Gouvernance de la protection des données des employés pour GDPR et ISO/IEC 27701

Sarah, RSSI d’une entreprise SaaS en forte croissance, est entrée confiante dans la réunion de lancement de l’audit.

Son équipe avait consacré l’année précédente au durcissement des plateformes exposées aux clients, à l’alignement du SMSI sur ISO/IEC 27001:2022 et à la documentation des contrôles GDPR applicables aux données clients. Les questionnaires de sécurité étaient plus propres. Les diligences préalables des clients étaient plus rapides. Le conseil d’administration commençait enfin à percevoir la conformité comme un levier commercial.

Puis l’auditeur principal a changé d’angle.

« Votre gouvernance des données clients semble solide », a-t-il déclaré. « Parlons maintenant de vos personnes concernées internes. Vos employés. »

Il a demandé le cycle de vie des données, de la candidature à la fin du contrat. Il a demandé la base légale et l’évaluation de proportionnalité du nouvel outil de surveillance du télétravail. Il a demandé l’annexe de sécurité fournisseur pour le SIRH cloud. Il a demandé comment les accès à la paie, aux dossiers médicaux, aux notes disciplinaires et aux données de surveillance étaient revus après les changements de rôle.

La salle est devenue silencieuse.

L’organisation de Sarah avait des politiques, mais elles étaient dispersées entre documents RH, procédures informatiques, modèles achats et dossiers juridiques. La protection des données des employés était traitée comme « un sujet RH », séparé de l’architecture de sécurité, du risque fournisseur, de la réponse aux incidents, du contrôle d’accès et des éléments probants d’audit. L’entreprise s’était concentrée sur la porte d’entrée, les données clients, tout en laissant la porte interne RH insuffisamment gouvernée.

C’est le véritable problème de gouvernance de la protection des données des employés. La question n’est pas seulement de savoir si l’organisation dispose d’une mention d’information, mais si elle peut démontrer, activité par activité, que les données à caractère personnel des employés sont collectées loyalement, utilisées pour une finalité définie, protégées selon le principe du moindre privilège, conservées uniquement pendant la durée nécessaire, divulguées de manière transparente, puis supprimées ou restituées lorsque la relation prend fin.

ISO/IEC 27701:2025 et GDPR poussent les organisations vers un système opérationnel de management des informations relatives à la vie privée, et non vers une bibliothèque statique de politiques. Pour les RSSI, responsables RH, responsables conformité, auditeurs et propriétaires métier, l’objectif consiste à transformer la protection des données des employés en workflow gouverné, avec des responsables désignés, des registres, des éléments probants, des contrôles fournisseurs et une supervision par la direction.

L’approche de Clarysec est volontairement pratique. Elle relie la logique PIMS d’ISO/IEC 27701:2025, la responsabilité au titre de GDPR, la gouvernance ISO/IEC 27001:2022, les contrôles ISO/IEC 27002:2022 et les attentes de cartographie croisée de conformité issues de NIS2, DORA, NIST CSF 2.0 et COBIT 2019 dans un modèle opérationnel prêt pour l’audit.

Pourquoi la protection des données des employés reste un angle mort pour le RSSI

De nombreuses organisations font d’abord mûrir leur gouvernance de la protection des données autour des clients. Les mentions d’information destinées aux clients, les bandeaux cookies, les registres de consentement marketing, les contrats de sous-traitance et les communications de violation à destination des clients sont visibles pour les acheteurs, les autorités de régulation et les équipes commerciales.

La protection des données des employés est plus fragmentée.

Les données à caractère personnel des employés apparaissent dans le recrutement, l’intégration, la paie, les avantages sociaux, la gestion des accès, les journaux de sécurité, la gestion des équipements, les outils de productivité, les plateformes collaboratives, les évaluations des performances, les systèmes de formation, les systèmes de déplacement, les dispositifs d’alerte, la vérification des antécédents, les dossiers de santé et sécurité et les archives de départ.

Au titre de GDPR, les données à caractère personnel incluent toute information se rapportant à une personne identifiée ou identifiable. Le traitement comprend la collecte, le stockage, la consultation, l’utilisation, la divulgation, l’effacement et la destruction. La plupart des activités RH et des technologies liées au personnel entrent donc dans le périmètre de GDPR.

Les données des employés comportent aussi fréquemment des catégories à risque plus élevé. Des informations de santé peuvent apparaître dans les dossiers d’arrêt maladie ou de médecine du travail. L’appartenance syndicale peut être traitée dans la paie ou les relations sociales. Des données biométriques peuvent être utilisées pour l’accès physique, le suivi du temps ou la vérification d’identité. GDPR Article 9 impose des conditions plus strictes pour les catégories particulières de données à caractère personnel ; les RH ne peuvent donc pas s’appuyer sur un raisonnement générique de « besoin métier ».

La relation de travail crée également une complexité juridique. Le consentement peut être peu fiable, car les employés peuvent ne pas se sentir libres de refuser. De nombreuses activités de traitement reposent plutôt sur le contrat, l’obligation légale, les intérêts légitimes ou des exigences particulières du droit du travail, selon la juridiction et la finalité.

La conséquence pratique est simple : la protection des données des employés ne peut pas être gouvernée au moyen d’un contrôle générique unique. La paie, la surveillance sur le lieu de travail, le filtrage des candidatures, la gestion des contacts d’urgence, la journalisation des accès et la gestion des dossiers disciplinaires nécessitent chacun des finalités, bases légales, règles de conservation, restrictions d’accès, obligations fournisseurs et éléments probants distincts.

La Politique de protection de la vie privée des employés Politique de protection de la vie privée des employés de Clarysec rend cette spécificité opérationnelle :

« [Responsable du traitement] Le responsable de processus / responsable métier DOIT documenter les catégories de données à caractère personnel des employés, la population d’employés, la source de collecte, la finalité du traitement, le système, la catégorie de destinataires internes, la catégorie de destinataires externes et le lien avec la conservation dans REG02 avant l’approbation de l’activité de traitement. »

Extrait de la section « Inventaire des traitements des employés et finalités des traitements RH », clause de politique 4.1.2.

Cette clause modifie le modèle opérationnel. Les RH ne peuvent pas simplement activer un nouvel outil ou processus. Le propriétaire doit documenter ce qui est collecté, pourquoi c’est collecté, qui le reçoit, où les données sont hébergées et comment la conservation est rattachée, avant approbation.

Le socle GDPR : licite, loyal, limité et démontrable

GDPR Article 5 établit le socle de la gouvernance de la protection des données des employés : licéité, loyauté et transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité, et responsabilité.

Pour les équipes RH, ces principes se traduisent en questions pratiques :

La Politique de protection des données et de la vie privée Politique de protection des données et de la vie privée de Clarysec énonce directement le principe de base légale :

« Tout traitement doit être fondé sur une base légale valide (par exemple, consentement, contrat, obligation légale). »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.1.1.

Pour les PME, la Politique de protection des données et de la vie privée - PME Politique de protection des données et de la vie privée - PME de Clarysec inclut explicitement les données du personnel dans le champ d’application :

« Cette politique s’applique aux données concernant les clients, le personnel, les fournisseurs et toute autre personne identifiable. »

Extrait de la section « Champ d’application », clause de politique 2.2.

La même politique PME transforme la responsabilité en exigence de registre :

« Le coordinateur de la protection des données doit tenir un registre de toutes les activités de traitement de données à caractère personnel, incluant les catégories de données, la finalité, la base légale et les durées de conservation. »

Extrait de la section « Exigences de gouvernance », clause de politique 5.2.1.

Pour la protection des données des employés, le registre n’est pas de la bureaucratie. C’est la surface de contrôle. Sans lui, l’organisation ne peut pas répondre de manière fiable aux questions d’audit de base : quels systèmes RH contiennent des données à caractère personnel des employés, quelle base légale soutient l’analyse des données du personnel, quels responsables peuvent voir les données salariales, quand les dossiers des candidats non retenus sont supprimés et quel fournisseur héberge les dossiers de médecine du travail.

ISO/IEC 27701:2025 et ISO/IEC 27001:2022 : de la politique RH aux éléments probants PIMS

ISO/IEC 27701:2025 étend la gouvernance de la protection des données à un système structuré de management des informations relatives à la vie privée, ou PIMS. Pour la protection des données des employés, cela signifie que les données RH doivent être gouvernées au moyen de rôles définis, d’activités de traitement documentées, de mentions d’information, de gestion des droits, de supervision des fournisseurs, de règles de conservation, de workflows d’incidents et d’amélioration continue.

Cette approche s’intègre naturellement à ISO/IEC 27001:2022. La protection des données des employés relève du SMSI, car elle dépend des mêmes disciplines de système de management : périmètre, contexte, parties intéressées, leadership, appréciation des risques, contrôles, éléments probants, surveillance, audit interne, revue de direction et amélioration.

Trois clauses ISO/IEC 27001:2022 sont particulièrement importantes :

• Clause 4.1, contexte de l’organisation, exige que l’organisation comprenne les enjeux internes et externes, y compris les obligations légales et les obligations relatives à la protection des données du personnel.
• Clause 4.2, besoins et attentes des parties intéressées, inclut les employés, autorités de régulation, clients, auditeurs, fournisseurs, assureurs et comités d’entreprise le cas échéant.
• Clause 5.1, leadership et engagement, exige que la direction intègre le SMSI dans les processus opérationnels et soutienne l’amélioration continue.

Le Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint de Clarysec pose le socle pratique dans la phase Controls in Action, étape 23, lorsqu’il traite le contrôle ISO/IEC 27002:2022 5.34, Privacy and Protection of Personally Identifiable Information :

« Le fondement de ce contrôle est la connaissance des données. L’organisation doit savoir quelles PII elle collecte, où elles résident, pourquoi elles sont traitées et qui peut y accéder. Sans ce socle, toute promesse en matière de vie privée est vide. »

Extrait de la phase Controls in Action, étape 23 : Contrôles organisationnels, contrôle 5.34.

Le Zenith Controls: The Cross-Compliance Guide Zenith Controls de Clarysec identifie les contrôles thématiques ISO/IEC 27002:2022 comme « Privacy and Protection of PII » contrôle 5.34, « Terms and Conditions of Employment » contrôle 6.2, et « Responsibilities After Termination or Change of Employment » contrôle 6.5.

Ces contrôles montrent pourquoi la protection des données des employés n’est pas seulement un sujet du bureau de la protection des données. Elle touche les conditions d’emploi, l’utilisation acceptable, la confidentialité, les changements de rôle, les revues d’accès, le départ, les contrats fournisseurs, la surveillance de sécurité et les obligations postérieures à l’emploi.

Les sept questions de la gouvernance de la protection des données des employés

Un programme opérationnel de protection des données des employés commence par sept questions. Chaque question doit produire des éléments probants, et pas seulement une discussion.

Ce modèle est centré sur les éléments probants, car les auditeurs ne veulent pas seulement entendre que les données RH sont protégées. Ils veulent voir le registre, la mention d’information, la revue d’accès, l’enregistrement fournisseur, le calendrier de conservation, le journal de suppression et le workflow d’incident.

Surveillance sur le lieu de travail : le test le plus sensible

La surveillance sur le lieu de travail est le point où la gouvernance de la protection des données des employés est le plus souvent mise à l’épreuve. La surveillance peut être légitime, mais elle doit être proportionnée, transparente, limitée à une finalité et soumise à des contrôles d’accès. La « surveillance de sécurité » ne doit pas devenir une justification générale pour la surveillance de la productivité, la notation comportementale, la journalisation des frappes clavier, l’enregistrement dissimulé ou le profilage excessif des employés.

La Politique d’utilisation acceptable - PME Politique d’utilisation acceptable - PME de Clarysec fixe une limite pratique :

« La surveillance doit être limitée à des finalités métier légitimes et conduite conformément aux lois applicables en matière de vie privée. »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.3.2.

Pour les environnements d’entreprise, la Politique d’utilisation acceptable Politique d’utilisation acceptable de Clarysec exige que les attentes relatives à la surveillance soient communiquées :

« Être communiqué aux utilisateurs au moyen de l’intégration, des mentions d’information relatives à la vie privée et de la formation de sensibilisation. »

Extrait de la section « Application et conformité », clause de politique 8.1.2.2.

Un workflow d’approbation mature pour un nouvel outil de surveillance de la productivité doit inclure les étapes suivantes avant activation :

1. Définir précisément la finalité, par exemple surveillance de sécurité, planification des effectifs, détection du risque interne, analyse de productivité ou éléments probants disciplinaires.
2. Identifier la population d’employés, y compris les employés, contractants, télétravailleurs, utilisateurs à privilèges élevés ou fonctions réglementées.
3. Documenter les catégories de données surveillées, par exemple l’utilisation des applications, les URL, les captures d’écran, la localisation, les métadonnées de communications ou le contenu.
4. Confirmer la base légale et la nécessité. Si les intérêts légitimes sont utilisés, documenter la proportionnalité, les mesures de protection et l’impact sur les employés.
5. Mettre à jour les enregistrements relatifs à la transparence. La Politique de protection de la vie privée des employés exige :

« [Responsable du traitement] Le responsable de la protection des données / responsable PIMS DOIT tenir un enregistrement de mention d’information destinée aux employés dans REG07 avant que des données à caractère personnel des employés soient collectées directement ou indirectement pour une finalité nouvelle ou substantiellement modifiée. »

Extrait de la section « Collecte des données des employés et mentions d’information destinées aux employés », clause de politique 4.2.3.

6. Mettre à jour l’inventaire des traitements. La Politique de protection de la vie privée des employés exige également :

« [Responsable du traitement] Le responsable de processus / responsable métier DOIT enregistrer la finalité de la surveillance des employés, la population d’employés, le système de surveillance, les catégories de données surveillées, les catégories de destinataires internes, les catégories de destinataires externes et le lien avec la conservation dans REG02 avant l’activation ou la modification substantielle de la surveillance des employés. »

Extrait de la section « Surveillance des employés et traitements RH à fort impact », clause de politique 4.6.1.

7. Restreindre les accès. La Politique de protection des données et de la vie privée - PME indique :

« L’accès utilisateur aux données à caractère personnel doit être limité aux rôles disposant d’un besoin métier documenté. »

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.2.

Les responsables hiérarchiques ne doivent pas recevoir automatiquement les données brutes de surveillance. Les vues RH, sécurité, juridique et direction doivent être définies selon la finalité et le besoin. L’accès aux éléments probants disciplinaires doit être approuvé séparément, journalisé et revu périodiquement.

Un enregistrement pratique d’approbation de la surveillance RH

Un workflow défendable pour un outil de surveillance peut être construit à partir des registres et approbations Clarysec.

Cela donne à l’organisation une réponse défendable si un employé demande : « Pourquoi collectez-vous cela ? » ou si un auditeur demande : « Montrez-moi où cette surveillance a été approuvée. »

Contrôles du cycle de vie : intégration, changements de rôle, départ et suppression

La gouvernance de la protection des données des employés doit suivre le cycle de vie de l’employé.

Lors de l’intégration, les responsabilités en matière de protection des données et de sécurité doivent être intégrées dans les conditions d’emploi, l’utilisation acceptable, la confidentialité, la formation de sensibilisation et les mentions d’information. Le contrôle ISO/IEC 27002:2022 6.2, Terms and conditions of employment, soutient cette attente en exigeant que les responsabilités de sécurité de l’information soient reflétées dans les dispositions d’emploi.

Lors des changements de rôle, les accès doivent être revus. Un responsable qui passe des RH à la Finance ne doit pas conserver l’accès au SIRH. Un développeur qui quitte un rôle d’ingénierie à privilèges ne doit pas conserver l’accès aux journaux de production contenant des identifiants d’employés. La dérive des accès est à la fois un risque de sécurité et un risque pour la protection des données.

Le Zenith Blueprint, dans la phase Controls in Action, étape 16, explique le contrôle ISO/IEC 27002:2022 6.5, Responsibilities After Termination or Change of Employment :

« Si l’employé fait l’objet d’un transfert interne, une attention particulière doit être portée aux droits d’accès. Les privilèges antérieurs qui ne sont plus nécessaires doivent être révoqués afin d’éviter la “dérive des accès”. »

Extrait de la phase Controls in Action, étape 16 : Contrôles relatifs aux personnes II, processus de départ et de changement de rôle, contrôle 6.5.

Lors du départ, la suppression des accès doit être rapide et complète sur le SIRH, la paie, le VPN, les fournisseurs d’identité, les plateformes collaboratives, les référentiels documentaires, l’accès physique, les comptes à privilèges et les portails fournisseurs. Le personnel sortant doit également recevoir un rappel des obligations de confidentialité qui perdurent.

La conservation et la suppression constituent souvent les contrôles du cycle de vie les plus faibles. D’anciens exports de paie restent sur des lecteurs partagés. Les boîtes aux lettres d’anciens employés sont archivées sans revue. Les dossiers de recrutement conservent des CV indéfiniment. Des responsables conservent localement des notes disciplinaires. Les sauvegardes préservent des enregistrements longtemps après leur suppression dans les systèmes actifs.

La Politique de conservation et d’élimination des données Politique de conservation et d’élimination des données de Clarysec relie directement la conservation aux obligations de vie privée :

« Veiller à ce que la conservation des informations personnellement identifiables (PII) respecte les lois relatives à la vie privée et les mentions d’information de l’organisation. »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.2.2.3.

Le Zenith Blueprint, dans la phase Controls in Action, étape 19, explique le contrôle ISO/IEC 27002:2022 8.10, Information Deletion :

« Ce contrôle garantit que les données ne sont pas conservées plus longtemps que nécessaire et que, lorsqu’elles ne sont plus nécessaires, elles doivent être supprimées de manière sûre et fiable. »

Extrait de la phase Controls in Action, étape 19 : Contrôles technologiques I, contrôle 8.10.

La suppression doit être gouvernée à trois niveaux :

• Niveau métier, avec une conservation définie pour le recrutement, la paie, les avantages sociaux, la performance, la formation, la santé et sécurité, les journaux d’accès, les enregistrements de surveillance, les réclamations et les dossiers de départ.
• Niveau système, avec une conservation configurée dans le SIRH, les systèmes de tickets, les plateformes de journalisation, les boîtes aux lettres, les outils de protection des terminaux et les sauvegardes lorsque c’est faisable.
• Niveau éléments probants, avec journaux de suppression, certificats d’élimination, approbations et exceptions de conservation pour litige.

Si les RH ne peuvent pas expliquer pourquoi les enregistrements de surveillance d’un ancien employé restent disponibles deux ans plus tard, l’organisation peut avoir un problème de responsabilité au titre de GDPR même en l’absence de violation.

Demandes d’exercice des droits des employés et incidents

Les employés disposent de droits d’accès, de rectification, d’effacement, de limitation, de portabilité lorsque applicable et d’opposition, sous réserve des conditions et exemptions légales. Ces demandes peuvent être plus sensibles que les demandes clients, car elles surviennent souvent lors de réclamations, de procédures disciplinaires, de restructurations, de départs ou d’enquêtes liées à un dispositif d’alerte.

La politique de protection de la vie privée d’entreprise de Clarysec exige un processus DSR documenté :

« Le délégué à la protection des données (DPO) doit maintenir des processus documentés pour la réception, la validation, le suivi et la réponse aux demandes des personnes concernées (DSR). »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.4.1.

La Politique de protection des données et de la vie privée - PME fournit un délai opérationnel :

« Le coordinateur de la protection des données doit accuser réception des demandes dans un délai de 3 jours ouvrés et répondre dans un délai de 30 jours. »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.5.2.

La Politique de protection de la vie privée des employés ajoute une exigence d’orientation propre aux employés :

« [Responsable du traitement] Le responsable de la protection des données / responsable PIMS DOIT enregistrer ou orienter chaque demande d’exercice des droits d’un employé dans REG06 dans les deux jours ouvrés suivant sa réception. »

Extrait de la section « Gestion des droits des employés », clause de politique 4.5.1.

Les équipes RH reçoivent souvent les demandes informelles en premier, par exemple : « Envoyez-moi tout ce que vous avez sur mon évaluation de performance » ou « Je veux toutes les données de surveillance collectées à mon sujet ». Si les RH traitent la demande uniquement comme un sujet de relations sociales, les délais applicables à la protection des données peuvent être manqués.

Un workflow mature définit les canaux de réception, la vérification de l’identité, la clarification du périmètre, les emplacements de recherche, la revue des exemptions, le traitement des données de tiers, l’approbation de la réponse et la conservation des éléments probants. Il précise également quand les services juridique, RH, sécurité et le DPO doivent être impliqués.

La même discipline probatoire s’applique aux incidents. GDPR définit une violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données. Un courriel de paie mal adressé, un accès excessif d’un responsable à des dossiers médicaux ou un compte SIRH compromis peuvent déclencher une évaluation d’une violation de données à caractère personnel, et pas seulement une réponse aux incidents informatiques.

Fournisseurs RH et chaîne cachée de sous-traitants

La plupart des données à caractère personnel des employés transitent désormais par des fournisseurs. Prestataires de paie, plateformes SIRH, systèmes de recrutement, services de vérification des antécédents, administrateurs d’avantages sociaux, plateformes d’apprentissage, prestataires de santé au travail, outils d’engagement et fournisseurs de surveillance des employés peuvent tous traiter des données à caractère personnel des employés.

Les rôles de responsable du traitement et de sous-traitant doivent être clairs. Lorsque l’organisation détermine les finalités et les moyens du traitement des données des employés, elle agit en tant que responsable du traitement. Lorsqu’un prestataire traite les données selon les instructions du responsable du traitement, il est généralement sous-traitant. Les chaînes de sous-traitants ultérieurs sont importantes, car les données des employés peuvent circuler via des prestataires d’hébergement, des outils d’analyse, des systèmes de support et des affiliés régionaux.

La Politique de protection de la vie privée des employés exige une gouvernance des fournisseurs avant l’intégration ou le renouvellement d’un fournisseur RH :

« [Responsable du traitement] Le responsable fournisseur / achats DOIT enregistrer la finalité du service, les catégories de données à caractère personnel des employés, les instructions de traitement, le lieu de traitement, l’implication de sous-traitants ultérieurs, les attentes d’assistance aux droits, les attentes de notification d’incident et les attentes de restitution ou de suppression dans REG08 avant l’approbation de l’intégration ou du renouvellement d’un fournisseur RH. »

Extrait de la section « Sous-traitants RH, paie, SIRH, avantages sociaux et fournisseurs de filtrage », clause de politique 4.7.2.

La Politique de sécurité des tiers et des fournisseurs Politique de sécurité des tiers et des fournisseurs de Clarysec soutient cette exigence en imposant que la gouvernance des fournisseurs couvre :

« Les exigences de traitement des données, y compris le lieu de stockage, les contrôles d’accès et les clauses de restitution ou de destruction. »

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.2.

Le Zenith Blueprint, dans la phase Controls in Action, étape 23, explique les accords fournisseurs au titre du contrôle ISO/IEC 27002:2022 5.20, Addressing information security within supplier agreements :

« La structure de l’accord compte. Ces clauses peuvent figurer dans un Master Services Agreement, un accord de traitement des données (DPA) dédié ou une annexe de sécurité autonome. Ce qui compte, c’est qu’elles existent et qu’elles soient comprises et acceptées par les deux parties. »

Extrait de la phase Controls in Action, étape 23 : Contrôles organisationnels, contrôle 5.20.

Pour les fournisseurs RH, la liste de contrôle contractuelle doit inclure la finalité, les instructions, la confidentialité, le contrôle d’accès, le chiffrement, le lieu d’hébergement, l’approbation des sous-traitants ultérieurs, les délais de notification des violations, l’assistance DSR, les droits d’audit, la conservation, la restitution, la suppression et le support de fin de contrat.

Cartographie croisée de conformité pour la gouvernance de la protection des données des employés

La protection des données des employés n’est pas isolée de la gouvernance de la cybersécurité. NIS2, DORA, NIST CSF 2.0 et COBIT 2019 renforcent tous le même principe : les organisations doivent disposer d’une gouvernance documentée, responsable et testable des risques, des accès, des fournisseurs, des incidents, de la formation et de la continuité.

NIS2 Article 20 met l’accent sur l’approbation par l’organe de direction, la supervision, la responsabilité et la formation à la cybersécurité. Article 21 exige des mesures techniques, opérationnelles et organisationnelles appropriées de gestion des risques de cybersécurité, y compris des politiques d’analyse des risques, de gestion des incidents, de continuité d’activité, de sécurité de la chaîne d’approvisionnement, de sécurité RH, de contrôle d’accès, de gestion des actifs, de formation, de cryptographie et d’efficacité des contrôles.

DORA est pertinent pour les entités financières et les prestataires TIC qui les servent. Il exige la gestion des risques liés aux TIC, le signalement des incidents, les tests de résilience opérationnelle numérique, le partage d’informations et la gestion des risques liés aux tiers TIC. Les outils SaaS RH, les systèmes d’identité et les services managés peuvent entrer dans cette cartographie des dépendances.

NIST CSF 2.0 ajoute la fonction GOVERN, qui attend des organisations qu’elles comprennent les obligations légales et réglementaires, les attentes des parties prenantes, les dépendances, l’appétence au risque et la stratégie de gestion des risques. La protection des données des employés s’intègre naturellement à cette couche de gouvernance.

Ce que les auditeurs demanderont

Des auditeurs différents examinent le même processus RH sous des angles différents. Un programme solide de protection des données des employés doit satisfaire chacun d’eux sans créer de silos d’éléments probants séparés.

Le Zenith Blueprint renforce cette logique d’audit orientée éléments probants pour la protection des PII :

« Du point de vue de l’audit, ce contrôle est de plus en plus scruté. Auditeurs, autorités de régulation et clients veulent tous voir :

✓ Où résident les PII,

✓ Quelle base légale régit leur traitement,

✓ Comment l’accès est restreint,

✓ Comment les incidents sont signalés,

✓ Et comment l’organisation respecte les droits et maintient la transparence. »

Extrait de la phase Controls in Action, étape 23 : Contrôles organisationnels, contrôle 5.34.

Cette liste constitue un ordre du jour d’audit pratique pour la protection des données des employés.

Un sprint de 90 jours pour mettre en place une protection des données des employés prête pour l’audit

Les organisations n’ont pas besoin de tout résoudre en une seule fois. Un sprint ciblé de 90 jours peut créer le socle.

Les écueils courants à éviter incluent le fait de considérer les RH comme exemptées parce qu’elles sont internes, d’utiliser des descriptions vagues de bases légales, de mélanger surveillance de sécurité et surveillance de la productivité, d’autoriser un accès non maîtrisé des responsables, d’intégrer un SaaS RH sans revue de protection des données, de conserver indéfiniment les données d’anciens employés et de ne pas répéter la gestion des DSR employés.

Transformer l’angle mort en système gouverné

La gouvernance de la protection des données des employés au titre d’ISO/IEC 27701:2025 et de GDPR ne se résout pas par la publication d’une mention d’information. Elle se résout par la construction d’un modèle opérationnel répétable : inventaire des traitements, cartographie des bases légales, transparence, contrôle d’accès, gouvernance des fournisseurs, conservation, suppression, gestion des droits, réponse aux violations et éléments probants d’audit.

Clarysec donne aux équipes la structure nécessaire pour y parvenir sans partir d’une page blanche :

• Utilisez la Politique de protection de la vie privée des employés pour gouverner les traitements RH, la surveillance, les mentions destinées aux employés, les demandes d’exercice des droits et les fournisseurs RH.
• Utilisez la Politique de protection des données et de la vie privée et la Politique de protection des données et de la vie privée - PME pour ancrer la base légale, les registres, les restrictions d’accès et les workflows DSR.
• Utilisez la Politique d’utilisation acceptable et la Politique d’utilisation acceptable - PME pour définir des limites de surveillance respectueuses de la vie privée.
• Utilisez la Politique de conservation et d’élimination des données pour aligner la conservation et la suppression des données des employés sur les mentions d’information et les obligations légales.
• Utilisez la Politique de sécurité des tiers et des fournisseurs pour contrôler les sous-traitants RH, la paie, le SIRH, les avantages sociaux, le filtrage et les fournisseurs de surveillance.
• Utilisez le Zenith Blueprint pour mettre en œuvre la feuille de route en 30 étapes, de la gouvernance au fonctionnement des contrôles et à la préparation à l’audit.
• Utilisez Zenith Controls comme boussole de cartographie croisée de conformité pour l’alignement GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIS2, DORA, NIST CSF 2.0 et COBIT 2019.

Si votre équipe RH s’apprête à déployer un outil de surveillance, à renouveler un contrat SIRH, à répondre à une demande d’exercice des droits d’un employé ou à préparer un audit PIMS, commencez par une question :

Pouvons-nous démontrer quelles données à caractère personnel des employés nous traitons, pourquoi nous les traitons, qui peut y accéder, combien de temps nous les conservons, quels fournisseurs y ont accès et comment les employés peuvent exercer leurs droits ?

Si la réponse n’est pas encore « oui », Clarysec peut vous aider à construire la chaîne d’éléments probants. Téléchargez le kit Clarysec de politique de protection de la vie privée des employés, revoyez votre inventaire des traitements RH ou planifiez une évaluation de gouvernance de la protection des données pour transformer la protection des données des employés, d’une surprise d’audit, en programme maîtrisé et mesurable.