Analyse de contrat

I. Contexte et objet de la note Notre cliente, Nexalis Technologies SAS, éditeur de logiciels de gestion des ressources humaines, fait l'objet d'un contrôle de la CNIL, notre interlocutrice étant Mme Laure Fontanel. Le dossier a été ouvert au cabinet le 10 août 2025. Le risque financier identifié à ce stade s'élève à 24 000 EUR. La présente note a pour objet de qualifier les bases légales applicables aux traitements

II. Qualification préalable des rôles Il convient de distinguer les traitements pour lesquels Nexalis agit en qualité de sous-traitant (article 28 RGPD) pour le compte de ses clients employeurs, et ceux pour lesquels elle est responsable de traitement (article 4.7 RGPD), notamment la gestion de son propre personnel et l'amélioration de ses produits. Cette distinction conditionne l'analyse des bases légales, lesquelle

III. Analyse des bases légales par finalité

1. Gestion administrative du personnel et paie. La base légale appropriée est l'exécution du contrat de travail (article 6.1.b RGPD) pour les opérations strictement nécessaires à la relation contractuelle, et le respect d'obligations légales (article 6.1.c) pour les déclarations sociales et fiscales, en application notamment des articles L.3243-2 et R.3243-1 du code du travail (bulletin de paie) et L.133-5-3 du code

2. Recrutement. Les traitements de candidatures reposent sur les mesures précontractuelles (article 6.1.b). Les articles L.1221-6 à L.1221-9 du code du travail imposent que les informations demandées présentent un lien direct et nécessaire avec l'emploi proposé et que le candidat soit informé des dispositifs de collecte.

3. Contrôle de l'activité et outils informatiques. La base légale mobilisable est l'intérêt légitime (article 6.1.f), sous réserve du test de proportionnalité, de l'information préalable des salariés (article L.1222-4 du code du travail) et de la consultation du comité social et économique (article L.2312-38 du code du travail). Le principe de proportionnalité posé par l'article L.1121-1 du code du travail encadre to

4. Fonctionnalités analytiques et amélioration des logiciels. L'intérêt légitime peut être retenu à condition d'une anonymisation ou pseudonymisation robuste. À défaut, le consentement (article 6.1.a) serait requis, étant rappelé que le consentement du salarié est présumé non libre en raison du lien de subordination (lignes directrices CEPD 05/2020, délibérations CNIL constantes).

5. Données sensibles. Tout traitement relevant de l'article 9 RGPD (données de santé, appartenance syndicale) doit être fondé sur l'article 9.2.b, à savoir les obligations en matière de droit du travail et de protection sociale.

IV. Recommandations Nous préconisons : (i) la mise à jour du registre des traitements (article 30 RGPD) avec mention explicite des bases légales par