Un guide pratique sur le traitement conforme à la législation, les dossiers sensibles des salariés, les demandes de données, la conservation des données et le choix des prestataires de services RH.
Les dossiers des salariés doivent obéir à des règles claires : quelles données collecter, qui peut y accéder et quand elles doivent être supprimées. Commencez par définir la finalité de chaque dossier, plutôt que de dresser une liste d’informations qui pourraient s’avérer utiles un jour.
Informations vérifiées le 21 septembre 2026. Les réglementations nationales en matière d'emploi et les circonstances du traitement des données ont également leur importance.
Les coordonnées, les informations relatives à la paie, les horaires de travail et les dossiers de performance ont des finalités différentes. Indiquez la finalité, les personnes qui doivent y avoir accès et la règle de conservation applicable pour chaque catégorie. Un système RH doit vous aider à maintenir clairement ces distinctions.
Le RGPD impose le principe de minimisation des données. Le fait d’être employeur ne constitue pas une autorisation générale de collecter les informations privées d’un salarié. Les données relatives aux condamnations pénales et aux infractions sont régies par l’article 10, distinctement des catégories particulières visées à l’article 9. RGPD, articles 5, 9 et 10
Les informations relatives à la santé, l’appartenance syndicale et les données biométriques utilisées à des fins d’identification unique nécessitent une attention particulière. Pour le traitement des catégories particulières de données, il convient d’identifier à la fois une base juridique au titre de l’article 6 et une condition applicable au titre de l’article 9. La nécessité au regard du droit du travail, au sens de l’article 9, paragraphe 2, point b), dépend d’une autorisation prévue par le droit de l’Union ou le droit national, ou d’une convention collective éligible, assortie de garanties. EDPB : traitement licite et données sensibles
La nécessité contractuelle, l’obligation légale et les intérêts légitimes sont des notions courantes en matière d’emploi, mais la base juridique appropriée dépend de l’activité exercée. La présence d’une clause dans un contrat ne rend pas nécessairement justifiée toute utilisation des données qui y est liée. Les intérêts légitimes nécessitent une évaluation de la nécessité et une mise en balance des intérêts ; des règles nationales supplémentaires peuvent s’appliquer à la surveillance.
Le consentement est souvent inapproprié lorsque la relation de travail empêche un libre choix. Lorsqu’il est utilisé, le refus et le retrait doivent être possibles sans préjudice. Documentez la base juridique avant le début du traitement. CEPD : bases juridiques
Pour les informations recueillies directement auprès du salarié, l’article 13 exige normalement que la note d’information soit fournie au moment de la collecte des données. Les données obtenues par d’autres moyens relèvent de l’article 14, qui prévoit ses propres délais et exceptions. Abordez les finalités, les bases juridiques, les destinataires, la durée de conservation, les transferts le cas échéant, ainsi que les droits applicables. La prise de connaissance d’une note d’information ne vaut pas consentement à toutes les activités qu’elle décrit. RGPD, articles 13 et 14
Veillez à ce que la note d’information soit facile à trouver après l’intégration. Si le salarié pose des questions sur une utilisation particulière de ses données, quelqu’un doit être en mesure de lui expliquer le processus concret qui se cache derrière la formulation.
Les salariés peuvent demander l’accès à leurs données et leur rectification, et peuvent disposer de droits à l’effacement, à la limitation, à la portabilité ou à l’opposition selon les circonstances. L’effacement n’est pas inconditionnel : des obligations légales de conservation et des actions en justice peuvent justifier la conservation de certains dossiers. La limitation ne constitue pas non plus une interdiction absolue de toute utilisation des informations conservées.
La portabilité concerne les données fournies par la personne concernée, traitées par des moyens automatisés sur la base d’un consentement ou d’un contrat. Elle ne couvre pas l’ensemble des dossiers RH. Les demandes doivent normalement recevoir une réponse dans un délai d’un mois ; toute prolongation autorisée doit être justifiée au cours de ce premier mois. Les rectifications, effacements et limitations peuvent devoir être communiqués aux destinataires, sous réserve des exceptions prévues à l’article 19. EDPB : droits des personnes concernées
Voici un processus interne utile :
Il n’existe pas de tableau de conservation unique au niveau de l’UE pour l’ensemble des données relatives aux salariés. Les justificatifs de paie, les dossiers de candidature et les dossiers de médecine du travail peuvent être soumis à des exigences différentes. Consignez la raison de chaque délai, la date de début de ce délai, toute phase d’archivage restreinte et ce qui se passe à l’expiration du délai.
La CNIL française publie des recommandations en matière de conservation des données RH, mais les délais spécifiques à la France ne doivent pas être présentés comme des règles applicables à l’ensemble de l’Union européenne. Les obligations de conservation légales et réglementaires peuvent varier lorsque la suppression est appropriée. CNIL : délais de conservation
Un paramètre par défaut d’un logiciel doit être évalué ; il ne constitue pas une preuve que la période choisie est conforme à la loi. Intégrez les exportations, les services connectés et la gestion des sauvegardes dans votre processus.
Un registre des activités de traitement décrit des opérations telles que la paie ou le recrutement. Il ne s’agit pas d’une ligne distincte pour chaque nouveau salarié. Ne partez pas du principe que le fait d’avoir moins de 250 salariés vous dispense de cette obligation : l’exemption est limitée et le traitement RH continu n’est pas occasionnel. CEPD : registres et responsabilité
Lorsqu’un sous-traitant traite des données pour votre compte, un contrat de sous-traitance au titre de l’article 28 est requis. D’autres destinataires peuvent agir en tant que responsables du traitement indépendants ou conjoints et nécessitent une évaluation distincte ; toute divulgation ne constitue pas nécessairement une relation de sous-traitance. RGPD, articles 26 et 28
Pour les transferts en dehors de l’EEE, veuillez vérifier la décision d’adéquation ou les garanties applicables, ainsi que le contrat de service. Le fait que la société soit constituée dans l’UE et que ses serveurs y soient situés ne suffit pas à définir l’ensemble du flux de données. CEPD : transferts internationaux
PersoHR propose des exportations de données, des workflows d’effacement et des registres d’audit pour faciliter ces processus. Votre organisation doit toutefois déterminer quelles règles s’appliquent, configurer le service en conséquence et examiner les demandes avant d’y donner suite.
Essayez PersoHR gratuitement pendant 30 jours. Sans carte bancaire.
Démarrer votre essai gratuit de 30 jours