, contrôlent et partagent les données à caractère personnel de leurs salariés.
Lorsqu'ils traitent des données relatives à leur personnel, les employeurs doivent se conformer à la fois au RGPD et à la loi fédérale sur la protection des données (BDSG).
Les données protégées des salariés peuvent inclure les noms, adresses, informations relatives à la paie, coordonnées bancaires, dossiers médicaux, données de performance, e-mails, utilisation des appareils, informations biométriques et données de surveillance. Ces lois couvrent l'ensemble du cycle de vie de l'emploi, du recrutement à la cessation d'emploi.
L'Allemagne accordant une grande importance au droit à la vie privée des individus, le pays applique une réglementation stricte en matière de protection de la vie privée des salariés. Les employeurs doivent respecter des exigences rigoureuses en matière de transparence, de sécurité et de traitement conforme à la loi. Ces lois doivent être respectées lors de la surveillance des salariés ou du traitement de données à caractère personnel sensibles.
Le RGPD est directement applicable dans toute l'Union européenne et établit des règles exhaustives relatives au traitement des données à caractère personnel, y compris celles des salariés. Le RGPD stipule que vous devez assurer la sécurité des données des salariés et ne les utiliser que pour des raisons claires et légitimes. En vertu de cette règle, les salariés ont le droit de consulter leurs propres données et peuvent demander qu'elles soient modifiées.
Il s'agit d'une loi allemande qui s'inscrit dans le cadre du RGPD. Elle prévoit des règles supplémentaires concernant la collecte et l'utilisation des données des salariés en Allemagne.
Ainsi, en tant qu'employeur étranger, vous devez respecter ces deux lois. Vous vous exposez à une amende en cas de non-respect. Ces lois visent à protéger la vie privée des salariés et à empêcher toute utilisation abusive de leurs données personnelles.
Vous ne pouvez collecter et utiliser les données des salariés que si celles-ci sont nécessaires à l'exercice de leurs fonctions, au recrutement ou à la cessation d'emploi. Conformément à l'article 26 de la BDSG, vous ne pouvez pas les utiliser à d'autres fins sans autorisation.
Certaines données relatives aux salariés sont particulièrement sensibles, comme les informations relatives à la santé, à l'origine ethnique, à la religion ou à l'appartenance syndicale. En règle générale, les employeurs ne peuvent pas utiliser ces données, sauf si le salarié y consent par écrit ou si la loi l'y autorise.
L'article 24 de la BDSG n'autorise le traitement ultérieur à des fins autres que la finalité initiale que sous des conditions strictes, notamment lorsque ce traitement est compatible avec la finalité initiale ou nécessaire à la défense de droits en justice ou à la sécurité publique. Pour déterminer si un motif est valable, il convient avant tout de vérifier s'il relève de l'un de ces trois motifs :
Voici quelques exemples de ces autres finalités :
Vous devez désigner un délégué à la protection des données (DPO) si l'une des conditions suivantes est remplie :
Situation | Quand la désignation d'un délégué à la protection des données (DPO) est-elle obligatoire ? |
Effectif | En Allemagne, la désignation d'un délégué à la protection des données est obligatoire dès lors qu'au moins 20 salariés traitent régulièrement des données à caractère personnel à l'aide de systèmes automatisés (article 38 de la BDSG). |
Données spécifiques + analyse d'impact | Vous devez réaliser une analyse d'impact relative à la protection des données (AIPD), même si votre entreprise compte moins de 20 salariés. |
Vente/partage de données | Votre entreprise collecte et stocke des données à des fins commerciales en vue de leur vente ou de leur transfert (qu'elles soient personnalisées ou anonymisées) |
Études de marché et sondages d'opinion | Votre activité consiste à réaliser des études de marché ou des sondages d'opinion à partir de données à caractère personnel |
Organismes publics | Vous êtes une autorité publique ou un organisme public (sans limite quant au nombre d'employés) |
Données spéciales à grande échelle | Vous traitez des données sensibles (santé, origine ethnique, religion) à grande échelle globeriadatenschutz |
Suivi systématique | Votre activité principale consiste à surveiller régulièrement des personnes (par exemple, à l'aide de caméras de surveillance ou en analysant leur comportement en ligne) |
Le délégué à la protection des données doit remplir les conditions suivantes :
Les comités d'entreprise sont soumis aux obligations prévues par le RGPD et la BDSG ; toutefois, leur rôle exact (responsable du traitement ou entité distincte) présente des complexités juridiques et fait encore l'objet de débats dans la jurisprudence allemande. Ils doivent :
Lorsque le comité d'entreprise traite des données relatives aux salariés, les règles du RGPD s'appliquent toujours. Cela signifie que :
Cette loi s'applique si votre entreprise exerce ses activités dans le secteur des télécommunications ou des services numériques, notamment :
Vous devez alors renforcer la protection des données des utilisateurs. Par exemple, vous devez garantir la confidentialité des communications, obtenir l'autorisation avant de suivre les utilisateurs et indiquer clairement aux utilisateurs et aux employés quelles données sont collectées. Les exigences en matière de consentement aux cookies découlent principalement de la directive européenne « ePrivacy » (transposée en Allemagne par la loi TDDDG) ainsi que des dispositions du RGPD relatives au consentement.
Certains métiers sont soumis à des règles spécifiques en matière de données, car ils traitent des informations sensibles. C'est notamment le cas des secteurs de la santé, de la banque et de la finance, de l'assurance, de l'administration publique, des transports et du commerce de détail qui utilisent des caméras.
Les employeurs peuvent contrôler les e-mails professionnels et l'utilisation d'Internet s'ils ont des raisons spécifiques de le faire, par exemple pour détecter des problèmes techniques. Les employeurs ne doivent pas se fonder sur le consentement comme base juridique principale en raison du déséquilibre des pouvoirs dans les relations de travail ; le traitement des données est généralement justifié en vertu de l'article 26 de la BDSG ou de l'intérêt légitime (article 6 du RGPD). L'accès aux communications personnelles est strictement limité et n'est généralement autorisé que dans des cas exceptionnels, tels que la suspicion d'une activité criminelle, et nécessite souvent des garanties supplémentaires.
Les caméras de vidéosurveillance peuvent être utilisées pour de véritables raisons de sécurité, comme la prévention des vols. Elles ne doivent pas être dissimulées. Elles ne peuvent pas non plus être installées dans des lieux privés tels que les salles de pause ou les vestiaires.
Le suivi par GPS des salariés est autorisé dans certaines circonstances, notamment pour surveiller les livreurs ou les véhicules de service. Les salariés doivent en être informés. Il n'est pas autorisé de les suivre lorsqu'ils se trouvent à leur domicile, sauf s'ils disposent d'équipements de l'entreprise pour leur travail. Une surveillance continue ou excessive est généralement considérée comme disproportionnée et illégale, sauf si elle est strictement nécessaire et justifiée.
La collecte de données biométriques dépend d'un besoin absolu en matière de sécurité ou d'accès. Le consentement explicite n'est valable que dans des cas exceptionnels où il est véritablement volontaire ; dans le cas contraire, le traitement des données biométriques doit être justifié par la nécessité, conformément à l'article 26 de la BDSG ou à l'article 9 du RGPD. Cela est autorisé lorsqu'il n'existe pas de moyen plus simple de procéder. Par exemple, si vous ne pouvez pas utiliser une carte-clé, les données biométriques peuvent alors être utilisées à la place.
Le consentement de l'employé à la surveillance n'est valable que si :
Exigence | Ce que cela signifie |
Libre choix | Un salarié peut refuser sans risquer de perdre son emploi |
Écrit | Le salarié signe ou rédite son accord |
Effacer | Le collaborateur sait exactement ce que vous allez surveiller |
Spécifique | Le consentement porte sur un motif précis, et non sur « tout » |
Peut être retourné | Le salarié peut retirer son consentement ultérieurement |
Pas de pression | Le patron ne peut ni contraindre ni menacer le salarié |
En vertu du RGPD, les employeurs ne peuvent transférer les données de leurs salariés hors de l'UE que si :
Le moyen le plus courant pour les employeurs de transférer légalement des données consiste à se conformer aux clauses contractuelles types (SCC). Il s'agit des clauses suivantes :
Vous pouvez les consulter sur le site web de la Commission européenne.
Vous pouvez transférer les données des salariés en dehors de l'UE si :
Ce pays bénéficie de l'agrément de l'UE (tout comme le Royaume-Uni, (Suisse, Japon) | Aucune étape supplémentaire n'est nécessaire |
Ce pays n'est pas agréé par l'UE (tout comme les États-Unis, (Inde, Chine) | Signer les SCC et vérifier si une protection supplémentaire est nécessaire |
Le consentement explicite est possible, mais rarement recommandé en raison des exigences strictes qu’il implique et de son caractère révocable ; les clauses contractuelles types (SCC) ou les décisions d’adéquation sont préférables. | Consentement écrit + le salarié peut résilier à tout moment |
Documents requis pour le contrat de travail | Uniquement pour des raisons professionnelles spécifiques (comme le versement d'un salaire) |
Les employeurs doivent remettre à leurs salariés une note d'information sur la protection de la vie privée qui précise :
La notification doit être facile à comprendre, rédigée de manière claire et communiquée avant la collecte des données.
La minimisation des données signifie que vous ne collectez que les données nécessaires à l'exercice de la fonction. Les employeurs ne peuvent pas collecter d'informations supplémentaires « au cas où ». Par exemple, pour la plupart des postes, les employeurs n'ont pas besoin de connaître les convictions religieuses de leurs salariés.
Les politiques de conservation des données consistent à ne conserver les données que pendant la durée nécessaire et à les supprimer lorsqu'elles ne sont plus utiles. Par exemple, les employeurs doivent supprimer les données relatives aux candidatures si la personne n'est pas embauchée (généralement dans un délai de 3 à 6 mois).
Les employeurs peuvent réaliser une analyse d'impact relative à la protection des données (DPIA) lorsqu'ils :
Une AIPD est une analyse des risques qui pose les questions suivantes :
Vous devez tenir un registre de tous les traitements de données, notamment :
Que faut-il enregistrer ? | Exemple |
Pourquoi collectez-vous des données ? | Paie, recrutement, sécurité |
Quelles données collectez-vous ? | Nom, adresse, salaire, santé |
Avec qui vous le partagez | Banque, assurance, administration publique |
Combien de temps vous le conservez | Les délais de conservation dépendent des obligations légales (par exemple, 6 à 10 ans pour les documents fiscaux en vertu du droit commercial et fiscal allemand). |
Mesures de sécurité | Mots de passe, chiffrement, fichiers verrouillés |
Les employeurs doivent former les salariés amenés à traiter des données à caractère personnel, tels que le personnel des ressources humaines, les responsables hiérarchiques et les équipes informatiques. Ceux-ci doivent savoir comment protéger ces données et prévenir les violations de données. Les employeurs doivent également disposer de politiques écrites en matière de protection des données. Les formations doivent être mises à jour au moins une fois par an.
Les salariés ont le droit de vous demander :
Demande | Ce que vous devez faire |
Consultez leurs données | Répondre dans un délai d'un mois (ce délai peut être prolongé de deux mois supplémentaires dans les cas complexes). |
Corriger leurs données | Corrigez rapidement les informations erronées |
Supprimer leurs données | Supprimez-le si la loi le permet |
Cessez d'utiliser leurs données | Interrompre la procédure s'ils s'y opposent |
Transférer leurs données | Transmettre des données à une autre entreprise si cela est demandé |
Vous devez :
La protection des données des salariés en Allemagne n’est pas chose aisée. De nombreux employeurs étrangers tentent de s’en charger eux-mêmes, mais se heurtent à des problèmes juridiques. La meilleure approche consiste à faire appel à un prestataire Employer of Record » tel que FMC Group. Celui-ci traite les données avec le plus grand soin, embauche les salariés sans que vous ayez besoin d’une entité locale, gère la paie et les cotisations mensuelles, et bien plus encore.
