RGPD et données RH : ce que tout employeur doit respecter — au-delà des checklist, les pièges cachés et les erreurs coûteuses que commettent 7 RH sur 10

Un employeur respecte le RGPD sur les données RH en collectant le strict nécessaire, en fixant une durée de conservation par catégorie et en garantissant l’accès des salariés à leurs informations. Le règlement s’applique dès le premier CV reçu. Il couvre la paie, les arrêts maladie, la vidéosurveillance et même le dossier d’un ancien collaborateur. La CNIL publie un référentiel de gestion du personnel et un référentiel sur les durées de conservation que chaque dirigeant de TPE ou PME consulte avec profit.

Beaucoup de PME choisissent de se faire épauler par un juriste spécialisé dans l’accompagnement RGPD pour encadrer la gestion des données RH. Le réflexe se comprend : les erreurs naissent rarement d’une mauvaise foi, plutôt d’un tableur oublié ou d’un dossier jamais purgé. Cet article suit le parcours du salarié et vous donne des repères à appliquer dès demain matin.

Les données RH que le RGPD vous oblige à protéger

Quels types de données RH sont soumis au RGPD ?

Le RGPD vise toute information qui identifie une personne. En RH, cela couvre l’état civil, les coordonnées, le numéro de sécurité sociale, les coordonnées bancaires, les bulletins de paie, les évaluations, les congés et les absences. Le traitement de données commence dès la collecte : un CV reçu par mail en fait partie.

Un petit commerce qui garde les photocopies de pièces d’identité dans un classeur ouvert traite des données personnelles. Il doit donc en répondre.

Données sensibles en RH : où réside le vrai risque ?

Les données de santé, l’appartenance syndicale ou les informations sur les origines relèvent de la catégorie sensible. L’article 9 du RGPD en interdit le traitement sauf exception. Le vrai risque tient moins à la base RH qu’aux détails glissés dans un commentaire libre ou un mail de manager. Un arrêt maladie transféré à toute l’équipe suffit à créer une violation.

Nous le disons sans détour : le contrôle d’accès aux dossiers pèse davantage que le choix du logiciel.

Données professionnelles vs données personnelles : la frontière qui coûte cher

Une adresse mail nominative reste une donnée personnelle, même sur un compte professionnel. La Cour de cassation l’a rappelé le 18 juin 2025 dans un litige sur l’accès aux messageries. La protection des données s’applique donc aux outils de travail, pas seulement au dossier papier.

Durée de conservation : le calendrier oublié qui expose les entreprises

Le principe de limitation de conservation figure à l’article 5 du RGPD. Le référentiel de la CNIL sur les durées de conservation fixe des repères par catégorie. Un accompagnement RGPD commence souvent par ce calendrier, car aucune entreprise n’y échappe.

Combien de temps garder les dossiers de recrutement et les CV ?

La CNIL recommande 2 ans maximum après le dernier contact pour une candidature non retenue. Au-delà, le candidat doit avoir donné son accord explicite. Un entretien raté en 2020 n’autorise pas à garder le CV en 2026.

Conservation des données de paie et des contrats de travail

Le Code du travail impose 5 ans pour les bulletins de paie en double. Le contrat de travail se conserve pendant la durée de la relation puis suit l’archivage défini ci-dessous.

Après le départ d’un salarié : les délais méconnus

Le dossier d’un ancien salarié ne reste pas en base active. La CNIL préconise de basculer en archivage intermédiaire, avec un accès restreint aux seules personnes habilitées. Les données des salariés sortis ne servent plus au quotidien.

Archivage légal vs conformité RGPD : les deux dates qui ne sont pas les mêmes

Une obligation légale justifie une conservation, la conformité RGPD impose en plus une purge à terme. Les deux horloges tournent en parallèle.

Type de donnée	Durée de conservation	Source
Candidature non retenue	2 ans maximum après le dernier contact	CNIL
Bulletin de paie	5 ans	Code du travail
Registre unique du personnel	5 ans après le départ	Code du travail
Images de vidéosurveillance	1 mois maximum	CNIL
Données de géolocalisation	2 mois pour les trajets détaillés	CNIL

Les six droits des salariés que votre RH doit savoir garantir

Le règlement reconnaît aux salariés l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition. La CNIL traite chaque année de nombreuses plaintes d’employés sur ces sujets.

Droit d’accès : comment mettre en place une procédure qui tient devant la CNIL ?

L’employeur répond dans un délai d’un mois, prolongeable de 2 mois pour une demande complexe. Désignez un point de contact, tracez la date de réception et conservez la réponse. Le salarié obtient copie de ses données, y compris les évaluations le concernant.

Droit à l’oubli et suppression de données : les limites légales

L’effacement cède devant une obligation légale. Un salarié ne fait pas supprimer ses bulletins de paie avant le terme prévu.

Droit de rectification et de portabilité : obligations concrètes

Une adresse erronée se corrige sans délai. La portabilité vise les données fournies par la personne et traitées par consentement ou contrat, dans un format lisible par machine.

Droit d’opposition : cas spécifiques en matière RH

L’opposition exige un motif tenant à la situation particulière du salarié. Elle ne neutralise pas la paie. Elle joue en revanche sur les traitements fondés sur l’intérêt légitime, comme certaines enquêtes internes.

Comment mettre en place la conformité RGPD dans votre fonction RH ?

Audit interne des données actuelles : par où commencer ?

Listez les outils, les tableurs, les armoires et les boîtes mail qui contiennent des informations de salariés. Notez la finalité de chacun. Vous découvrirez presque toujours un fichier oublié.

Registre de traitements : un document obligatoire mal compris

L’article 30 impose ce registre, qui recense finalités, catégories de données, destinataires et durées. Le seuil de 250 salariés ne dispense pas une PME qui traite des données sensibles ou de façon non occasionnelle, donc la paie suffit à déclencher l’obligation.

Clauses de consentement et politiques de confidentialité : les modèles à éviter

Le consentement d’un salarié vaut rarement, car le lien de subordination fausse sa liberté. La base légale habituelle reste le contrat ou l’obligation légale. Évitez les clauses génériques copiées sur internet.

Sécurisation des données RH : au-delà du mot de passe

Chiffrement, habilitations par profil, journalisation des accès et sauvegardes régulières forment le socle. Un stagiaire n’a aucune raison de voir les salaires.

IA et algorithmes en RH : le nouvel enjeu RGPD que tout le monde sous-estime

Recrutement automatisé et scoring de candidats : les risques cachés

L’article 22 du RGPD interdit une décision fondée uniquement sur un traitement automatisé lorsqu’elle produit des effets significatifs. Un tri de CV par algorithme exige donc une intervention humaine réelle. Le règlement européen sur l’IA classe d’ailleurs le recrutement parmi les usages à haut risque.

Monitoring salarié et vidéosurveillance : jusqu’où la loi l’autorise ?

La CNIL sanctionne régulièrement la surveillance des salariés excessive. Une caméra filme l’entrée, pas le poste de travail en continu. Les salariés reçoivent une information préalable, et les logiciels de suivi du télétravail qui capturent l’écran en permanence dépassent la mesure.

Données biométriques en contrôle d’accès : cadre légal et pièges pratiques

La biométrie reste réservée aux accès à haute sensibilité et suit un règlement type de la CNIL. Une pointeuse à empreinte pour mesurer le temps de travail est proscrite.

1 mois

Cas réels d’amendes RGPD RH : ce qu’il ne faut pas refaire

L’affaire des CV non supprimés : 450 000 euros d’amende décodés

Le dossier examiné par la formation restreinte de la CNIL concerne une entreprise de conseil qui reçoit près de 100 000 candidatures par an. La sanction de 450 000 euros vise la conservation des CV au-delà des durées admises. Le volume transforme une négligence en risque financier.

Accès non contrôlé aux mails et données personnelles : la décision de cassation qui change tout

Le 18 juin 2025, la Cour de cassation a reconnu qu’un salarié exerce son droit d’accès sur ses échanges professionnels. Les services RH doivent anticiper ces demandes, qui pèsent lourd en tri.

Bases de données d’employés non sécurisées : fuites visibles et invisibles

Chez Orano, les données RH et salariales de 4 700 employés étaient consultables en interne sans restriction. La fuite n’était pas visible depuis internet, mais elle violait déjà le principe de confidentialité.

Une fuite interne reste une fuite.

DPO et responsabilités : qui doit piloter et quand

Faut-il désigner un DPO dans votre entreprise ?

L’article 37 rend la désignation obligatoire pour les organismes publics, le suivi régulier à grande échelle et le traitement massif de données sensibles. Une TPE ou une PME ordinaire n’y est pas tenue, mais le désigne volontairement.

Collaboration DPO-RH-DSI : rôles et responsabilités

La RH décide des finalités, la DSI sécurise les outils, le DPO conseille et contrôle sans trancher à la place du dirigeant. Cette répartition évite les angles morts.

Externalisation du DPO : avantages et limites réelles

Trois voies s’offrent au dirigeant : gestion interne, juriste spécialisé ou DPO externe. Nous défendons un choix selon le volume de données traitées, pas selon la taille du budget.

RGPD et données RH : passez de la théorie à la pratique

Les règles tiennent en un principe simple : collecter peu, conserver court, protéger bien. Lancez votre audit ce mois-ci et datez votre première purge. Le MOOC de la CNIL propose un module dédié aux traitements RH, utile pour former votre équipe sans frais. Une fonction RH qui maîtrise ses données gagne en crédibilité auprès des salariés comme des contrôleurs.