People analytics : exploiter les données de paie pour les décisions RH

Sommaire

People analytics appliqué à la paie : de quoi parle-t-on

Les décisions RH que les données de paie peuvent éclairer

RGPD : base légale, minimisation et analyse d'impact

Décisions automatisées et profilage : la limite de l'article 22

Informer les salariés et consulter le CSE au préalable

Gouvernance et biais : sécuriser un projet people analytics

FAQ

Pour aller plus loin

People analytics appliqué à la paie : de quoi parle-t-on

Le people analytics désigne l'analyse statistique des données des salariés pour éclairer les décisions RH. Appliqué à la paie, il exploite les bulletins : salaire de base, primes, heures supplémentaires, ancienneté, absences.

Ces données sont déjà historisées : l'employeur doit conserver les bulletins de paie pendant 5 ans (article L3243-4 du Code du travail). Toutefois, leur réutilisation pour évaluer ou prédire constitue un changement de finalité, qui déclenche les obligations du RGPD et du Code du travail.

Un usage analytique des données de paie modifie le cadre juridique du traitement.
Consulter un avocat en conseil social et paie

Les décisions RH que les données de paie peuvent éclairer

Trois familles de décisions s'appuient sur ces analyses :

• Rémunération : repérer les écarts entre postes comparables.
• Rotation du personnel (turnover) : identifier les populations dont le taux de départ dépasse la moyenne.
• Promotions : vérifier l'homogénéité des critères d'évolution entre services.

L'analyse signale un écart sans en établir la cause : expérience, qualification ou discrimination, que l'article L1132-1 du Code du travail interdit en matière de rémunération et de promotion. Un écart non justifié, une fois révélé, ne peut plus être ignoré par l'employeur.

RGPD : base légale, minimisation et analyse d'impact

Tout traitement doit reposer sur une base légale prévue à l'article 6 du RGPD. L'employeur invoque généralement l'intérêt légitime, c'est-à-dire un objectif de gestion justifié et proportionné aux droits des salariés. Le consentement est rarement valable : selon la CNIL, le lien de subordination empêche le salarié de refuser librement.

L'article 5 du RGPD ajoute trois principes :

1. Limitation des finalités : définir l'objectif avant l'analyse.
2. Minimisation des données : traiter uniquement les données nécessaires.
3. Limitation de la conservation : fixer une durée propre au projet.

Le référentiel CNIL sur la gestion du personnel (novembre 2019) précise les finalités admises.

Enfin, l'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) en cas de risque élevé. La liste de la CNIL y inclut le profilage et l'évaluation systématique des salariés, soit la plupart des projets qui notent ou classent. Les manquements exposent à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83 du RGPD).

La base légale et l'AIPD conditionnent la licéité du projet.
Échanger avec un avocat en conseil social et paie

Décisions automatisées et profilage : la limite de l'article 22

L'article 22 du RGPD reconnaît au salarié le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsqu'elle l'affecte de manière significative. Le profilage consiste à utiliser des données pour évaluer ou prédire le comportement d'une personne.

Un outil peut calculer un score de risque de départ ou proposer une augmentation, mais la décision finale exige une intervention humaine réelle.

Le règlement (UE) 2024/1689 sur l'IA (annexe III) classe à haut risque les systèmes utilisés pour la promotion, la rémunération liée à la performance ou l'évaluation. Le règlement « omnibus numérique », adopté par le Parlement européen le 16 juin 2026 et par le Conseil le 29 juin 2026, reporte leurs obligations au 2 décembre 2027 au lieu du 2 août 2026.

Informer les salariés et consulter le CSE au préalable

L'article L1222-4 du Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif non préalablement porté à sa connaissance. L'information des salariés précède donc sa mise en service. De plus, l'article L1121-1 exige que toute restriction aux droits des salariés soit justifiée et proportionnée : une analyse agrégée se justifie plus facilement qu'un suivi individuel.

Dans les entreprises d'au moins 50 salariés, le CSE est informé et consulté, préalablement à la décision, sur les moyens de contrôle de l'activité des salariés (article L2312-38) et sur l'introduction de nouvelles technologies (article L2312-8). À défaut, l'outil s'expose à une contestation des représentants du personnel.

L'information des salariés et la consultation du CSE fixent le calendrier de déploiement.
Être accompagné par un avocat en conseil social et paie

Gouvernance et biais : sécuriser un projet people analytics

Un algorithme entraîné sur des historiques de paie reproduit les écarts qu'ils contiennent : le risque de discrimination se déplace vers l'outil lui-même. Une gouvernance documentée limite ce risque :

• Responsable identifié : une personne répond des choix de données.
• Registre et AIPD : mise à jour à chaque nouvelle finalité.
• Tests de biais : comparaison des résultats selon le sexe, l'âge ou le temps de travail.
• Accès restreint : données nominatives réservées aux personnes habilitées.

En cas de contrôle de la CNIL ou de contentieux prud'homal, cette organisation prouve que les décisions reposent sur des critères objectifs.

FAQ

Le people analytics est-il légal en France ?

Oui, sous conditions. L'employeur doit disposer d'une base légale au sens de l'article 6 du RGPD, limiter les données au strict nécessaire, informer les salariés et, à partir de 50 salariés, consulter le CSE avant la mise en œuvre.

Le consentement des salariés suffit-il ?

Non dans la plupart des cas. La CNIL considère que le lien de subordination empêche un consentement libre. L'employeur s'appuie donc généralement sur l'intérêt légitime ou l'exécution du contrat.

Une AIPD est-elle obligatoire ?

Elle l'est lorsque le traitement présente un risque élevé. La liste de la CNIL vise le profilage et l'évaluation systématique des salariés, ce qui couvre la plupart des projets de scoring ou de prédiction.

Un outil peut-il décider seul d'une augmentation ?

Non. L'article 22 du RGPD exige une intervention humaine réelle pour toute décision affectant le salarié de manière significative. L'outil peut recommander, mais un décideur doit examiner et trancher.

Quand s'appliquent les obligations de l'AI Act aux outils RH ?

Les systèmes d'IA utilisés pour la promotion, la rémunération liée à la performance ou l'évaluation sont classés à haut risque. Le règlement « omnibus numérique » adopté en juin 2026 reporte leurs obligations au 2 décembre 2027.

Pour aller plus loin

Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel - CNIL

Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise - CNIL

Code du travail, article L2312-38 : consultation du CSE sur les moyens de contrôle de l'activité des salariés - Légifrance

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.