Pour rédiger un registre des traitements RGPD pour les RH, partez de vos activités concrètes (recrutement, paie, formation, discipline, contrôle des temps) et créez pour chacune une fiche de traitement séparée. Pour chaque fiche, décrivez la finalité du traitement, les données utilisées, les personnes concernées, la base juridique, les durées de conservation, les destinataires, les mesures de sécurité, les sous‑traitants et les transferts hors UE quand il y en a.
Vous n’avez pas besoin de vocabulaire technique complexe : des formulations simples, cohérentes avec vos pratiques RH et alignées sur l’article 30 RGPD suffisent, tant que chaque rubrique est présente et tenue à jour.
Cet article complète le guide pilier sur la mise en conformité RGPD des données RH. Le registre doit reprendre les bases légales de chaque traitement et les durées de conservation.
Téléchargez la fiche pratique « Exemples de fiches RH ».
Fiche pratique
Exemples de fiches RH
Comprendre ce que doit contenir un registre RGPD dédié aux RH
Pour un employeur, le registre des traitements est une obligation issue de l’article 30 du RGPD. Un volet dédié aux RH permet de prouver que les traitements liés aux salariés sont maîtrisés, documentés et cohérents avec vos pratiques quotidiennes.
Les traitements RH qui entrent dans ce registre couvrent toutes les étapes de la relation de travail :
- recrutement et gestion des candidatures ;
- constitution et suivi du dossier du personnel ;
- gestion de la paie et des déclarations sociales ;
- gestion du temps de travail, des absences et congés ;
- contrôle des accès physiques et logiques (badges, SIRH, messagerie) ;
- vidéosurveillance des locaux et dispositifs de sécurité ;
- géolocalisation de véhicules ou matériels mis à disposition ;
- gestion de la formation et des entretiens (annuels, professionnels, retour d’absence) ;
- gestion disciplinaire et contentieux liés au travail ;
- santé au travail pour la partie qui relève de l’employeur (inaptitude, aménagement de poste, AT/MP).
Pour chaque traitement, le registre RH doit recenser au minimum :
- la finalité du traitement (par exemple : gestion de la paie) ;
- les personnes concernées (salariés, candidats, stagiaires, intérimaires) ;
- les catégories de données (identité, données de carrière, données de connexion) ;
- la base juridique (contrat de travail, obligation légale, intérêt légitime, consentement quand c’est adapté) ;
- les destinataires internes et externes (services internes, organismes sociaux, prestataires) ;
- les sous-traitants qui agissent pour votre compte (éditeur de paie, hébergeur SIRH) ;
- les transferts hors UE, s’il en existe ;
- la durée de conservation pour chaque grande catégorie de données ;
- les mesures de sécurité principales (contrôle d’accès, traçabilité, cloisonnement) ;
- les dates de création et de mise à jour de la fiche pour suivre son évolution.
Un registre RH doit recenser pour chaque traitement la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité, afin de démontrer la conformité du traitement au sens de l’article 30 RGPD et de la loi Informatique et Libertés.
Ce registre ne se réduit pas à une liste de logiciels ni à un copier-coller de la politique de confidentialité. Le même logiciel de paie peut servir à plusieurs traitements, et la politique d’information aux salariés ne détaille pas toujours les durées, les mesures de sécurité ou les prestataires impliqués traitement par traitement.
Quand un registre global existe déjà, le plus simple consiste à y intégrer un onglet ou une section RH avec une fiche par traitement RH, en respectant la même structure que pour les autres activités. Vous gardez ainsi une vue d’ensemble tout en disposant d’un outil opérationnel pour répondre aux demandes des salariés, préparer un contrôle externe et encadrer vos contrats avec les sous-traitants RH.
Préparer le registre RH et découper les traitements en fiches distinctes
Vous gagnez du temps si vous fixez dès le départ un support simple et une liste de fiches cohérente, avant de remplir chaque champ.
-
Choisir le support du registre
Un tableur suffit souvent. Prévoyez une colonne par rubrique utile : intitulé du traitement, responsable, finalité, personnes concernées, catégories de données, base juridique, destinataires, sous-traitants, transferts hors UE, durées en base active, archivage intermédiaire, mesures de sécurité, date de création et de dernière revue. Un outil dédié ou un modèle interne convient aussi si vous retrouvez ces rubriques et pouvez filtrer par traitement RH.
-
Recenser les activités RH qui traitent des données
Parcourez les processus RH : recrutement, entrée, vie du contrat, sortie. Rassemblez les formulaires papiers et en ligne, les modèles de courriers, les exports réguliers. Listez les logiciels et portails utilisés (SIRH, paie, temps, formation, tickets IT) et les prestataires qui reçoivent des données (paie externalisée, médecine du travail, organisme de formation, éditeur de badgeuse).
-
Décider quand créer une fiche distincte
Créez une fiche par bloc homogène. Séparez dès que la finalité change (paie / formation), que la base juridique n’est pas la même (contrat de travail / obligation légale / intérêt légitime), que la population diffère (candidats / salariés / intérimaires) ou qu’un dispositif sert au contrôle des salariés (badgeuse, vidéosurveillance, géolocalisation, journal des connexions).
-
Établir une liste de fiches « socle » RH
Pour une structure classique, prévoyez au minimum :
- gestion des candidatures ;
- dossier du personnel ;
- paie et déclarations sociales ;
- temps de travail, absences, congés ;
- gestion de la formation ;
- entretiens et évaluation professionnelle ;
- élections professionnelles ;
- gestion disciplinaire et contentieux ;
- contrôle des accès logiques et physiques ;
- vidéosurveillance ;
- géolocalisation des véhicules ou matériels, si vous en disposez.
-
Exemple dans une PME de 80 salariés
Supposez une PME avec un SIRH, un logiciel de temps, un outil de formation et un prestataire de paie. Vous pouvez retenir : une fiche « candidatures », une fiche « dossier du personnel », une fiche « paie externalisée », une fiche « temps de travail », une fiche « formation », une fiche « entretiens », une fiche « contrôle des accès informatiques ». Si des badges ou caméras existent, ajoutez une fiche par dispositif.
-
Impliquer les bonnes personnes sans perdre la main
Désignez un responsable du registre RH qui tranche sur le découpage. Sollicitez le gestionnaire de paie pour lister les flux et destinataires, l’informatique pour les journaux de connexion et les mesures de sécurité, quelques managers pour valider les pratiques réelles de temps de travail ou d’évaluation. Conservez la consolidation et l’arbitrage dans l’équipe RH ou juridique pour éviter des doublons et garder une vue d’ensemble.
Remplir chaque fiche du registre RH rubrique par rubrique
Pour chaque traitement, reprenez les mêmes rubriques et appliquez des règles simples de rédaction. Le tableau ci-dessous vous guide, avec des exemples adaptés aux RH.
| Rubrique | Objectif | Questions à se poser | Erreurs fréquentes | Exemples RH |
|---|---|---|---|---|
| Intitulé | Identifier vite le traitement | En lisant le titre, savez-vous de quoi il s’agit sans contexte ? | - Titre trop vague : « RH », « données salariés » - Mélange de plusieurs finalités | - « Gestion des candidatures » - « Gestion administrative du dossier du personnel » - « Suivi du temps de travail » - « Gestion disciplinaire » |
| Finalité | Dire pourquoi vous traitez les données | Quelle décision ou action RH repose sur ces données ? | - Recopier une tâche floue : « gestion RH » - Empiler des finalités sans lien | - Paie : « Établir les bulletins de paie et déclarations sociales » - Recrutement : « Examiner les candidatures et sélectionner un candidat » - Entretiens : « Préparer, conduire et tracer les entretiens annuels » - Disciplinaire : « Instruire les procédures disciplinaires et conserver les décisions » |
| Personnes concernées | Cadrer la population visée | Qui est touché par ce traitement, même ponctuellement ? | - Écrire « salariés » sans distinguer candidats, intérimaires - Oublier représentants du personnel ou visiteurs | - « Candidats à un emploi » - « Salariés, stagiaires, alternants » - « Intérimaires mis à disposition » - « Représentants du personnel » |
| Catégories de données | Donner une vue d’ensemble sans détail champ par champ | Quelles grandes familles de données utilisez-vous ? | - Lister chaque case d’un formulaire - Oublier les données sensibles ou pénales | - Données d’identification (nom, coordonnées) - Données professionnelles (poste, carrière, évaluations) - Données financières (salaire, RIB) - Données sensibles (santé, handicap) ou pénales si présent |
| Base juridique | Justifier le traitement en droit | Ce traitement découle-t-il du contrat, de la loi, d’un intérêt légitime, du consentement ? | - Cocher plusieurs bases sans cohérence - Utiliser le consentement pour des traitements liés au contrat de travail | - Contrat : dossier du personnel, paie - Obligation légale : déclarations sociales, élections professionnelles - Intérêt légitime : gestion des carrières, statistiques RH internes - Consentement : certains questionnaires anonymes, photos pour communication interne |
| Destinataires | Tracer qui reçoit les données | Quels services internes, organismes ou partenaires consultent ou reçoivent ces données ? | - Écrire « tout le personnel RH » sans filtre - Oublier organismes sociaux ou partenaires sociaux | - Services internes : RH, paie, direction, managers habilités - Externes : organismes sociaux, administration fiscale, représentants du personnel |
| Sous-traitants | Identifier les prestataires agissant pour votre compte | Qui héberge, édite ou traite les données selon vos instructions ? | - Confondre sous-traitant et destinataire autonome - Oublier l’hébergeur du logiciel RH ou de paie | - Éditeur du SIRH ou de la paie externalisée - Cabinet de recrutement mandaté - Hébergeur de la plateforme d’entretiens |
| Transferts hors UE | Signaler les flux vers des pays tiers | Le prestataire ou sa base est-il situé hors UE ou utilise-t-il un support américain ? | - Répondre « non » sans vérifier la localisation des serveurs | - « Oui : États-Unis, encadrement par clauses contractuelles types » - « Non : données hébergées dans l’UE » |
| Mesures de sécurité | Montrer les protections mises en place | Comment limitez-vous l’accès, protégez-vous les supports, tracez-vous les actions ? | - Se contenter de « données sécurisées » - Détailler une configuration technique illisible | - « Accès par identifiant/mot de passe, droits par rôle, journalisation des accès sensibles, sauvegardes régulières, archivage séparé » |
| Dates de création et de dernière revue | Suivre l’actualisation du registre | Quand la fiche a-t-elle été créée et revue pour la dernière fois ? | - Laisser vide - Mettre une date sans personne responsable | - « Créée le 15/03/2024 – revue le 01/02/2025 par le service RH » |
Pour chaque sous-traitant mentionné, vérifiez l’existence d’un contrat qui précise au minimum l’objet, la durée, les finalités, les types de données et les mesures de sécurité, pour respecter l’article 28 du RGPD rappelé par la loi Informatique et Libertés.
Vous pouvez ensuite vous servir d’une fiche type déjà rédigée, par exemple pour la « Gestion des candidatures » ou le « Dossier du personnel », et la dupliquer en adaptant l’intitulé, la finalité, la base juridique, les durées et les destinataires à chaque traitement RH recensé.
