Conformité RGPD en ressources humaines : ce que l'employeur doit sécuriser

Sommaire

1. Quelles données RH relèvent du RGPD

2. L'employeur responsable de traitement : ce que cela implique

3. Base légale et information des salariés

4. Durées de conservation : paie, candidatures, vidéosurveillance

5. Sous-traitants paie et SIRH : contrat obligatoire

6. Manquements fréquents et sanctions CNIL

FAQ

Pour aller plus loin

La conformité RGPD en ressources humaines couvre toute information permettant d'identifier un salarié, un candidat, un stagiaire ou un ancien collaborateur, quelle que soit la taille de la structure. Pour une direction des systèmes d'information, l'enjeu est opérationnel : ces traitements vivent dans le SIRH, la paie, les outils de recrutement et les dispositifs de sécurité. La direction RH définit les finalités, la DSI porte les mesures techniques.

1. Quelles données RH relèvent du RGPD

Le règlement s'applique à toute donnée personnelle traitée dans le cadre de la relation de travail. Cela dépasse l'état civil : coordonnées, carrière, évaluations, temps de travail, éléments de rémunération, arrêts de travail, candidatures spontanées. Certaines catégories appellent une vigilance renforcée car elles révèlent la santé, l'appartenance syndicale ou des caractéristiques biométriques. Leur traitement suppose une base légale valable, à défaut de quoi il est irrégulier.

Une cartographie par outil, et non par service, évite les angles morts. Un même fichier de paie alimente souvent la comptabilité, l'organisme de prévoyance et un prestataire externe.

Cartographier les traitements RH suppose d'articuler contraintes techniques et qualification juridique de chaque donnée.
Voir la page protection des données

2. L'employeur responsable de traitement : ce que cela implique

L'employeur est responsable de traitement. Cette qualification signifie qu'il détermine les finalités et les moyens des traitements RH, et qu'il lui revient de mettre en œuvre les mesures techniques et organisationnelles garantissant la conformité. Cette responsabilité ne se transfère ni à l'éditeur du SIRH, ni au cabinet de paie, alors même que ces prestataires hébergent les données.

Exemple de registre RGPD ressources humaines

Le registre des activités de traitement documente, pour chaque traitement, sa finalité, les catégories de personnes et de données, les destinataires, la durée de conservation et les mesures de sécurité. Un exemple de registre RGPD ressources humaines distingue la gestion administrative, la paie, le recrutement, la formation, les élections professionnelles et le contrôle des accès. Ce document constitue la première pièce demandée en cas de contrôle.

3. Base légale et information des salariés

Chaque traitement repose sur une base légale, c'est-à-dire le fondement juridique qui autorise la collecte. En matière RH, l'exécution du contrat de travail et le respect d'une obligation légale couvrent la majorité des besoins. Le consentement est rarement pertinent, car le lien de subordination fragilise la liberté du choix.

L'employeur est tenu d'informer les personnes concernées avant la mise en œuvre du traitement. Cette information précède donc le déploiement de l'outil, jamais l'inverse. Un projet SI lancé sans note d'information expose l'entreprise dès le premier jour d'exploitation.

RGPD, salaire, donnée personnelle : quel régime ?

Le montant de la rémunération est une donnée personnelle ordinaire, mais son accès reste réservé aux personnes habilitées. La question RGPD salaire donnée personnelle se pose surtout lors des exports vers des tableaux de bord partagés, où le cloisonnement disparaît souvent par défaut.

Qualifier la base légale d'un traitement RH engage la validité de l'ensemble du dispositif technique construit autour.
Consulter notre expertise en protection des données

4. Durées de conservation : paie, candidatures, vidéosurveillance

Une donnée conservée sans limite devient une exposition. Le référentiel CNIL RGPD ressources humaines fixe des durées de référence, que l'entreprise applique et justifie traitement par traitement.

La purge automatisée vaut mieux qu'une procédure manuelle : elle se prouve dans les journaux techniques et ne dépend pas d'une vigilance individuelle.

5. Sous-traitants paie et SIRH : contrat obligatoire

L'éditeur du SIRH, le prestataire de paie et l'outil de gestion des candidatures agissent comme sous-traitants : ils traitent des données pour le compte de l'employeur et sur ses instructions. Un contrat écrit doit encadrer cette relation et préciser l'objet, la durée, les finalités, les obligations de sécurité, le sort des données en fin de contrat et les conditions de recours à un sous-traitant ultérieur.

En pratique, la DSI vérifie trois points avant chaque renouvellement : la localisation des serveurs, les modalités de réversibilité et la chaîne de sous-traitance déclarée. Un prestataire qui refuse de documenter ces éléments crée une exposition contractuelle directe pour l'employeur.

Les clauses de sous-traitance conditionnent la réversibilité des données RH et la répartition des responsabilités en cas d'incident.
Échanger avec un avocat en protection des données

6. Manquements fréquents et sanctions CNIL

Les manquements constatés se répètent d'une organisation à l'autre :

• défaut d'information des salariés ;
• conservation excessive des données ;
• absence de contrat de sous-traitance avec les prestataires de paie ;
• vidéosurveillance non conforme ;
• traitement de données sensibles sans base légale valable.

Le règlement prévoit une sanction administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de l'amende, un traitement irrégulier fragilise l'employeur devant le conseil de prud'hommes lorsqu'une preuve issue d'un dispositif non conforme est écartée des débats. La conformité RGPD en ressources humaines protège donc autant le budget que la position contentieuse de l'entreprise.

FAQ

Le RGPD s'applique-t-il aux données des candidats non retenus ?

Oui. Le règlement couvre les candidats au même titre que les salariés. Le référentiel CNIL retient une conservation de 2 ans après le dernier contact, au-delà de laquelle les CV et notes d'entretien doivent être supprimés.

Faut-il le consentement du salarié pour traiter ses données ?

Rarement. L'exécution du contrat de travail et les obligations légales fondent la plupart des traitements RH. Le lien de subordination rend le consentement fragile, car il suppose un choix libre que le salarié n'a pas toujours.

Combien de temps conserver les bulletins de paie ?

Le référentiel CNIL retient une durée de 5 ans pour les bulletins de paie. Cette durée doit être paramétrée dans l'outil de paie, avec une purge traçable plutôt qu'une suppression manuelle ponctuelle.

Qui est responsable en cas d'incident chez le prestataire de paie ?

L'employeur reste responsable de traitement. Le prestataire est sous-traitant et répond de ses propres obligations de sécurité. Le contrat écrit détermine la répartition précise des responsabilités et les modalités de notification d'un incident.

Que doit contenir l'information des salariés ?

Elle précise la finalité du traitement, sa base légale, les destinataires des données, la durée de conservation et les modalités d'exercice des droits. Elle doit être délivrée avant la mise en œuvre du traitement, pas après le déploiement de l'outil.

Pour aller plus loin

Les règles pour la gestion du personnel - CNIL

Référentiel relatif aux traitements de données personnelles de gestion des ressources humaines - CNIL

Recrutement et données personnelles dans les TPE/PME : cinq questions incontournables - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.