Dossier du personnel et RGPD : constituer et conserver

Sommaire

1. Dossier du personnel : quelles données peut-on collecter

2. Base légale et principe de minimisation des données

3. Durées de conservation par catégorie de documents

4. Archivage intermédiaire après le départ du salarié

5. Accès au dossier : qui peut le consulter

6. Droits du salarié : accès, rectification, effacement

7. Registre des traitements et mentions d'information

8. Sanctions CNIL et contentieux prud'homal

FAQ

Pour aller plus loin

1. Dossier du personnel : quelles données peut-on collecter

Le dossier du personnel regroupe les pièces qu'un employeur réunit sur chaque salarié, du recrutement à la sortie. Sous RGPD, sa constitution n'est pas libre : chaque document doit servir une finalité de gestion identifiée, comme la paie, le suivi du contrat ou la formation.

Y figurent les éléments d'identification, le contrat et ses avenants, les éléments de rémunération, le suivi du temps de travail et des absences, les évaluations et les actions de formation.

D'autres informations n'y ont pas leur place, faute de finalité de gestion : appréciations sur la vie privée, opinions politiques ou syndicales, état de santé détaillé. Les données médicales relèvent du médecin du travail, dans un dossier distinct.

Les notes libres appellent une vigilance particulière. Un commentaire rédigé par un manager dans un champ de texte est une donnée personnelle : le salarié peut en demander la communication.

Constituer un dossier du personnel conforme suppose de trancher, pièce par pièce, ce qui relève de la gestion RH et ce qui n'a pas à y figurer.
Cadrer vos traitements de données RH

2. Base légale et principe de minimisation des données

Tout traitement repose sur une base légale, c'est-à-dire une justification juridique prévue par le RGPD. En RH, deux fondements dominent : l'exécution du contrat de travail et le respect d'une obligation légale de l'employeur. Le consentement est rarement pertinent, car le lien de subordination le rend difficilement libre.

Ce choix emporte une conséquence pratique. Lorsque le traitement repose sur le contrat ou sur la loi, le salarié ne peut pas y faire obstacle par simple refus ; en contrepartie, l'employeur doit démontrer que chaque donnée collectée sert cette finalité.

La minimisation des données impose de ne collecter que l'utile. Test simple : si la suppression d'un champ n'empêche ni la paie, ni le suivi du contrat, ni le respect d'une obligation légale, ce champ n'a pas lieu d'être. La copie systématique de pièces d'identité ou de justificatifs familiaux entre dans cette catégorie lorsqu'aucun texte ne l'impose.

3. Durées de conservation par catégorie de documents

L'article 5-1-e) du RGPD pose le principe de conservation limitée : les données ne sont gardées sous une forme permettant l'identification des personnes que le temps strictement nécessaire aux finalités poursuivies. Aucune durée universelle n'existe donc.

La CNIL a publié un référentiel de durées de conservation consacré à la gestion des ressources humaines. Il vise tous les organismes employeurs, privés comme publics, dont les personnels relèvent du droit du travail français, et distingue les durées obligatoires issues de la réglementation, notamment le code du travail, de celles qu'elle recommande.

Pour une catégorie non listée, la durée se détermine document par document à partir de ce référentiel, jamais d'un usage interne hérité.

Une politique de conservation écrite évite de trancher dans l'urgence, au moment d'un contrôle ou d'une demande d'un salarié.
Sécuriser votre politique de conservation

4. Archivage intermédiaire après le départ du salarié

Tant que le salarié est présent, ses données sont conservées en base active, dans les outils utilisés au quotidien par les équipes RH et paie. Après son départ, elles ne doivent pas y rester : les informations dont la conservation reste justifiée sont basculées sur un support d'archivage, avec un accès restreint, pour la durée légale applicable.

Cette bascule réduit le nombre de personnes exposées aux données d'anciens salariés et matérialise, en cas de contrôle, l'application du principe de conservation limitée.

Trois conditions la rendent exploitable :

1. Un support distinct de la base active, ou une base logiquement séparée.
2. Une habilitation nominative, limitée aux personnes qui doivent y accéder pour un motif précis.
3. Une purge programmée à l'échéance et tracée, plutôt qu'une suppression décidée au cas par cas.

À l'échéance, les données sont supprimées ou anonymisées. L'anonymisation suppose qu'aucune réidentification ne soit possible ; à défaut, il s'agit d'une pseudonymisation, qui reste un traitement de données personnelles.

5. Accès au dossier : qui peut le consulter

Le RGPD n'interdit pas l'accès au dossier : il le restreint aux personnes qui en ont besoin pour leurs missions. Ce principe d'habilitation se traduit par une cartographie simple, qui voit quoi et pour quelle finalité.

• L'équipe RH accède aux pièces de gestion du contrat.
• Le service paie accède aux seuls éléments de rémunération.
• Le manager accède aux évaluations de ses collaborateurs directs, pas au dossier complet.
• Les prestataires informatiques n'accèdent qu'aux données nécessaires à leur intervention, sous contrat.

Deux mesures rendent ces règles vérifiables : la journalisation des consultations et la revue périodique des habilitations, qui retire les droits devenus inutiles après une mobilité interne. Un dossier stocké sur un serveur ouvert à tous les collaborateurs contredit frontalement cette exigence.

La gestion des accès engage l'employeur autant que le contenu du dossier lui-même.
Faire auditer vos accès aux données RH

6. Droits du salarié : accès, rectification, effacement

Le salarié exerce ses droits à tout moment, y compris après son départ, sans avoir à motiver sa demande.

La distinction entre fait et appréciation concentre les difficultés. Un salarié fait corriger une date d'entrée erronée ; il n'obtient pas la suppression d'un compte rendu d'entretien dont il conteste le contenu, mais il peut demander que ses observations y soient jointes.

Une procédure interne écrite, avec un point d'entrée unique et un modèle de réponse, évite les réponses tardives ou incomplètes.

7. Registre des traitements et mentions d'information

Le registre des traitements recense les traitements mis en œuvre par l'entreprise. Pour les ressources humaines, il décrit la finalité de chacun (paie, recrutement, formation, discipline), les catégories de données, les destinataires, les durées retenues et les mesures de sécurité.

Il remplit une double fonction : preuve de conformité en cas de contrôle, référence interne lorsque le service RH s'interroge sur une durée ou un destinataire. Un registre jamais mis à jour perd les deux.

Les mentions d'information s'adressent au salarié. Remises au recrutement puis à l'embauche, elles indiquent qui traite les données, pour quelles finalités, sur quelle base légale, pour combien de temps et comment exercer ses droits. Elles s'actualisent à chaque nouvel outil RH déployé.

Le registre et les mentions d'information sont les premières pièces demandées lors d'un contrôle.
Mettre à jour votre documentation RGPD

8. Sanctions CNIL et contentieux prud'homal

La CNIL peut être saisie par un salarié ou se saisir elle-même. Ses suites vont de la mise en demeure, assortie d'un délai de mise en conformité, à des mesures correctrices pouvant inclure une amende administrative et, dans certains cas, la publicité de la décision.

Le risque inverse est tout aussi concret. Détruire trop tôt prive l'employeur des pièces qui justifient une décision contestée devant le conseil de prud'hommes : comptes rendus d'entretien, avertissements, éléments de rémunération. Or il lui revient d'établir la réalité des faits qu'il invoque.

Ces deux risques ne s'arbitrent pas au cas par cas. Ils se traitent en amont, par une politique de conservation documentée qui aligne les durées sur le référentiel CNIL et sur le code du travail, puis par la bascule en archivage à accès restreint après le départ. Conserver moins, mais conserver ce qui compte et savoir le retrouver.

FAQ

Combien de temps conserver un dossier du personnel ?

Il n'existe pas de durée unique. Le double du bulletin de paie se conserve 5 ans en application de l'article L3243-4 du code du travail. Les données d'identification et le suivi du temps de travail, motifs d'absence compris, ne peuvent pas être conservés plus de 5 ans après le départ du salarié. Pour les autres pièces, appuyez-vous sur le référentiel CNIL consacré à la gestion des ressources humaines.

Un salarié peut-il demander une copie de son dossier ?

Oui. Le droit d'accès lui permet d'obtenir une copie des données le concernant et de connaître les finalités du traitement, sans motiver sa demande. L'employeur occulte les éléments qui révéleraient des données relatives à d'autres personnes.

Le dossier du personnel peut-il rester au format papier ?

Oui, le RGPD s'applique aux dossiers papier structurés comme aux fichiers informatiques. Les mêmes exigences valent : accès restreint, rangement fermé, durée de conservation définie et destruction sécurisée à l'échéance.

Faut-il déclarer le dossier du personnel à la CNIL ?

Non, la déclaration préalable a disparu avec le RGPD. L'employeur documente lui-même ses traitements RH dans son registre et tient cette documentation à disposition en cas de contrôle.

Que faire des dossiers des anciens salariés ?

Ils sortent de la base active au départ du salarié. Les informations dont la conservation reste justifiée sont basculées sur un support d'archivage à accès restreint, pour la durée légale applicable, puis supprimées ou anonymisées à l'échéance.

Pour aller plus loin

Les règles pour la gestion du personnel - CNIL

Gestion des ressources humaines : référentiel de durées de conservation - CNIL

Les durées de conservation des données - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.