À compter de janvier 2023, la loi californienne sur la protection des consommateurs (CCPA) étendra son champ d'application aux données des employés grâce à la promulgation de la loi californienne sur les droits à la vie privée (CPRA). Cette mise à jour de la CCPA présente des similitudes avec l'inclusion des données personnelles des employés dans le Règlement général sur la protection des données (RGPD) de l'Union européenne. Cet article aidera les employeurs à comprendre quand ils doivent obtenir le consentement de leurs employés avant de collecter leurs données personnelles.
Comment le CCPA et le CPRA affectent-ils la collecte de données des employés ?
La loi californienne sur la protection de la vie privée des consommateurs (CCPA) garantit la confidentialité des données et la protection des consommateurs résidant en Californie. Elle leur confère plusieurs droits, notamment celui de savoir quelles informations personnelles sont collectées par une entreprise, celui de les faire supprimer et celui de s'opposer à la vente de ces informations. La loi californienne sur la protection des données personnelles des employés (CPRA) complète la CCPA et étend ces droits aux salariés. De plus, en vertu de la CPRA, les employeurs doivent informer leurs employés de la protection des données au moment de la collecte de leurs informations personnelles, ou avant. Enfin, si des données personnelles sont partagées avec un tiers, l'employeur doit conclure un accord de protection des données avec ce dernier afin de protéger les informations de ses employés, et ce depuis janvier 2023.
Quelles entreprises sont soumises à la CCPA et à la CPRA ?
Les entreprises à but lucratif qui exercent leurs activités en Californie et qui répondent à au moins un des critères suivants :
- Les entreprises dont le chiffre d'affaires annuel brut dépasse 25 millions de dollars, ou
- Les entreprises qui achètent, vendent ou partagent annuellement les renseignements personnels de 100 000 consommateurs ou ménages ou plus, ou
- Les entreprises qui tirent au moins 50 % de leur chiffre d'affaires annuel de la vente ou du partage d'informations personnelles des consommateurs
Quel est l’impact du RGPD sur la collecte des données des employés ?
Le RGPD est une loi européenne sur la protection des données qui impose des exigences strictes en matière de collecte, de stockage et d'utilisation des données personnelles. Conformément au RGPD, les employés doivent donner leur consentement pour que leurs employeurs collectent leurs données personnelles. Les employeurs doivent également informer leurs employés de la manière dont ils traitent, stockent, enregistrent, collectent, organisent, consultent, utilisent ou divulguent leurs données. De plus, les employeurs doivent informer les employés de leur droit de mettre à jour et de corriger leurs informations personnelles.
Qu’est-ce qui est considéré comme une information personnelle d’un employé ?
Aux termes du RGPD et du CCPA/CPRA, les données personnelles désignent généralement toute information relative à une personne physique identifiable, directement ou indirectement. Cela inclut, sans s'y limiter, les informations issues d'une vérification des antécédents, les coordonnées bancaires pour le virement automatique, les adresses électroniques et postales, ainsi que les informations médicales. En résumé, presque toutes les informations collectées par un employeur sur ses employés peuvent être considérées comme des données personnelles.
Le lieu de travail d'un employé a-t-il une incidence sur la collecte de données personnelles ?
- Les employeurs doivent se conformer au RGPD pour les employés situés dans l'UE, que ces employés résident ou non dans l'UE ou qu'ils soient citoyens de l'UE.
- Il convient de noter que la CPRA ne s'applique qu'aux employés résidant en Californie.
Si votre entreprise s'étend sur plusieurs États (ou pays), il est crucial de comprendre les lois du travail et les lois sur la protection des données de chaque juridiction.
