Pour mettre en conformité RGPD les données RH des salariés et des candidats, vous devez cadrer cinq points : ce que vous collectez, pourquoi (finalité), sur quelle base vous le faites (licéité), combien de temps vous conservez, qui y accède et avec quel niveau de sécurité. L’enjeu est de relier vos pratiques quotidiennes (recrutement, paie, dossiers, absences, contrôle) à une justification claire et traçable, afin de pouvoir démontrer la conformité en cas de contrôle CNIL ou de réclamation.
Vous traitez déjà beaucoup de données, parfois sensibles : CV reçus par mail, entretiens, justificatifs, alertes et reporting d’absences, outils de suivi, accès partagés. Sans cadre, le risque vient moins d’une grosse fuite que de pratiques mal maîtrisées au quotidien : données conservées trop longtemps, accès trop larges, documents disséminés, finalités qui dérivent. L’objectif est de remettre de l’ordre progressivement, sans bloquer les besoins RH, et en identifiant au passage les traitements qui peuvent nécessiter une analyse d’impact (AIPD) lorsqu’ils présentent un risque élevé.
Commencez par déterminer les bases légales de chaque traitement RH, puis fixez les durées de conservation et consignez vos choix dans le registre des traitements. Si le traitement présente un risque élevé, suivez la méthode dédiée à l’AIPD.
Les autres articles vous accompagnent dans la gestion des demandes d’opposition ou d’effacement et du droit d’accès, puis dans l’information des salariés et des candidats, la sécurisation des données, la gestion des habilitations et le choix d’un logiciel RH.
Tracer le périmètre : cartographier les traitements RH et leurs finalités
La première étape concrète consiste à lister vos traitements RH un par un, avec leur finalité, les catégories de données en jeu, et les personnes qui y accèdent. Vous devez pouvoir démontrer, pour chaque outil ou formulaire, que les données sont collectées pour des finalités déterminées, explicites et légitimes (loi Informatique & Libertés modifiée par l’ord. 2018-1125, art. 4).
La première étape concrète consiste à lister vos traitements RH un par un, avec leur finalité, les données en jeu et les personnes qui y accèdent. Vous devez pouvoir répondre, pour chaque formulaire ou outil, à ces questions pour respecter les exigences de finalité déterminée, explicite et légitime, et de données adéquates, pertinentes et limitées à ce qui est nécessaire.
- Recenser vos traitements RH
Partez de vos pratiques réelles et non de la théorie. Listez, service par service :
- Recrutement : annonces, formulaires candidats, candidatures spontanées, entretien, tests.
- Outils SIRH, paie, administratif : dossier salarié, paie, gestion du temps, absences, notes de frais.
- Discipline et performance : avertissements, dossiers disciplinaires, objectifs, entretiens.
- Contrôle et sécurité : badgeuse, contrôle d’accès, vidéoprotection, relevés de connexion.
- Outils numériques : messagerie, agendas partagés, coffre-fort numérique, partage de documents.
- Suivi santé / social : visites médecine du travail, aménagements de poste, accidents.
- Décrire l’usage concret de chaque traitement
Pour chaque ligne, indiquez :
- Qui utilise l’outil et pour quelle tâche précise (ex : présélection des CV).
- Qui est concerné (candidats, salariés, alternants, intérimaires, etc.).
- Qui y accède (RH, managers, direction, comptabilité) et quels prestataires y ont accès le cas échéant.
- Les principales mesures d’organisation déjà en place (droits d’accès, dossiers partagés, etc.), car la sécurité fait partie des exigences de traitement.
- Formuler une finalité claire et légitime
Rédigez, pour chaque traitement, une phrase courte qui décrit le but, sans être vague :
- Préférez : « Gérer les candidatures reçues pour pourvoir les postes ouverts ».
- Évitez : « Gestion RH » ou « Suivi administratif », trop larges.
Une finalité ne couvre que ce qui est nécessaire à ce but. Si vous changez d’usage, vous créez un nouveau traitement : vous devez donc recadrer.
- Vérifier les données collectées pour chaque finalité
Pour chaque traitement, listez les catégories de données réellement collectées (identité, coordonnées, données professionnelles, données de paie, temps de travail).
Posez-vous la question pour chaque catégorie : est-elle nécessaire pour la finalité ou seulement confortable ? Si elle n’est pas indispensable, supprimez-la du formulaire ou évitez de l’archiver.
Dès qu’un traitement touche à la santé ou à d’autres catégories particulières, marquez-le comme donnée sensible pour qu’il soit traité séparément et plus strictement ensuite (interdiction de principe et régime d’exception : ord. 2018-1125, art. 6).
- Construire une mini-cartographie par traitement
Par exemple, pour un outil de recrutement :
- Finalité : gestion des candidatures pour pourvoir les postes ouverts et constituer un vivier limité.
- Données : identité, coordonnées, CV, lettre, historique des échanges, décisions de recrutement.
- Accès internes : équipe RH, managers recruteurs selon les postes.
- Destinataires externes : cabinet de recrutement qui intervient sur certains postes.
Cette fiche servira ensuite de base à votre registre, au choix de la base juridique, des durées de conservation, des droits d’accès et des mesures de sécurité.
Fixer le cadre juridique : base de licéité, registre et sous-traitants RH
Pour chaque traitement RH, vous devez choisir une base de licéité, l’inscrire dans le registre, puis encadrer vos prestataires qui traitent des données salariés ou candidats.
- Identifier la base de licéité adaptée
Appuyez-vous sur les bases prévues par le RGPD (rappelées notamment par la cour d’appel de Nîmes, 09/06/2026, n° 25/00994, sur l’art. 6 du RGPD) :
-
Obligation légale : paie, déclarations sociales, registres obligatoires, conservation de documents imposés par un texte.
-
Exécution du contrat : gestion du contrat de travail, planning, congés, versement du salaire, gestion des notes de frais.
-
Intérêt légitime : recrutement (hors obligations légales), contrôle d’accès, sécurité informatique, organisation et pilotage de l’activité, à condition que le dispositif reste proportionné.
-
Consentement : à réserver aux usages réellement optionnels, lorsque le refus (et le retrait ultérieur) n’a pas d’effet sur la relation de travail.
-
Intérêt public : rare en entreprise privée, sauf cadre sectoriel très spécifique.
-
Écarter le faux consentement des salariés
-
Ne demandez pas de consentement pour la paie, la gestion du contrat ou un traitement nécessaire au respect d’une obligation : la base doit être l’obligation légale ou l’exécution du contrat.
-
Ne conditionnez pas un élément normal (outil, formation, process RH standard) à l’acceptation d’usages annexes.
-
Utilisez le consentement seulement pour des finalités réellement facultatives (ex. photo sur l’intranet), avec possibilité de dire non et de retirer ensuite.
-
Structurer un registre RH à partir de la cartographie
Tenez et maintenez à jour le registre des activités de traitement (ord. n° 2018-1125 ; loi du 20/06/2018, art. 70-14). Pour chaque traitement recensé, consignez au minimum :
- Finalité ;
- Catégories de personnes (candidats, salariés, alternants, etc.) ;
- Catégories de données ;
- Destinataires (internes/externes) ;
- Durées ou critères de conservation ;
- Base de licéité ;
- Description générale des mesures de sécurité.
- Encadrer les sous-traitants RH
Dès qu’un prestataire traite des données pour votre compte, il doit être encadré par un contrat ou acte juridique précisant notamment l’objet, la durée, la finalité, les catégories de données, les obligations et les mesures de sécurité, et le fait que le sous-traitant n’agit que sur instruction.
-
Exemple de fiche de registre pour un traitement de paie
-
Finalité : gestion de la paie, versement de la rémunération et réalisation des obligations sociales et fiscales liées à l’emploi.
-
Personnes concernées : salariés, alternants, stagiaires indemnisés.
-
Catégories de données : identité, coordonnées, éléments de paie, temps de travail, données bancaires.
-
Base de licéité : obligation légale (paie, déclarations et obligations afférentes) ; exécution du contrat de travail (versement du salaire, gestion administrative du contrat).
-
Destinataires : service RH, service paie, direction (selon habilitations), expert-comptable.
-
Durée de conservation : bulletins de paie (double employeur) : 5 ans ; autres pièces et justificatifs de paie : selon les obligations légales applicables, puis archivage sécurisé.
-
Mesures de sécurité : accès limité selon le besoin d’en connaître, habilitations nominatives, traçabilité ou journalisation des accès et opérations, sauvegardes sécurisées.
-
Sous-traitants : éditeur du logiciel de paie, hébergeur SIRH, expert-comptable.
Structurer la collecte, l’information et les durées de conservation
Pour chaque traitement RH, vous devez aligner collecte, information et conservation : définir une finalité et une base de licéité, informer les personnes, limiter les données et la durée, sécuriser l’accès selon le besoin d’en connaître, et organiser l’exercice des droits (accès, rectification, effacement, limitation et, selon les cas, opposition).
- Passer vos formulaires au crible de la minimisation
- Listez vos formulaires et écrans RH : candidature, onboarding, dossier salarié, entretiens, disciplinaire, sortie, contrôle d’accès.
- Pour chaque champ, posez-vous trois questions : à quoi sert-il, est-il indispensable, qui y a accès.
- Supprimez les champs sans lien direct avec la finalité, rendez optionnels ceux qui ne servent qu’à affiner le profil.
- Limitez les champs libres : questions ciblées, menus déroulants, cases à cocher plutôt qu’un texte ouvert large.
- Organiser la mise à jour de l’exactitude des données
- Prévoyez un canal simple pour les mises à jour (auto-service dans le SIRH ou formulaire, mail dédié) : adresse, état civil, coordonnées, contacts d’urgence.
- Ajoutez un rappel standard dans les temps RH récurrents (ex. entretien annuel) pour vérifier les informations clés.
- Désignez un point de contact RH et formalisez le traitement des demandes (accusé de réception, suivi, traçabilité).
- Rédiger des mentions d’information adaptées
Vos mentions couvrent au minimum : identité du responsable, finalités, base de licéité, catégories de données, destinataires internes/externes, durée ou critère de conservation (avec point de départ), existence éventuelle de transferts, droits des personnes et modalités d’exercice, contact DPO ou référent RGPD.
- Salariés : fiche jointe au contrat, notice dans le livret d’accueil ou page intranet RH.
- Candidats : mention sur le formulaire de candidature et dans les échanges e-mail types.
- Dispositifs de contrôle (contrôle d’accès, vidéosurveillance, géolocalisation…) : affichage sur site + notice détaillée accessible facilement.
- Fixer vos règles de conservation
- Appuyez-vous sur trois repères : obligations légales, délais de prescription, et utilité opérationnelle strictement justifiée.
- Pour chaque catégorie de données, écrivez une règle complète : durée + point de départ + sort final (suppression, anonymisation ou archivage avec accès restreint).
- Prévoyez des règles distinctes pour : base active, archivage intermédiaire (si nécessaire), puis suppression ou anonymisation.
- Organiser les droits des personnes (selon traitement)
- Définissez un processus unique de réception et de traitement des demandes (canal, vérification d’identité, délais, traçabilité).
- Précisez dans vos notices que certains droits peuvent être limités ou non applicables selon le traitement (par exemple l’opposition, ou l’effacement si une obligation légale de conservation s’impose), et indiquez la manière de répondre dans ces cas.
