RGPD et ressources humaines : les obligations RH

Le service des ressources humaines est l'un des plus exposés au RGPD, souvent sans le savoir. Recrutement, contrats, paie, évaluations, gestion des absences : les RH manipulent en permanence des données personnelles, parfois sensibles. Ces traitements sont utiles et légitimes, mais ils obéissent à des règles précises que beaucoup d'organisations appliquent de façon incomplète.

Cet article fait le point sur les obligations RGPD qui concernent les ressources humaines : quelles données vous pouvez traiter, sur quelle base, combien de temps les conserver et comment sécuriser l'ensemble. L'objectif est de vous donner les points de vigilance prioritaires, sans transformer votre service RH en service juridique.

Définition : les données RH regroupent toutes les données personnelles traitées dans le cadre de la relation de travail, du candidat au salarié : identité, CV, contrat, rémunération, évaluations, données de connexion, arrêts de travail. Certaines relèvent des données sensibles et exigent une vigilance renforcée.

Points clés

• Les RH traitent des données personnelles à chaque étape, du recrutement au départ du salarié.
• Chaque traitement doit reposer sur une base légale claire et une finalité définie.
• Les durées de conservation des données RH sont encadrées et souvent dépassées dans les faits.
• Les données sensibles (santé, arrêts) exigent une protection et un accès renforcés.
• L'information des candidats et des salariés est une obligation trop souvent oubliée.

Le recrutement, premier terrain de vigilance

Le recrutement génère beaucoup de données pour un résultat incertain : la plupart des candidatures n'aboutissent pas. Or ces données ne peuvent pas être conservées indéfiniment. Une candidature non retenue se conserve un temps limité, au maximum deux ans après le dernier contact selon la recommandation de la CNIL, sauf accord du candidat pour rester plus longtemps dans un vivier. Garder des CV pendant des années, sans base ni information, est une non-conformité fréquente.

Le recrutement impose aussi de ne collecter que le nécessaire. Les questions sans lien direct avec le poste, sur la situation familiale ou la santé par exemple, n'ont pas leur place dans un formulaire de candidature. Et le candidat doit être informé de l'usage de ses données. Pour cadrer ces bases, notre article RGPD, c'est quoi rappelle les principes, et la logique de recensement est la même que pour le registre des traitements.

Bon à savoir : les outils de recrutement automatisés et le tri de CV par intelligence artificielle ajoutent une couche d'obligations. Dès qu'un algorithme intervient dans une décision RH, la transparence et le contrôle humain deviennent des enjeux, à l'intersection du RGPD et de la conformité à l'AI Act.

Salariés en poste : durées et accès

Une fois le salarié embauché, les traitements se multiplient : contrat, paie, congés, évaluations, notes de frais, badgeuse, messagerie. Chacun a sa finalité et sa durée de conservation. Le principe est simple à énoncer mais exigeant à tenir : on ne conserve une donnée que le temps nécessaire à sa finalité, puis on l'archive ou on la supprime selon les règles applicables.

L'accès aux données RH doit également être limité. Tout le monde n'a pas à consulter les bulletins de paie ou les évaluations. Restreindre les accès au strict nécessaire, tracer qui consulte quoi et sécuriser les outils fait partie des mesures attendues, dans l'esprit de nos mesures de sécurité minimales. C'est aussi ce qui protège l'entreprise en cas de violation de données.

Conseil : faites l'inventaire de vos durées de conservation RH, poste par poste. C'est l'un des chantiers les plus rentables : rapide à cadrer, il élimine un risque courant et allège vos bases. Pour un état des lieux complet, décrivez-nous votre organisation RH.

Données sensibles et cas particuliers

Certaines données RH relèvent de la catégorie des données sensibles, qui bénéficient d'une protection renforcée par le RGPD. C'est le cas des données de santé, très présentes dans la gestion des arrêts de travail, de la médecine du travail ou des aménagements de poste. Leur traitement doit être strictement encadré, avec des accès très limités, comme le détaille notre article sur les données sensibles.

D'autres situations appellent une vigilance particulière : la vidéosurveillance des locaux, la géolocalisation des véhicules, le contrôle de la messagerie ou la mise en place d'outils de suivi. Chacune suppose une finalité légitime, une information claire des salariés et souvent une consultation des représentants du personnel. Une mise en conformité RGPD structurée permet de traiter ces cas sans improviser.

FAQ

Combien de temps conserver un CV de candidat non retenu ?

Deux ans maximum après le dernier contact, selon la recommandation de la CNIL, sauf si le candidat consent à être conservé plus longtemps dans un vivier. Conserver des candidatures pendant des années, sans base ni information, constitue une non-conformité fréquente.

Quelles données RH sont considérées comme sensibles ?

Principalement les données de santé, très présentes dans la gestion des arrêts de travail et de la médecine du travail. Elles bénéficient d'une protection renforcée : accès strictement limités, sécurité accrue et finalité clairement encadrée.

Peut-on surveiller les salariés au titre de la sécurité ?

Seulement dans un cadre précis : une finalité légitime, une information claire des salariés, une proportionnalité respectée et, souvent, une consultation des représentants du personnel. Une surveillance disproportionnée ou dissimulée est illégale.

Les salariés doivent-ils être informés des traitements RH ?

Oui. L'information des personnes est une obligation du RGPD, y compris en interne. Les salariés doivent savoir quelles données sont traitées, pour quelles finalités et combien de temps elles sont conservées. Cette information est souvent oubliée.

Le RGPD s'applique-t-il aussi aux outils RH externalisés ?

Oui. Un logiciel de paie, un SIRH ou un outil de recrutement en ligne sont des sous-traitants au sens du RGPD. Ils doivent être encadrés par un contrat conforme et présenter des garanties de sécurité suffisantes.

Faut-il un DPO pour gérer la conformité RH ?

Pas nécessairement, mais un référent identifié est indispensable. Dans les organisations où les traitements RH sont nombreux ou sensibles, un DPO, interne ou externe, sécurise durablement la démarche et sert de point de contact.

Conclusion

Les ressources humaines concentrent des traitements nombreux, parfois sensibles, et donc un risque RGPD réel. La bonne nouvelle est que les chantiers prioritaires sont identifiables et accessibles : cadrer les durées de conservation, limiter les accès, informer candidats et salariés, encadrer les outils. Une démarche structurée suffit à sécuriser l'essentiel.

Pour identifier vos points de vigilance RH prioritaires, décrivez-nous votre organisation. Pour aller plus loin, découvrez notre offre de mise en conformité RGPD ou parcourez le blog.

Pour approfondir, consultez la page de la CNIL sur le travail et les données et le texte du RGPD sur EUR-Lex.

L'équipe mydari

Tous les articles