Directive 2023/970 et RGPD — concilier transparence et protection.

La directive 2023/970 et le RGPD ne s'opposent pas frontalement, mais ils ont des logiques différentes que vous devez articuler :

• La directive impose la publication de l'indicateur par catégorie + la transmission au CSE + la réponse au droit à l'information individuelle
• Le RGPD impose la minimisation du traitement, la finalité légitime, et la protection contre les ré-identifications

Bonne nouvelle: l'article 12 §3 de la directive le règle explicitement — « les données à caractère personnel collectées en vertu de la présente directive sont conservées conformément au règlement (UE) 2016/679 ». Les deux régimes coexistent légitimement.

En pratique: la publication se fait sur des catégories agrégées, jamais individuelles. La réponse au droit à l'information est elle aussi agrégée (jamais nominative). Le CSE reçoit des données granulaires mais anonymisées.

Les données de rémunération sont des données personnellesau sens de l'article 4 §1 du RGPD. Elles ne sont pas listées dans les catégories sensibles (art. 9), mais leur traitement engage les principes généraux :

• Licéité (art. 6) — base juridique : exécution du contrat de travail + obligation légale (la directive 2023/970 et la loi de transposition fournissent cette base)
• Finalité limitée (art. 5 §1 b) — les données collectées pour la rémunération ne peuvent pas être détournées pour d'autres usages
• Minimisation (art. 5 §1 c) — pas plus de données que nécessaire
• Exactitude (art. 5 §1 d) — données à jour
• Sécurité (art. 32) — chiffrement, contrôle d'accès, journalisation
• Conservation (art. 5 §1 e) — durée limitée à la finalité (généralement 5 ans après le départ du salarié·e pour les données fiscales/sociales)

La CNIL a publié des lignes directrices spécifiques aux données RH(délibération n° 2019-160) qui s'appliquent intégralement.

Quatre obligations de partage de données introduites par la directive :

1. Publication de l'indicateur d'écart par catégorie (art. L.1142-7 nouveau) — indicateur agrégé, non individuel
2. Réponse au droit à l'information individuelle (art. L.1142-7) — donne au salarié·e la moyenne de sa catégorie de valeur égale, ventilée par sexe — jamais des données individuelles
3. Transmission au CSEen cas d'évaluation conjointe (art. 10) — données granulaires possibles, mais anonymisées si la catégorie est petite
4. Production à l'inspection du travail / au juge sur demande — accès complet aux données pour vérification

Anonymisationau sens RGPD = données qui ne permettent plus d'identifier la personne, même en croisant avec d'autres sources.Pseudonymisation= remplacement de l'identifiant direct (nom) par un pseudonyme, mais la ré-identification reste possible avec une clé.

Pour la directive 2023/970, trois techniques sont utiles :

1. Pseudonymisation — remplacer les noms par des ID internes avant analyse. Permet de retraiter les données pour les corrections individuelles.
2. k-anonymité — vérifier que chaque combinaison d'attributs (catégorie + tranche d'ancienneté + tranche de performance + localisation) contient au moins k=5 personnes. Si moins, regrouper davantage.
3. Bruit différentiel — ajouter du bruit statistique aux moyennes publiées pour empêcher la déduction par soustraction. Technique avancée, utile pour les très petites catégories.

Le Délégué à la Protection des Données (DPO) doit être associé à la mise en conformité directive dès le début. Quatre rôles :

1. Mise à jour du registre des traitements(art. 30 RGPD) — ajouter les nouveaux traitements liés à la directive (calcul de l'indicateur, réponse au droit à l'information, transmission CSE)
2. Analyse d'impact (AIPD, art. 35) — recommandée pour les entreprises ≥ 250 salariés. Documente les risques et les mesures.
3. Information des salarié·es(art. 13-14 RGPD) — mise à jour de la notice d'information employé pour mentionner les nouveaux traitements
4. Contractualisation avec les sous-traitants — DPA spécifique pour tout outil de calcul ou conseil RH externe

Le DPO doit aussi être l'interlocuteur des salarié·esqui exercent leur droit à l'information — la procédure interne doit le router correctement.

1. Registre des traitements à jour avec les nouveaux traitements directive
2. Notice d'information employé mise à jour (art. 13-14 RGPD)
3. Analyse d'impact (AIPD) réalisée pour les traitements à risque élevé
4. Seuil de taille minimale par catégorie publiée (≥ 5, idéalement ≥ 10 par sexe)
5. Variables de contrôle agrégées par tranche (ancienneté, performance)
6. Contrats de sous-traitance signés avec les outils tiers (Figures, autres)
7. Chiffrement et contrôle d'accès des données de rémunération (art. 32 RGPD)
8. Durée de conservation documentée et appliquée
9. DPO associé au processus de réponse au droit à l'information

Voir aussi : la charge de la preuve renversée et la traçabilité des données →