Un logiciel de gestion des idées conforme au RGPD traite les idées des collaborateurs comme des données personnelles dans le cadre d’un contrat de sous-traitance, avec une liste publiée des sous-traitants ultérieurs, un hébergement dans l’UE ou un mécanisme de transfert valable, une suppression que vous maîtrisez et un anonymat que vous activez là où il est nécessaire. Aucun éditeur ne peut rendre votre programme conforme à lui seul : la base légale, l’information des collaborateurs, la durée de conservation et la consultation du CSE relèvent de l’employeur. Le logiciel doit rendre ces choix possibles et garder sa propre part de la chaîne courte et documentée.
Pourquoi les idées des collaborateurs sont-elles des données personnelles ?
Une idée est une donnée personnelle dès qu’elle peut être rattachée à une personne, ce qui est presque toujours le cas. Le nom, l’e-mail, la fonction et le site de l’auteur sont enregistrés avec l’idée, et les commentaires, votes et notes sont rattachés à ceux qui les ont donnés (article 4.1 du RGPD).
Le contenu compte aussi. Une idée sur un quai de chargement dangereux peut citer le collègue qui s’y est blessé : c’est une donnée de santé, une catégorie particulière au sens de l’article 9, qui ne peut être traitée que si l’une des exceptions de l’article 9.2 s’applique. Pour la plupart des programmes, la réponse pratique est de formuler le défi autour du risque plutôt que de la personne, de demander aux collaborateurs de ne pas indiquer de données de santé et de les faire retirer par les responsables de collection lorsqu’elles apparaissent.
Quelle base légale pour un programme d’idées des collaborateurs ?
Pour un employeur privé, la base habituelle est l’intérêt légitime (article 6.1.f), appuyé sur une mise en balance écrite montrant que la collecte d’idées ne prévaut pas sur les droits des collaborateurs. Le consentement est une base fragile au travail : le considérant 43 et les lignes directrices du Comité européen de la protection des données rappellent que le déséquilibre entre employeur et salarié le rend rarement libre.
Une autorité publique ne peut pas invoquer l’intérêt légitime pour l’exécution de ses missions (dernière phrase de l’article 6.1) : collectivités et administrations s’appuient donc le plus souvent sur l’article 6.1.e, la mission d’intérêt public. L’article 88 permet aux États membres et aux conventions collectives de prévoir des règles plus précises pour les données des salariés. Quelle que soit la base, les contributeurs doivent savoir, au moment de la collecte, ce que devient leur idée et qui la voit (article 13).
Que doivent montrer le DPA et la liste des sous-traitants ultérieurs ?
Vous êtes responsable de traitement et l’éditeur est sous-traitant : l’article 28 impose donc un contrat de sous-traitance des données (DPA). Vérifiez qu’il prévoit :
- un traitement uniquement sur vos instructions documentées ;
- la confidentialité pour toute personne qui manipule les données ;
- les mesures de sécurité de l’article 32 ;
- une liste des sous-traitants ultérieurs, avec préavis avant tout changement et droit d’opposition ;
- une aide pour les demandes des personnes concernées et la notification des violations de données ;
- la suppression ou la restitution des données en fin de contrat.
C’est dans la liste des sous-traitants ultérieurs que les promesses deviennent vérifiables : chaque ligne doit indiquer l’entreprise, le lieu du traitement, son rôle et le mécanisme de transfert.
L’hébergement dans l’UE suffit-il ?
Il règle l’essentiel, pas tout. Héberger dans l’UE garde la base de données dans l’UE, mais l’e-mail, les outils de support et les services d’IA peuvent encore envoyer des données personnelles ailleurs, et le chapitre V (articles 44 et suivants) s’applique à tout transfert hors de l’UE et de l’EEE.
Depuis l’arrêt Schrems II de 2020, quiconque transfère des données personnelles hors de l’UE doit examiner le droit du pays de destination et ajouter des garanties si nécessaire. Demandez donc à chaque éditeur quelles données quittent l’UE et sur quelle base.
Combien de temps conserver les idées, et qui les supprime ?
Le temps nécessaire au programme, pas plus (limitation de la conservation, article 5.1.e), et c’est le responsable de traitement qui fixe la durée. Une règle courante : conserver les idées mises en œuvre tant que leur valeur est suivie, et supprimer les idées refusées un délai fixe après la décision. Demandez aux éditeurs si les responsables de collection peuvent supprimer une idée ou une collection entière, si le compte d’une personne peut être supprimé sur demande (article 17) et ce que deviennent les données et les sauvegardes en fin de contrat.
L’anonymat règle-t-il la question du RGPD ?
En partie seulement. Si rien ne relie l’idée à une personne, ce n’est pas une donnée personnelle (considérant 26), mais le texte peut quand même identifier quelqu’un : dans une équipe de six, « l’équipe de nuit de la ligne 3 » est un nom. L’anonymat empêche aussi de poser une question à l’auteur ou de lui dire ce que son idée est devenue.
C’est pourquoi l’anonymat doit se régler collection par collection, et non pour toute la plateforme. Un défi sur la sécurité ou la qualité de vie au travail peut en avoir besoin. Un défi sur les économies fonctionne en général mieux avec des noms, pour que chacun soit reconnu.
L’article 22 s’applique-t-il quand une IA évalue les idées ?
Rarement, mais vérifiez. L’article 22 vise les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques à l’égard d’une personne ou l’affectent de manière significative de façon similaire. Une IA qui résume les idées ou repère les doublons pendant que des personnes décident n’en relève pas. Un algorithme qui déciderait seul des primes, des récompenses ou de l’évaluation annuelle à partir des idées de quelqu’un pourrait en relever. Gardez une personne dans cette décision et consignez-le.
Faut-il consulter le CSE avant de lancer ?
Dans la plupart des cas, oui, et avant le lancement. Dans les entreprises d’au moins 50 salariés, le CSE doit être informé et consulté avant l’introduction de nouvelles technologies et avant la mise en œuvre de moyens permettant un contrôle de l’activité des salariés (Code du travail, articles L2312-8 et L2312-38). En Allemagne, le Betriebsrat dispose d’un droit de codécision sur les dispositifs techniques susceptibles de surveiller le comportement ou la performance et sur les principes du système de suggestions (§ 87, alinéa 1, n° 6 et 12 BetrVG). En Suède, l’employeur doit négocier avec le syndicat avant tout changement important (article 11 de la MBL). L’anonymat, la durée de conservation, les droits d’accès et l’IA sont les points de discussion habituels.
Que dit la norme ISO 27001 ?
Elle montre que le système de management de la sécurité de l’information d’un éditeur tient la route, pas que son traitement est conforme au RGPD. La base légale, les transferts et la conservation sortent de son champ.
La sécurité de Hives.co est alignée sur la norme ISO 27001. Hives est en outre entièrement conforme au RGPD : le DPA figure dans chaque contrat, la liste des sous-traitants ultérieurs est publique, et vous recevez une présentation écrite de la sécurité pour votre revue informatique ainsi que des réponses directes à votre questionnaire de sécurité.
Quelles questions poser aux éditeurs ?
| Ce qu’il faut vérifier | Pourquoi c’est important | Ce que fait Hives |
|---|---|---|
| DPA | Exigé par l’article 28 | Inclus dans chaque contrat client |
| Sous-traitants ultérieurs | Savoir qui d’autre traite les données | Publiés, préavis de 30 jours en cas de changement |
| Hébergement | Détermine où commencent les transferts | Google Cloud à Francfort par défaut, on-premise sur demande |
| Traitement par l’IA | Les données doivent rester sur le chemin convenu | Ida sur Vertex AI à Francfort, sans entraînement de modèles |
| Anonymat | Certains sujets l’exigent, la plupart non | Réglé collection par collection |
| Connexion | L’accès prend fin avec le contrat de travail | SSO Microsoft et Google dans toutes les offres, SAML dans Enterprise |
| Fin de contrat | Limitation de la conservation | 60 jours pour exporter, puis suppression sous 30 jours |
| Sécurité de l’information | Certaines règles d’achat exigent ISO 27001 | La sécurité de Hives.co est alignée sur la norme ISO 27001. |
Comment Hives gère-t-il le RGPD ?
Hives est un logiciel de gestion des idées pour les organisations d’environ 100 collaborateurs jusqu’aux groupes multinationaux. Les équipes commencent par un défi et étendent la même configuration à d’autres sites, pays et divisions. Hives est une entreprise suédoise et votre sous-traitant pour tout ce qui se trouve dans votre espace, selon les Conditions de traitement des données personnelles de votre contrat. Hives est entièrement conforme au RGPD.
Le service fonctionne sur Google Cloud à Francfort. Tous les sous-traitants ultérieurs figurent sur la page des sous-traitants ultérieurs, où les changements sont aussi annoncés. Ida, l’assistante IA, fonctionne sur Vertex AI dans la même région, ne lit que ce que la personne qui pose la question a le droit de voir, et les fonctions d’IA peuvent être désactivées.
L’accès commence par la connexion avec le compte professionnel Microsoft ou Google, pour que seules vos équipes puissent entrer. Les collaborateurs sans e-mail professionnel utilisent leur propre adresse avec un code à usage unique. Chaque collection a son propre périmètre d’accès et son propre réglage d’anonymat : masquer le nom des contributeurs (le nom est enregistré mais n’est montré à personne d’autre, pas même aux administrateurs) ou enregistrer les contributions de façon anonyme (aucun nom enregistré). La page sécurité et la politique de confidentialité couvrent le reste. Chez VINCI Energies, quelques milliers de personnes réparties dans des entités de plusieurs pays utilisent Hives.
Quand un autre type d’outil convient-il mieux ?
Pour les signalements de manquements, il faut un dispositif d’alerte professionnelle : la loi Sapin II et la directive européenne sur les lanceurs d’alerte imposent des règles de confidentialité et de suivi qu’un programme d’idées n’est pas conçu pour respecter. Pour les accidents et presque-accidents, un outil de gestion HSE ou des incidents convient mieux, car il traite chaque jour des données de santé et des durées de conservation légales. Le guide d’achat classe les éditeurs par besoin.
Questions fréquentes
Un logiciel de gestion des idées est-il conforme au RGPD par défaut ?
Aucun logiciel ne l’est. L’éditeur peut respecter ses obligations de sous-traitant, mais l’employeur a toujours besoin d’une base légale, d’une information des collaborateurs, d’une durée de conservation et, souvent, d’une consultation des représentants du personnel.
Faut-il une AIPD pour un programme d’idées ?
Seulement si le traitement est susceptible d’engendrer un risque élevé (article 35). Beaucoup de programmes d’idées n’atteignent pas ce seuil, mais certains DPO en réalisent une lorsque les idées peuvent contenir des données de santé ou de sécurité, ou lorsqu’une IA les analyse.
Les collaborateurs peuvent-ils demander la suppression de leurs idées ?
Oui, au titre de l’article 17, sous réserve de ses exceptions. Dans Hives, l’auteur peut supprimer son idée tant qu’elle est dans l’Inbox, les responsables de collection peuvent la supprimer ensuite, et un compte est supprimé à la demande de l’organisation.
Une idée anonyme peut-elle être supprimée sur demande ?
En général non, puisque rien ne la relie à la personne qui demande. Une idée vraiment anonyme n’est pas une donnée personnelle, le droit ne s’applique donc pas, mais un responsable de collection peut la retirer si le texte identifie quelqu’un.
Combien coûte Hives ?
Core coûte 695 € par mois, Pro 1 495 € et Enterprise 1 995 €, facturés annuellement et sans frais par utilisateur. Le DPA et l’hébergement dans l’UE sont inclus dans toutes les offres. Voir les tarifs.
Le texte du règlement est disponible sur EUR-Lex.