Assurer la confidentialité des données RH : accès, durées, sanctions

Sommaire

Quelles données RH sont couvertes par la confidentialité

Qui peut accéder aux dossiers du personnel

Obligations de l'employeur au titre du RGPD

Durées de conservation et suppression des données RH

Mesures techniques et organisationnelles à mettre en place

Sanctions CNIL et risques prud'homaux pour l'entreprise

FAQ

Pour aller plus loin

Quelles données RH sont couvertes par la confidentialité

Assurer la confidentialité des données RH commence par identifier ce qui doit être protégé. Un dossier du personnel agrège des informations de nature différente : état civil, coordonnées bancaires, rémunération, arrêts de travail, entretiens annuels, sanctions disciplinaires, données de badgeage. Le RGPD distingue les données ordinaires des données sensibles, catégorie qui couvre notamment la santé, les convictions religieuses et l'appartenance syndicale. Ces dernières ne peuvent être traitées que dans des cas limités, par exemple pour satisfaire une obligation issue du droit du travail. Or les services RH détiennent presque toujours des données de santé : justificatifs d'arrêt maladie, avis d'aptitude, déclarations d'accident du travail. Elles appellent un cloisonnement strict, car leur diffusion interne suffit à caractériser un manquement, même sans perte financière pour le salarié.

Le tri entre données ordinaires et données sensibles conditionne toutes les règles d'accès et de conservation applicables au dossier du personnel.
Cadrer vos traitements RH avec un avocat en protection des données

Qui peut accéder aux dossiers du personnel

L'erreur fréquente consiste à raisonner par service plutôt que par besoin d'en connaître. Le principe de minimisation limite chaque accès aux données nécessaires à une mission précise. Le médecin du travail conserve les données de santé dans un dossier médical distinct, inaccessible à l'employeur.

Cette cartographie se formalise dans une politique d'habilitation écrite, revue à chaque mobilité interne et à chaque départ.

Obligations de l'employeur au titre du RGPD

Le RGPD ne crée pas de régime propre aux ressources humaines : il applique aux traitements de personnel des exigences générales. L'employeur identifie d'abord une base légale pour chaque traitement : l'exécution du contrat de travail pour la paie, l'obligation légale pour les déclarations sociales, l'intérêt légitime pour certains outils de gestion. Le consentement est rarement valable dans une relation de subordination, car il n'y est pas librement donné. L'employeur tient ensuite un registre des traitements décrivant finalités, catégories de données, destinataires et durées. Il informe les salariés en amont de la collecte, dans des termes compréhensibles. Enfin, il désigne un délégué à la protection des données lorsque ses traitements l'imposent, et documente une analyse d'impact pour les dispositifs les plus intrusifs, comme la vidéosurveillance ou la géolocalisation des véhicules.

La base légale retenue pour chaque traitement RH détermine les droits que les salariés peuvent exercer et les preuves que l'entreprise doit conserver.
Faire auditer votre conformité RH par un avocat spécialisé

Durées de conservation et suppression des données RH

Une donnée RH ne se conserve pas indéfiniment : chaque finalité appelle une durée fixée à l'avance, puis un archivage ou une suppression. La CNIL raisonne en trois temps. La base active correspond à l'usage quotidien. L'archivage intermédiaire répond aux seuls besoins de preuve ou aux obligations légales, avec un accès restreint. Vient enfin la suppression ou l'anonymisation.

Une purge annuelle documentée constitue la preuve la plus simple du respect de cette obligation.

Mesures techniques et organisationnelles à mettre en place

Le RGPD impose des mesures techniques et organisationnelles proportionnées au risque, selon une logique de privacy by design. Côté technique, les fondamentaux se vérifient vite :

• authentification individuelle, sans compte partagé entre gestionnaires ;
• droits d'accès par profil, révoqués le jour du départ ;
• chiffrement des postes et des supports amovibles contenant des dossiers du personnel ;
• journalisation des consultations, seul moyen de reconstituer qui a ouvert quel dossier ;
• séparation logique des données de santé du reste du système d'information RH.

Côté organisationnel, la confidentialité des données RH repose sur des règles écrites : clause de confidentialité dans les contrats des équipes RH, procédure de traitement des demandes des salariés, encadrement contractuel des prestataires de paie et des éditeurs de logiciels, qui agissent comme sous-traitants et dont les défaillances engagent aussi l'employeur. Une sensibilisation annuelle des managers complète le dispositif.

Les mesures de sécurité ne valent que si elles sont opposables : contrats de sous-traitance, habilitations et procédures internes doivent être rédigés.
Structurer votre dispositif de protection des données

Sanctions CNIL et risques prud'homaux pour l'entreprise

Le manquement se sanctionne sur deux terrains distincts. La CNIL peut prononcer une mise en demeure, un rappel à l'ordre, une injonction sous astreinte ou une amende administrative. Le plafond fixé par le RGPD atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Devant le conseil de prud'hommes, le salarié exploite plutôt le manquement comme levier : une preuve issue d'un traitement illicite peut être écartée des débats, et la divulgation d'une donnée de santé ou d'une sanction alimente une demande de dommages et intérêts. Un dispositif de surveillance non porté à la connaissance des salariés et des représentants du personnel perd ainsi sa valeur probatoire dans un contentieux disciplinaire.

FAQ

Un salarié peut-il consulter son dossier du personnel ?

Oui. Le droit d'accès prévu par le RGPD lui permet d'obtenir communication des données le concernant. L'employeur répond dans un délai encadré et peut occulter les informations relatives à des tiers.

Un manager peut-il connaître le salaire de son équipe ?

Seulement si cette information est nécessaire à sa mission, par exemple pour arbitrer des augmentations. Un accès permanent au détail des rémunérations dépasse en général ce besoin et doit être restreint.

Combien de temps conserver une candidature non retenue ?

La durée usuelle retenue par la CNIL est de 2 ans après le dernier contact avec le candidat. Au-delà, les données sont supprimées, sauf accord du candidat pour une conservation en vivier.

Le prestataire de paie est-il responsable en cas de fuite ?

Il agit comme sous-traitant et répond de ses propres manquements. L'employeur reste responsable du traitement : il doit encadrer la prestation par contrat et vérifier les garanties de sécurité offertes.

Faut-il désigner un délégué à la protection des données pour les RH ?

La désignation dépend de la nature et de l'ampleur des traitements de l'entreprise, pas du seul périmètre RH. Beaucoup d'organisations en désignent un volontairement, pour centraliser la documentation et les demandes.

Pour aller plus loin

Les règles pour la gestion du personnel - CNIL

Gestion des ressources humaines : référentiel de durées de conservation - CNIL

Obligations en matière de protection des données personnelles (RGPD) - Entreprendre.Service-Public.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.