Pour traiter des données RH, vous devez rattacher chaque traitement à une base légale explicite : exécution du contrat de travail, obligation légale, intérêt légitime ou, plus rarement, consentement. En pratique, la paie, les déclarations sociales et une partie de la gestion administrative du dossier salarié reposent le plus souvent sur le contrat ou la loi. Les dispositifs de contrôle (badgeuse, vidéosurveillance, journaux/logs informatiques) peuvent relever de l’intérêt légitime lorsqu’ils répondent à une finalité déterminée et qu’ils sont strictement nécessaires et proportionnés, avec une information adaptée des salariés.
La difficulté vient des situations hybrides : contrôle de l’activité, alertes éthique, enquêtes internes, données de santé, entretiens filmés. Vous devez alors trancher traitement par traitement, avec des exemples concrets, pour documenter la base retenue, vérifier la minimisation des données et sécuriser les modalités d’information et d’usage, notamment si les données peuvent être mobilisées en cas de contentieux.
Cet article complète le guide pilier sur la mise en conformité RGPD des données RH. Pour appliquer la base légale choisie, consultez aussi le registre des traitements.
Téléchargez la fiche pratique « Autorisation de diffusion de l’image ».
Fiche pratique
Autorisation de diffusion de l’image
Situer les bases légales RGPD dans la relation de travail
Dans la relation de travail, chaque usage d’une donnée salarié doit reposer sur une base légale identifiée avant la mise en place du traitement et cohérente avec sa finalité. Cette base n’a pas vocation à changer au gré des usages : si le traitement évolue, vous devez vérifier que la nouvelle finalité est compatible ou, à défaut, définir une nouvelle base juridique et adapter l’information délivrée aux salariés. Sans base claire, le traitement est illicite, même s’il est courant en RH.
Les données RH courantes couvrent les informations d’identification et de contact, les éléments de paie, les données de carrière, d’évaluation, de temps de travail, les traces d’usage des outils (badges, messagerie, logiciels), ainsi que les éléments disciplinaires. Certaines informations relèvent de catégories dites sensibles : santé, données biométriques, origine prétendue raciale ou ethnique, opinions syndicales, données pénales. Ces dernières exigent un encadrement renforcé : au-delà d’une base de l’article 6 du RGPD, il faut aussi une condition spécifique permettant leur traitement.
En pratique, en RH, appuyez vous surtout sur quatre bases : l’exécution du contrat, l’obligation légale, l’intérêt légitime et, plus rarement, le consentement. L’exécution du contrat couvre ce qui est nécessaire à la gestion de la relation de travail. L’obligation légale renvoie aux textes qui imposent certains traitements (paie, déclarations sociales, registres). L’intérêt légitime répond à des besoins d’organisation et de sécurité, sous réserve d’un équilibre avec les droits des salariés. Le consentement vise des dispositifs réellement facultatifs, sans impact sur la relation de travail.
Le lien de subordination pèse sur ce choix : un salarié peut difficilement refuser sans conséquence ce qui est requis dans le cadre du travail, ce qui limite fortement l’usage du consentement. Pour chaque traitement, fixez une finalité principale et rattachez-la à une base juridique adaptée. Si plusieurs finalités distinctes coexistent (par exemple paie, contrôle d’accès, sécurité, disciplinaire), distinguez-les, documentez la base de chacune et ajustez en conséquence l’information, la minimisation des données et les durées de conservation.
Utiliser l’exécution du contrat pour les traitements RH nécessaires au travail
Un traitement relève de l’exécution du contrat quand, sans lui, vous ne pouvez pas gérer la relation de travail : finaliser l’embauche, organiser l’activité convenue, payer le salarié, administrer les droits directement liés au contrat. Le traitement sert alors les droits et obligations issus du contrat de travail (ou de mesures précontractuelles demandées par le candidat).
Posez-vous trois questions simples :
- Le traitement est-il directement lié à un engagement annoncé au salarié (poste, horaires, rémunération, missions, outils mis à disposition) ?
- Sans ce traitement, pouvez-vous exécuter le contrat (affectation, planification, paie, suivi du temps contractuel) ?
- Le salarié peut-il raisonnablement s’y attendre, car c’est inhérent au poste et aux conditions de travail annoncées ?
Si la réponse est oui aux trois, la base « exécution du contrat » est en général adaptée. Attention : beaucoup de dispositifs de sécurité (contrôle d’accès, vidéosurveillance, lutte contre la fraude, cybersécurité) relèvent plutôt de l’intérêt légitime ou de l’obligation légale, selon le cas. De même, le « suivi de performance » bascule vite vers une logique de management ou de contrôle plus large que le strict nécessaire au contrat.
| Famille de traitement | Finalité principale | Données traitées | Base légale | Limites à respecter |
|---|---|---|---|---|
| Paie et avantages individuels | Verser le salaire et les avantages prévus | Identité, RIB, poste, temps de travail, éléments variables de rémunération | Exécution du contrat (et parfois obligation légale, selon le traitement) | Ne pas réutiliser ces données pour des analyses étendues (profilage, comparaisons fines de performance) sans base adaptée et information claire |
| Gestion du temps de travail | Comptabiliser le temps travaillé pour payer et suivre le temps contractuel | Horaires, pointages, planning, congés, récupérations | Exécution du contrat | Limiter la précision, l’accès et la durée de conservation aux besoins de paie/organisation ; éviter un suivi permanent « comportemental » |
| Gestion des absences | Enregistrer les absences pour appliquer le contrat et les règles internes | Dates d’absence, motif administratif, justificatifs | Exécution du contrat (et parfois obligation légale) | Ne pas collecter plus d’informations de santé que nécessaire ; cloisonner strictement la diffusion des motifs et justificatifs |
| Notes de frais | Rembourser les frais engagés pour l’activité | Identité, trajets, justificatifs, montants | Exécution du contrat | Ne collecter que ce qui justifie la dépense ; encadrer les justificatifs (données sensibles possibles indirectement) et la conservation |
Ne faites pas glisser vers « l’exécution du contrat » des traitements de confort pour l’employeur : reporting RH trop fin non nécessaire au poste (tableaux nominatifs, scoring, comparatifs), réutilisation des données de paie pour des études internes sans lien direct avec l’emploi, profils détaillés à des fins de communication ou valorisation.
Pour tracer cette base dans votre registre des traitements, mentionnez :
- La référence à l’article du RGPD sur l’exécution du contrat ou les mesures précontractuelles demandées par la personne concernée.
- Le lien concret avec un engagement écrit : clause ou annexe du contrat, fiche de poste, note RH formalisée, accord d’entreprise (si applicable).
- Les limites que vous vous imposez : données explicitement exclues, durées de conservation, destinataires, et pas de réutilisation pour d’autres finalités (pilotage, communication, études) sans base distincte et information claire.
S’appuyer sur l’obligation légale pour les traitements imposés par un texte
S’appuyer sur l’obligation légale est pertinent quand un texte impose réellement de collecter, conserver ou transmettre des données, et que le traitement est strictement nécessaire pour respecter cette obligation (art. 6 RGPD). Sans ce texte, vous pourriez parfois organiser le travail autrement, mais vous seriez en non-conformité si l’obligation n’est pas remplie.
-
Reconnaître un traitement imposé par la loi
-
Cherchez des formulations impératives : « est tenu de », « doit conserver », « doit déclarer », « est obligatoire », avec une obligation opérationnelle (qui fait quoi, sur quelles données, à quelle fin).
-
Vérifiez si le texte définit au moins en partie le contenu attendu (catégories de données, destinataires, durée, modalités), ou renvoie clairement à un cadre qui le fait.
-
La présence d’une sanction (administrative, pénale, fiscale) est un indice utile, mais pas un critère suffisant : le point décisif reste l’existence d’une obligation juridique explicite de traiter des données.
-
Distinguer l’obligation légale des autres fondements (très fréquent en RH)
-
Obligation légale : vous traitez des données parce qu’un texte vous y oblige (déclaration, tenue, conservation, transmission imposée).
-
Exécution du contrat : vous traitez des données parce que c’est nécessaire à la gestion courante de la relation de travail (même si, par ailleurs, des règles encadrent cette gestion). Dans ce cas, ce n’est pas automatiquement une “obligation légale”.
-
Autres cas : lorsque la finalité relève d’une mission d’intérêt public confiée par un texte à une entité (plutôt administrations ou organismes), la base peut être différente à qualifier au cas par cas.
-
Méthode pour documenter une obligation légale dans le registre
-
Identifiez une finalité précise (sociale, fiscale, comptable, santé-sécurité, etc.).
-
Rattachez-la à un texte : Texte → obligation → finalité → catégories de données → destinataires → durée.
-
Limitez le traitement au strict nécessaire au regard du texte (minimisation, accès au besoin d’en connaître, conservation limitée).
Recourir à l’intérêt légitime pour la gestion et le contrôle de l’activité
Recourir à l’intérêt légitime pour la gestion et le contrôle de l’activité peut être pertinent pour des traitements utiles à la sécurité ou à l’organisation du travail, non imposés par un texte et pas strictement nécessaires à l’exécution du contrat. Il peut viser la sécurité des biens et des personnes, la sécurité du SI, l’organisation des accès, la prévention de comportements à risque ou certaines enquêtes internes.
Point de vigilance à intégrer : les décisions sur la recevabilité d’une preuve (mise en balance droit à la preuve / vie privée, avec exigence d’indispensabilité et de proportionnalité) ne valident pas à elles seules la base intérêt légitime au sens du RGPD. En contentieux prud’homal, une preuve peut être discutée sous cet angle (Cass. soc., 14/02/2024, n° 22-23.073 ; Cass. soc., 26/02/2025, n° 22-18.179) ; séparément, côté RGPD, il faut une finalité déterminée et un traitement proportionné, et en cas de données de tiers, le juge peut aussi ordonner une occultation et une limitation d’usage (Avis Cass. soc., 24/04/2024, n° 21-20.979).
Exemples fréquents (à cadrer strictement) :
- badgeuse utilisée principalement pour sécuriser l’accès aux locaux (attention si elle sert aussi à contrôler horaires ou pauses) ;
- vidéosurveillance limitée à des zones sensibles (caisse, stock, accès) : si elle permet en pratique de surveiller les salariés dans un local de repos sans information, risque d’illicéité (art. L.1222-4 Code du travail ; Cass. soc., 04/10/2023, n° 22-18.105) ;
- analyse de journaux informatiques pour détecter des usages abusifs ou des incidents de sécurité ;
- extractions ciblées d’un logiciel métier pour contrôler une anomalie précise ou une fraude ;
- géolocalisation de véhicules pour la sécurité des équipes en déplacement ou la protection du matériel (à éviter en suivi permanent non justifié).
- Décrire la finalité légitime
Formulez un objectif précis : prévention des intrusions, sécurisation des paiements, détection de fuites de données, enquête sur un fait signalé. Plus la finalité est concrète, plus la base est défendable.
- Analyser les effets sur la vie privée
Interrogez-vous sur : qui est visé (ensemble des salariés ou quelques postes), quelles données sont captées (image, localisation, historique détaillé), à quelle fréquence (ponctuel, échantillonné, continu), sur quels espaces (poste de travail, espace de pause, véhicule, domicile). Une surveillance continue ou généralisée pèse plus sur la vie privée.
- Réduire l’atteinte
Ajustez le dispositif : cadrage de caméra, plages horaires, niveau de détail des logs, durée de conservation courte, accès restreint, pas de son, pas de contrôle des temps de pause si non nécessaire, traçabilité des accès aux données. Informez clairement les salariés du dispositif (art. L.1222-4).
- Vérifier la proportionnalité
Comparez l’utilité du dispositif avec l’atteinte : portée de la mesure, périmètre des personnes touchées, granularité des données, besoin réel d’un suivi en temps réel. Recherchez aussi s’il existe une alternative raisonnablement efficace et moins intrusive : si oui, cela fragilise la nécessité du dispositif et l’intérêt légitime. La logique attendue est une mise en balance circonstanciée : finalité, nécessité, puis proportionnalité de l’atteinte.
- Décider d’ajuster ou de renoncer
Ajustez ou renoncez si le contrôle devient permanent sans justification concrète, si le périmètre est trop large au regard de l’objectif, ou si des données non indispensables sont collectées. Dans certains cas, il faudra limiter le traitement (périmètre, accès, durée, niveau de détail), changer l’approche, ou abandonner le projet.
- Formaliser et informer
Rédigez une courte analyse : finalité, intérêt poursuivi, risques pour les salariés, mesures de réduction (cadrage, minimisation, accès restreint, durées), conclusion sur la proportionnalité. Conservez-la avec le registre des traitements. Préparez ensuite une information claire aux salariés décrivant l’objectif, le fonctionnement, les données traitées, les durées de conservation et leurs droits. Si des données de tiers sont en jeu, prévoyez un cadrage strict (périmètre et, si nécessaire, occultation des données non indispensables.
Réserver le consentement aux dispositifs RH réellement facultatifs
Utilisez-le seulement quand le salarié peut refuser ou retirer son accord sans désavantage (ni pression, ni impact direct ou indirect sur l’emploi, l’organisation du travail, la rémunération, l’évaluation, la carrière). Dans la relation de travail, le lien de subordination rend ce consentement souvent fragile ; privilégiez donc, pour les traitements liés au travail lui‑même, l’exécution du contrat, l’obligation légale ou l’intérêt légitime selon la finalité (règle générale RGPD).
Un consentement valable doit rester :
- libre : refus et retrait possibles, sans conséquence négative, et avec une vraie alternative ;
- spécifique : une case par finalité, pas de consentement global fourre‑tout ;
- éclairé : information simple sur l’objectif, les données, les destinataires, la durée, les droits ;
- univoque : action claire (case à cocher), pas de silence ;
- documenté : preuve datée du choix, traçabilité des retraits.
Le consentement se prête surtout à des dispositifs annexes et optionnels : publication de la photo sur le site, brochure ou réseaux sociaux ; inscription à un programme de bien‑être ou à un atelier non lié au contrat ; accès à un service facultatif (conciergerie, plateforme d’avantages) ; usage d’un outil collaboratif non requis pour les missions et non pris en compte, même implicitement, dans l’évaluation.
Évitez le consentement pour tout ce qui touche au suivi, au contrôle ou à la sécurité du travail : badgeuse, vidéosurveillance, géolocalisation imposée par l’activité, logiciel métier, outils de contrôle de l’activité, dispositifs nécessaires à la sécurité. Pour ces usages, fondez-vous sur une base “liée au travail” (contrat, obligation légale ou intérêt légitime selon la finalité) et documentez la proportionnalité.
Pour organiser un consentement solide, isolez-le dans un support dédié : formulaire distinct du contrat, texte court, cases à cocher par usage, mention explicite du refus et du retrait. Prévoyez un canal simple pour ce retrait (adresse mail ou espace RH). Le retrait vaut pour l’avenir : il n’annule pas automatiquement ce qui a déjà été fait sur la base du consentement avant retrait. Conservez la trace des consentements et des retraits.
Téléchargez notre modèle d’autorisation de diffusion d’image.
