La gestion des ressources humaines concentre une grande partie des risques RGPD d’une organisation : recrutement, paie, évaluation, contrôle de l’activité, contentieux. Chaque étape du parcours salarié génère des données personnelles, parfois sensibles, dans un contexte marqué par un déséquilibre structurel entre employeur et salarié.
Ce guide fait le point sur les obligations, les droits des salariés et les bonnes pratiques à connaître, à la lumière du nouveau référentiel CNIL sur les durées de conservation RH.
Pourquoi la fonction RH concentre les risques RGPD
Le service RH traite un volume important de données personnelles tout au long du parcours salarié : candidature, contrat, bulletins de paie, évaluations, données de santé au travail, éventuellement données de surveillance de l’activité. Cette concentration s’accompagne d’un contexte juridique particulier : le RGPD et les lignes directrices européennes rappellent que, dans une relation employeur-salarié marquée par un déséquilibre de pouvoir, le consentement du salarié est rarement considéré comme libre — ce qui oblige à s’appuyer sur d’autres bases légales pour la quasi-totalité des traitements RH.
Les bases légales des traitements RH
Trois bases légales couvrent l’essentiel des traitements RH :
- L’exécution du contrat de travail : paie, gestion administrative, entretiens annuels — tout ce qui découle directement des obligations contractuelles.
- L’obligation légale : registre unique du personnel, déclarations sociales, dossier médical en santé au travail.
- L’intérêt légitime : sécurisation des locaux, prévention de la fraude, certains outils de suivi — à condition de procéder à une mise en balance rigoureuse entre l’objectif poursuivi et l’atteinte à la vie privée du salarié.
Le consentement reste possible dans de rares cas (participation volontaire à une étude interne, par exemple), mais ne doit jamais être utilisé comme base par défaut pour un traitement RH structurant.
Durées de conservation : ce que change le référentiel CNIL d’avril 2026
Le 2 avril 2026, la CNIL a publié un référentiel dédié aux durées de conservation des données RH, en complément de son référentiel RH existant. Ce document couvre dix activités de traitement : recrutement, gestion administrative du personnel, gestion des rémunérations, sécurisation des biens et des personnes, gestion des véhicules professionnels, écoute et enregistrement des conversations téléphoniques, gestion des relations collectives de travail, gestion des accidents du travail, gestion du contentieux et précontentieux, et gestion des alertes professionnelles.
Quelques repères utiles pour les équipes RH :
- Candidatures non retenues : 2 ans maximum après le dernier contact avec le candidat, sauf accord explicite pour intégrer un vivier.
- Dossier professionnel du salarié : conservation en principe pendant toute la durée de la relation de travail, puis archivage intermédiaire à l’issue du contrat dans la limite du délai de prescription applicable.
- Registre unique du personnel : durée du contrat, puis 5 ans en archivage intermédiaire après le départ du salarié.
Ce référentiel relève du droit souple : son respect n’est pas obligatoire en tant que tel, mais certaines durées qu’il recense découlent d’obligations légales ou réglementaires auxquelles il n’est pas possible de déroger. Chaque durée doit être vérifiée au regard du texte de référence cité, la situation pouvant varier selon le secteur.
Surveillance et contrôle de l’activité des salariés
Badgeuse, géolocalisation, vidéosurveillance, logiciels de suivi d’activité : la CNIL rappelle régulièrement que l’employeur dispose d’un pouvoir de contrôle sur ses salariés, mais que ce pouvoir reste encadré par des conditions cumulatives : une finalité légale et légitime, une mesure proportionnée à cet objectif (principe de minimisation), et une information préalable des salariés sur le dispositif mis en place.
Les sanctions récentes illustrent concrètement les limites à ne pas franchir :
- Le 19 décembre 2024, la CNIL a infligé une amende de 40 000 € à une société du secteur immobilier pour avoir déployé un logiciel de suivi d’activité mesurant des périodes d’« inactivité » et effectuant des captures d’écran, combiné à une vidéosurveillance continue de ses salariés.
- Depuis janvier 2026, la CNIL a prononcé 23 sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé de 133 750 €, portant notamment sur la vidéosurveillance excessive des salariés et le non-respect des droits d’accès et d’effacement.
Les droits des salariés en contexte RH
Le droit d’accès (article 15 du RGPD) est particulièrement sensible en contexte RH, car il est de plus en plus mobilisé dans des situations de tension. Deux points méritent une attention particulière :
- Les e-mails professionnels constituent des données à caractère personnel et sont, à ce titre, communicables au salarié qui en fait la demande, sauf atteinte aux droits d’autrui.
- Ce droit d’accès devient un véritable levier dans les conflits salariés et les transactions sociales : son exercice à des fins contentieuses n’est pas, en soi, considéré comme abusif par la jurisprudence récente.
Les équipes RH doivent donc traiter chaque demande de droit avec la même rigueur, qu’elle survienne en situation normale ou en contexte conflictuel.
Sous-traitants RH et intelligence artificielle
La fonction RH s’appuie sur de nombreux prestataires externes : SIRH, gestionnaires de paie externalisée, plateformes de recrutement, outils de transcription ou d’analyse vocale. Chacun de ces sous-traitants doit faire l’objet d’un contrat conforme à l’article 28 du RGPD, avec une attention particulière portée à l’hébergement des données et aux transferts hors UE.
L’essor des outils d’IA en RH — transcription d’entretiens, analyse de CV, aide à la décision — nécessite une base légale clairement identifiée et une minimisation stricte des données utilisées, dans un contexte où l’AIPD est obligatoire dès que le traitement présente un risque élevé pour les droits des salariés.
FAQ — RGPD et ressources humaines
Quelle est la base légale par défaut pour les traitements RH ?
L’exécution du contrat de travail couvre la majorité des traitements administratifs (paie, gestion de carrière). Le consentement du salarié n’est en revanche pas adapté à la plupart des traitements RH, en raison du déséquilibre de pouvoir entre employeur et salarié reconnu par le RGPD et les lignes directrices européennes.
Le référentiel CNIL sur les durées de conservation RH est-il obligatoire ?
Non, il relève du droit souple : son respect n’est pas une obligation en tant que telle. En revanche, certaines durées qu’il recense sont fixées par des textes législatifs ou réglementaires contraignants, auxquels l’employeur ne peut pas déroger.
Un employeur peut-il installer une vidéosurveillance dans les locaux RH ou de production ?
Oui, sous réserve de respecter trois conditions cumulatives : une finalité légale et légitime (sécurité des biens et des personnes, par exemple), une mesure proportionnée à cet objectif, et une information préalable des salariés. La CNIL sanctionne régulièrement les dispositifs disproportionnés, notamment la surveillance continue ou l’enregistrement sonore injustifié.
Combien de temps conserver le dossier d’un candidat non retenu ?
La CNIL recommande une durée maximale de 2 ans après le dernier contact avec le candidat, sauf si celui-ci a explicitement accepté d’intégrer un vivier de candidatures pour une durée définie.
Un salarié en conflit avec son employeur peut-il exercer son droit d’accès RGPD ?
Oui, et son droit est identique à celui d’un salarié sans conflit. La jurisprudence récente confirme que l’exercice du droit d’accès dans un objectif contentieux n’est pas en soi abusif, et que l’employeur doit y répondre dans les délais légaux, quel que soit le contexte.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
Le RGPD en ressources humaines repose sur trois piliers : une base légale adaptée à chaque traitement (rarement le consentement), des durées de conservation calibrées selon le référentiel CNIL d’avril 2026, et un encadrement strict de la surveillance de l’activité des salariés. Les droits des salariés, notamment le droit d’accès, doivent être traités avec la même rigueur en situation normale ou conflictuelle. Une fonction RH conforme repose sur une cartographie précise des traitements et une vigilance constante sur les sous-traitants et outils d’IA utilisés.
Sources
- Gestion des ressources humaines : la CNIL publie un référentiel de durées de conservation — CNIL, 2 avril 2026
- Travail, ressources humaines : le contrôle de l’activité des personnes employées — CNIL
- Choisir une base légale — CNIL
- Surveillance excessive des salariés :
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
