Toute donnée collectée doit être déclarée

Dès lors que l'employeur collecte des données à caractère personnel, il doit effectuer une déclaration préalable à la CNIL. Ces obligations s'appliquent même si les données ne concernent qu'un seul salarié
Tout fichier ou traitement automatisé contenant des informations à caractère personnel doit être déclaré avant sa création, en ligne ou par courrier adressé à la Commission nationale de l'informatique et des libertés (CNIL) sous forme d'une :

déclaration normale pour les fichiers qui concernent la vie privée ou les libertés individuelles des personnes : fichiers de clients, gestion des horaires des salariés, contrôle des accès aux locaux faisant l'objet d'une restriction de circulation, gestion de carrière et de la mobilité des salariés, géolocalisation des véhicules utilisés par les salariés (…) ;
déclaration simplifiée valant engagement de conformité pour les fichiers qui ne portent pas atteinte à la vie privée et aux libertés individuelles des personnes.
Lorsque les fichiers présentent des risques particuliers d'atteinte aux droits et aux libertés, une autorisation préalable de la CNIL est obligatoire. C'est, par exemple, le cas des informations sensibles (origine, opinions politiques, religieuses, syndicales…), biométriques ou génétiques.

La demande d'autorisation fait l'objet d'un examen approfondi de la part de la CNIL, qui a deux mois pour se prononcer. Si le responsable des données n'effectue par ces déclarations auprès de la Commmission, il peut être condamné à 5 ans d'emprisonnement et 300 000 € d'amende.

Dans un récent arrêt, la Cour de cassation précise qu’est réprimé pénalement le fait, y compris par négligence, de procéder ou de faire procéder à un traitement de données à caractère personnel sans qu'aient été respectées les formalités préalables prévues par la loi qui s'applique aux traitements de données à caractère personnel et n'exige pas le franchissement d'un seuil de données ou de fichiers.

C'est-à-dire que, même si les fichiers ne concernent qu'un seul salarié et/ou qu'ils ne contiennent que très peu de données personnelles, toutes les formalités de déclaration et d'autorisation de la CNIL doivent être appliquées.
«