Un dossier de recrutement, une fiche de paie ou une demande de congé révèle des informations personnelles que l’employeur doit traiter avec soin. La conformité RGPD concerne toute structure qui emploie du personnel, quels que soient son effectif et le type de contrat.
Pour chaque donnée, l’employeur doit pouvoir expliquer pourquoi elle est collectée, qui peut la consulter et combien de temps elle est conservée. Ces précautions protègent la confidentialité des salariés et donnent un cadre concret à la gestion quotidienne des ressources humaines.
A retenir :
- Collecte limitée aux besoins réels de chaque démarche RH
- Accès réservés aux personnes autorisées selon leurs fonctions
- Durées de conservation définies et régulièrement vérifiées
- Sécurité adaptée aux risques et aux informations traitées
Données RH : limiter la collecte et préciser chaque finalité
Choisir les informations utiles au recrutement et à la gestion
Après avoir identifié les enjeux, la première précaution consiste à relier chaque information à un objectif professionnel précis. Un service RH peut traiter des coordonnées pour organiser un entretien, puis des éléments de carrière pour gérer l’évolution du salarié.
Selon la CNIL, les données doivent être pertinentes au regard des finalités poursuivies. Une demande d’emploi ne justifie donc pas la collecte de renseignements personnels sans lien avec les compétences ou le poste proposé.
La même logique s’applique ensuite à la paie, aux absences, à la formation ou au suivi des accidents du travail. Les données sensibles, notamment celles liées à la santé, appellent une vigilance renforcée et un accès particulièrement restreint.
Pour une candidature, l’entreprise peut examiner l’expérience et les qualifications nécessaires, mais doit écarter les questions sans rapport avec l’emploi. Cette discipline rend la collecte plus lisible pour la personne concernée.
Repères pour chaque finalité :
- Recrutement : compétences et coordonnées utiles à l’évaluation
- Paie : éléments nécessaires au calcul et aux obligations déclaratives
- Absences : justificatifs utiles à la gestion des droits
- Formation : parcours, inscriptions et suivi des compétences professionnelles
Situation RH
Exemples de données utiles
Précaution principale
Recrutement
Coordonnées, expérience, qualifications
Écarter les informations sans lien avec le poste
Administration du personnel
Identité, contrat, coordonnées professionnelles
Limiter les accès aux équipes concernées
Rémunération
Éléments de paie et informations déclaratives
Protéger les documents et transmissions
Absences
Dates et justificatifs requis
Réduire l’accès aux détails sensibles
Définir précisément les informations nécessaires permet ensuite de choisir une base légale cohérente et d’expliquer clairement le traitement aux salariés.
Conformité RGPD : informer les salariés et encadrer les accès
Expliquer les usages et les droits des personnes
Une fois les finalités établies, l’information des salariés permet de rendre les pratiques compréhensibles et contestables. Selon la CNIL, la transparence suppose notamment d’indiquer les objectifs, les destinataires et les droits applicables.
L’employeur peut s’appuyer, selon le traitement, sur une obligation légale, l’exécution du contrat ou son intérêt légitime. Le consentement ne doit pas devenir une solution automatique, car la relation de travail peut rendre difficile un refus réellement libre.
Un salarié peut demander l’accès à ses données ou, selon le contexte, s’opposer à un traitement ou solliciter leur effacement. L’employeur doit organiser le traitement de ces demandes et vérifier les limites liées aux obligations légales.
Appliquer un contrôle d’accès proportionné
Cette information n’est utile que si les données restent accessibles aux seules personnes qui en ont besoin. Un gestionnaire de paie peut consulter les éléments de rémunération, sans pour autant accéder à chaque document médical ou dossier de recrutement.
Selon la CNIL, la sécurité des données repose notamment sur la gestion des habilitations, l’authentification et la traçabilité des accès. Les prestataires de paie ou de stockage doivent également recevoir uniquement les informations nécessaires à leur mission.
Mesures de maîtrise des accès :
- Habilitations adaptées aux fonctions réellement exercées
- Comptes individuels et authentification sécurisée
- Journalisation des accès aux dossiers sensibles
- Consignes de signalement en cas d’incident
Le contrôle des accès protège les dossiers au quotidien ; il doit être complété par des règles de conservation et des mesures techniques adaptées.
Conservation et sécurité des données RH : organiser la protection
Définir une durée de conservation adaptée
Après les règles d’accès, la durée de conservation détermine combien de temps les informations restent dans les outils courants. Elle dépend de la finalité et des obligations applicables ; une conservation indéfinie n’est pas une règle de gestion acceptable.
À la fin de l’usage courant, certaines pièces peuvent devoir être conservées séparément pour répondre à une obligation ou défendre un droit. L’archivage intermédiaire doit alors être distinct des dossiers actifs et soumis à des accès restreints.
Étape
Usage des données
Action de gestion
Collecte
Réponse à une finalité RH déterminée
Informer et documenter le traitement
Activité courante
Gestion du salarié ou de la candidature
Limiter les accès et maintenir les données utiles
Archivage intermédiaire
Réponse à une obligation ou défense d’un droit
Séparer les archives de la base active
Fin de conservation
Aucune nécessité justifiant le maintien
Supprimer ou anonymiser les informations
Sécuriser les outils et réduire les risques
La sécurité complète ces règles de durée, car une donnée correctement collectée peut encore être exposée par un poste mal protégé ou un partage inadapté. Les mesures doivent correspondre aux risques liés aux supports, aux accès et aux transmissions.
La pseudonymisation peut réduire l’identification directe dans certains usages, tandis que l’anonymisation vise à empêcher la réidentification. Ces procédés ne remplacent ni la limitation des accès ni la suppression des informations devenues inutiles.
La démarche gagne à associer les ressources humaines, le service informatique et le délégué à la protection des données, lorsqu’il existe. Un inventaire des traitements, des prestataires et des durées facilite les contrôles et les corrections régulières.
Priorités de sécurité RH :
- Postes de travail protégés et régulièrement mis à jour
- Transmissions limitées aux destinataires autorisés
- Sous-traitants recensés et encadrés contractuellement
- Procédure de traitement des incidents connue des équipes
Lorsque ces pratiques sont documentées et réexaminées, l’employeur peut mieux démontrer la cohérence de son dispositif et protéger les personnes concernées.
Source : CNIL, « Référentiel – Gestion des ressources humaines », CNIL.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
