Engagement de Confidentialité du Personnel RH Belgique

L'Engagement de Confidentialité du Personnel RH en Belgique est régi par Loi du 3 juillet 1978 sur les contrats de travail (art. 17 §2 — obligation de discrétion) et structure une démarche de gestion des ressources humaines conforme au droit belge du travail.

Le personnel RH traite quotidiennement des données parmi les plus sensibles de l'entreprise : fiches de rémunération, contrats de travail, certificats médicaux, dossiers disciplinaires, évaluations de performance, informations syndicales et données relatives au recrutement. Ces catégories sont qualifiées de données à caractère personnel au sens de l'article 4 §1 du RGPD, et certaines — notamment les données de santé et les données relatives aux convictions syndicales — constituent des données sensibles au sens de l'article 9 du RGPD, soumises à un régime de protection renforcé.

La Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel transpose en droit belge les dispositions du RGPD et confère à l'Autorité de protection des données (APD/GBA — Gegevensbeschermingsautoriteit) des pouvoirs d'enquête et de sanction. Tout manquement à la confidentialité peut exposer le membre du personnel RH à des sanctions disciplinaires internes, à des sanctions pénales en vertu de l'article 226bis du Code pénal belge, et à des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel conformément à l'article 83 §5 du RGPD.

Cet engagement formalise également les obligations découlant du secret professionnel reconnu par la jurisprudence du Tribunal du travail de Bruxelles et des autres juridictions du travail belges, qui ont régulièrement confirmé que le personnel RH exerce une fonction de confiance impliquant un devoir de discrétion absolu, même après la fin du contrat de travail. Le document précise la nature des données couvertes, les conditions d'accès, les mesures de sécurité à respecter et les conséquences d'une violation, créant ainsi un cadre clair et opposable pour l'ensemble des membres de l'équipe RH.

L'Engagement de Confidentialité du Personnel RH en Belgique s'impose dans plusieurs situations déterminantes pour la protection des données des travailleurs et la conformité juridique de l'employeur.

Premièrement, lors de toute nouvelle embauche ou mutation vers une fonction RH, l'engagement doit être signé avant que le travailleur n'accède aux systèmes d'information contenant des données personnelles. Cette exigence découle directement de l'article 32 du RGPD, qui impose à l'employeur en tant que responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées, incluant la formation et la responsabilisation du personnel habilité.

Deuxièmement, lors de la mise en place ou de la refonte d'un système SIRH (Système d'Information des Ressources Humaines) ou d'un outil de gestion de la paie, chaque utilisateur habilité doit renouveler son engagement afin de couvrir les nouvelles catégories de données traitées. Le Délégué à la protection des données (DPO) de l'entreprise, désigné en vertu de l'article 37 du RGPD, peut exiger cette formalité dans le cadre de son registre des activités de traitement.

Troisièmement, dans les entreprises belges faisant l'objet d'un contrôle de l'Inspection sociale du SPF Emploi ou d'une enquête de l'APD/GBA, l'existence d'engagements de confidentialité signés par le personnel RH constitue une preuve tangible du respect du principe d'accountability (responsabilisation) consacré à l'article 5 §2 du RGPD. L'absence de tels documents peut être considérée comme une violation des obligations organisationnelles.

Quatrièmement, lors d'audits internes ou externes, de certifications ISO 27001 ou lors de transactions commerciales impliquant une due diligence sociale (cession d'entreprise, fusion, acquisition), les engagements de confidentialité RH démontrent la maturité du dispositif de protection des données et réduisent l'exposition au risque juridique pour l'employeur et les personnes concernées.

Un Engagement de Confidentialité du Personnel RH belge conforme aux exigences légales doit comporter plusieurs éléments essentiels, chacun ancré dans les textes applicables.

**Identification précise des parties et des données couvertes** : Le document doit identifier nominativement le travailleur RH (nom, prénom, fonction, département) et l'employeur (dénomination sociale, siège social, numéro BCE). La liste exhaustive des catégories de données couvertes doit figurer explicitement : données d'identification (noms, adresses, numéros de registre national), données salariales (salaires bruts et nets, primes, avantages en nature), données de santé (certificats médicaux, résultats de la surveillance médicale effectuée par le médecin du travail du SEPP), données judiciaires (extraits de casier judiciaire, infractions), données syndicales (affiliation à une organisation représentative reconnue par l'ONSS), évaluations de performance, dossiers de recrutement et informations commerciales confidentielles.

**Obligations RGPD et principes de traitement** : L'engagement doit rappeler les principes fondamentaux de l'article 5 du RGPD : licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation et intégrité/confidentialité. Le travailleur reconnaît ne traiter les données qu'en vertu d'instructions documentées de l'employeur, conformément à l'article 29 du RGPD.

**Secret professionnel et obligations de l'article 17 §2 LCT** : L'article 17 §2 de la Loi du 3 juillet 1978 sur les contrats de travail impose au travailleur de s'abstenir de divulguer des secrets d'affaires ou de fabrication auxquels il a accès dans l'exercice de ses fonctions. Cette obligation vaut pendant l'exécution du contrat et, selon la jurisprudence constante du Tribunal du travail de Liège (arrêt 2019), subsiste après la fin du contrat pour les informations obtenues régulièrement.

**Sécurité informatique et accès aux systèmes** : Les mesures de sécurité à respecter doivent être détaillées : utilisation exclusive de postes de travail sécurisés, interdiction de télécharger des données sur des supports non autorisés, obligation de verrou automatique de session, interdiction d'accès depuis des réseaux non sécurisés sans VPN agréé. Ces mesures correspondent aux exigences de l'article 32 §1 RGPD relatives à la pseudonymisation, au chiffrement et à la résilience des systèmes.

**Conditions de transmission des données** : Toute communication de données personnelles à un tiers — y compris un sous-traitant SIRH, un expert-comptable ou un organisme de sécurité sociale comme l'ONSS — doit se faire dans le cadre d'un accord de traitement de données conforme à l'article 28 du RGPD. Le travailleur RH s'engage à ne jamais transmettre de données sans autorisation écrite préalable du responsable de traitement.

**Durée de l'obligation et conséquences en cas de violation** : L'engagement précise la durée de l'obligation de confidentialité (pendant le contrat et une période après son terme), les sanctions disciplinaires applicables et les recours civils ou pénaux ouverts à l'employeur (article 35 Loi 3/7/1978 — résiliation pour motif grave, article 83 §5 RGPD — amendes administratives, article 226bis Code pénal — sanctions pénales).

Les modèles de formulaires disponibles sur forms-legal.com permettent de générer cet engagement avec l'ensemble des clauses requises, adaptées aux spécificités de votre secteur d'activité et aux exigences de la Commission paritaire compétente.

La rédaction et la signature de l'Engagement de Confidentialité du Personnel RH en Belgique suivent un processus structuré en plusieurs étapes, garantissant la validité juridique du document et son opposabilité au travailleur concerné.

**Étape 1 — Identification des parties** : Renseignez la dénomination sociale complète de l'entreprise telle qu'elle figure au Moniteur belge, l'adresse du siège social, le numéro BCE (Banque-Carrefour des Entreprises) à 10 chiffres, ainsi que les données du travailleur (nom, prénom, fonction exacte, département RH). Ces informations sont vérifiables via la Banque-Carrefour des Entreprises (BCE) accessible en ligne.

**Étape 2 — Sélection des catégories de données** : Cochez toutes les catégories de données auxquelles le travailleur a effectivement accès dans l'exercice de ses fonctions. Évitez d'inclure des catégories non pertinentes pour le poste, conformément au principe de minimisation des données de l'article 5 §1 c) du RGPD. Un responsable RH généraliste cochera davantage de catégories qu'un assistant paie spécialisé.

**Étape 3 — Définition des obligations spécifiques** : Complétez la section relative aux principes RGPD en précisant les finalités spécifiques du traitement dans votre entreprise, le nom et les coordonnées du DPO si désigné, et les instructions documentées encadrant le traitement. Décrivez les mesures de sécurité informatique effectivement en place (logiciel de paie certifié, accès par authentification à deux facteurs, politique de mots de passe).

**Étape 4 — Durée de l'obligation post-contractuelle** : Choisissez la durée de l'obligation de confidentialité après la fin du contrat de travail (pendant le contrat uniquement ; 2 ans après la fin du contrat ; ou durée indéterminée pour les données particulièrement sensibles). La jurisprudence du Tribunal du travail de Gand recommande une durée proportionnelle à la sensibilité des données traitées.

**Étape 5 — Signature et archivage** : L'engagement doit être signé par le travailleur RH et par un représentant autorisé de l'employeur (administrateur délégué, directeur RH). Une copie signée doit être remise au travailleur, conformément à l'article 22 de la Loi du 3 juillet 1978. L'original est conservé dans le dossier personnel du travailleur, avec une copie dans le registre des activités de traitement tenu par le DPO en vertu de l'article 30 du RGPD. La durée de conservation de l'engagement est d'au moins 5 ans après la fin du contrat de travail.

Le cadre légal de l'Engagement de Confidentialité du Personnel RH en Belgique repose sur plusieurs textes fondamentaux, nationaux et européens, qui s'articulent de manière cohérente.

**Loi du 3 juillet 1978 sur les contrats de travail — article 17 §2** : Cet article impose à tout travailleur de s'abstenir « de révéler des secrets concernant l'entreprise à des personnes auxquelles ils ne sont pas destinés ». La Cour du travail de Bruxelles a confirmé dans un arrêt du 14 mars 2017 que cette obligation couvre non seulement les secrets de fabrication classiques, mais aussi toute information confidentielle obtenue dans l'exercice des fonctions, y compris les données personnelles des collègues. La violation de cet article peut justifier un licenciement pour motif grave au sens de l'article 35 de la même loi, sans préavis ni indemnité.

**RGPD — Règlement (UE) 2016/679 du Parlement européen et du Conseil** : L'article 5 §1 f) consacre le principe d'intégrité et de confidentialité, imposant que les données soient traitées de manière à garantir leur sécurité. L'article 29 prévoit que le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ne peuvent traiter les données que sur instruction. L'article 32 impose des mesures techniques et organisationnelles appropriées, dont la pseudonymisation et le chiffrement. L'article 83 §5 prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

**Loi du 30 juillet 2018** : Cette loi nationale transpose le RGPD en droit belge et confère à l'APD/GBA des pouvoirs étendus d'enquête, d'injonction et de sanction. L'article 220 de cette loi prévoit des sanctions pénales spécifiques pour certaines violations graves de la vie privée.

**Code pénal belge — article 226bis** : Cet article punit la violation intentionnelle du secret des communications électroniques, applicable en cas d'accès non autorisé aux messageries professionnelles contenant des données RH.

**Loi du 17 juillet 2013 sur le secret d'affaires** (transposant la directive (UE) 2016/943) : Protège les informations commerciales confidentielles, y compris les grilles salariales et les stratégies de rémunération, contre toute divulgation non autorisée par le personnel RH.

L'APD/GBA (www.autoriteprotectiondonnees.be) publie régulièrement des lignes directrices sur le traitement des données RH, que l'employeur belge est tenu de consulter et d'intégrer dans ses procédures internes. Le délai de notification d'une violation de données à l'APD/GBA est de 72 heures à compter de la découverte, conformément à l'article 33 §1 du RGPD.

Plusieurs erreurs récurrentes sont observées dans la rédaction des Engagements de Confidentialité RH en Belgique, susceptibles d'en compromettre la validité juridique ou l'efficacité pratique.

**Première erreur — Énumération trop générale des données couvertes** : Rédiger une clause fourre-tout couvrant « toutes les informations confidentielles » sans préciser les catégories concrètes contrevient au principe de clarté requis par le droit belge et au principe de transparence de l'article 5 §1 a) du RGPD. Les tribunaux du travail belges ont écarté des clauses trop générales comme contraires au principe de prévisibilité.

**Deuxième erreur — Oubli de la durée post-contractuelle** : Limiter l'obligation de confidentialité à la durée du contrat de travail est insuffisant pour les données particulièrement sensibles (données de santé, données disciplinaires). La jurisprudence du Tribunal du travail de Liège reconnaît la validité d'obligations post-contractuelles proportionnées à la nature des données.

**Troisième erreur — Absence de référence aux droits des personnes concernées** : L'engagement doit rappeler au personnel RH les droits des travailleurs dont les données sont traitées (droit d'accès, de rectification, d'effacement, d'opposition), conformément aux articles 15 à 22 du RGPD. L'omission de ce rappel peut laisser croire, à tort, que le personnel RH est seul maître du traitement.

**Quatrième erreur — Non-renouvellement lors de changements fonctionnels** : Un travailleur RH promu à un poste d'accès étendu aux données (ex. responsable paie devenant directeur RH) doit signer un nouvel engagement couvrant les nouvelles catégories. L'absence de renouvellement crée un vide contractuel contestable.

**Cinquième erreur — Signature unique sans remise de copie** : La Loi du 3 juillet 1978 impose la remise d'une copie au travailleur. Un engagement dont le travailleur ne possède pas de copie peut être contesté quant à sa prise de connaissance effective. Conservez le bordereau d'accusé de réception signé.

**Sixième erreur — Confondre engagement de confidentialité et clause de non-concurrence** : Ces deux instruments ont des objets distincts. La clause de non-concurrence (régie par l'article 65 LCT) limite les activités professionnelles post-contractuelles, tandis que l'engagement de confidentialité protège les informations traitées pendant et après le contrat. Les exigences formelles (rémunération compensatoire pour la non-concurrence, par exemple) ne s'appliquent pas à l'engagement de confidentialité RH.