RGPD et RH : mettre en conformité son service RH et ses logiciels

Page de référence mise à jour à chaque évolution réglementaire · dernière mise à jour : 30 juillet 2026

Ce guide fait partie de notre dossier SIRH. Voir aussi le comparatif des logiciels SIRH et notre analyse des amendes record prononcées par la CNIL en 2025.

 

La gestion des données RH à l’ère du RGPD : un vrai défi pour les entreprises ? Entre sanctions record de la CNIL (jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires) et risques de fuites, le RGPD exige une vigilance accrue. Découvrez comment identifier les données sensibles, sécuriser vos processus RH et éviter le « couteau dans le dos » des non-conformités. Optimisez vos outils SIRH, respectez les durées de conservation légales et transformez cette contrainte en force avec une stratégie proactive, où bonnes pratiques CNIL et rôle du DPO renforcent votre réputation et la confiance de vos collaborateurs.

1. RGPD et RH : pourquoi une conformité sans faille n’est plus une option
2. Données RH sous surveillance : l’inventaire complet de ce que vous traitez
3. Les règles du jeu : maîtriser la durée de conservation des données RH
4. Plan d’action : les étapes concrètes pour une conformité RH à toute épreuve
5. Les outils SIRH face au RGPD : alliés ou pièges ?

RGPD et RH : pourquoi une conformité sans faille n’est plus une option

 

Le RGPD a profondément transformé la gestion des données en ressources humaines. Depuis le 25 mai 2018, toutes les entreprises de l’Union européenne doivent s’y conformer sous peine de sanctions lourdes. Cette réglementation impose une évolution structurelle, exigeant des RH qu’elles repensent leurs processus pour aligner la gestion du recrutement, des contrats de travail et des évaluations de performance avec les exigences légales. La mise en conformité n’est plus un choix, mais une exigence vitale pour éviter des dommages irréversibles.

L’impact du RGPD : un séisme pour les ressources humaines

Les services RH manipulent quotidiennement des données sensibles : noms, adresses, numéros de sécurité sociale, données de performance ou informations médicales. Le RGPD exige une approche rigoureuse, comme le principe de minimisation des données, interdisant de conserver un CV plus de 2 ans après un recrutement sans consentement explicite ou de stocker des données de santé sans justification légale. Par exemple, une fiche de paie reste accessible 5 ans, tandis qu’un dossier médical doit être archivé 10 ans. Les RH doivent aussi garantir la sécurité des données via le chiffrement ou l’accès limité à certaines équipes.

Les RH doivent justifier chaque donnée conservée, liée au contrat de travail ou à des obligations légales. Pour les employés, cela implique de sécuriser les bulletins de paie (conservation de 5 ans après le départ) ou les dossiers médicaux (jusqu’à 10 ans). Pour les candidats, cela signifie supprimer les données non retenues ou les intégrer à un vivier avec un accord explicite. L’objectif ? Protéger la vie privée et renforcer la confiance, tout en évitant les erreurs qui pourraient coûter cher.

Les risques de la non-conformité : bien plus qu’une simple amende

Les sanctions financières sont dissuasives : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Pour une PME, une erreur peut devenir une catastrophe économique. Mais les risques dépassent le financier :

• Risques réputationnels : Une mise en cause par la CNIL ou une plainte d’un candidat se propage rapidement, ternissant l’image de l’entreprise aux yeux des talents et du public. Une fuite de données médicales ou un retard dans la suppression d’un CV peut devenir un scandale médiatique.
• Disruptions opérationnelles : Un contrôle inopiné peut paralyser un service RH pendant des semaines, perturbant recrutements ou évaluations annuelles. En pleine saison de sélection, un audit imprévu peut ruiner des mois de planification.

 

La conformité n’est donc pas qu’une exigence légale, mais une nécessité stratégique. Ignorer le RGPD, c’est jouer avec le feu, au risque de compromettre la pérennité de l’entreprise et son attractivité. Les RH doivent agir dès maintenant, en intégrant des outils de gestion conforme et en formant leurs équipes à ces enjeux critiques.

 

Données RH sous surveillance : l’inventaire complet de ce que vous traitez

 

Du candidat à l’employé : un flux continu de données sensibles

Les services RH centralisent les données personnelles à toutes les étapes du parcours professionnel. Les candidats génèrent des données dès le CV, les coordonnées ou les évaluations d’entretien. Les employés alimentent un volume accru d’informations : paie, évaluations annuelles, formations, absences médicales ou compléments sociaux. Chaque donnée nécessite une sécurisation rigoureuse, sous peine de vulnérabilités en cas de non-conformité.

Le RGPD impose des durées de conservation strictes : les profils non retenus doivent être effacés en 2 ans, sauf consentement. Les outils numériques (logiciels RH, plateformes de recrutement) amplifient les risques de fuites. Un chiffrement et un contrôle d’accès strict sont indispensables pour éviter des sanctions pouvant atteindre 4 % du chiffre d’affaires mondial.

Quelles sont les données personnelles traitées par les services RH ?

Les RH traitent des catégories juridiquement variées :

• Données d’identification : noms, emails, numéros de téléphone, coordonnées bancaires. Ces informations, souvent accessibles, requièrent une protection renforcée contre les piratages.
• Données professionnelles : rémunération, avantages sociaux, historique des postes, résultats d’entretiens. Leur mauvaise gestion peut révéler des inégalités ou des pratiques douteuses.
• Données de formation : certifications, participation à des séminaires, évaluations. Leur stockage doit suivre le principe de minimisation.
• Données sensibles : informations médicales (handicap), appartenances syndicales. Leur collecte est interdite sauf exceptions légales (ex. obligations sociales).

Chaque catégorie doit figurer dans le registre des traitements, document obligatoire répertoriant les finalités, destinataires et durées de conservation. La CNIL vérifie systématiquement ce registre lors des audits. Les données de paie, par exemple, sont effacées 5 ans après la fin du contrat, celles liées à la santé 5 ans après le départ. Une gestion défaillante expose à des réclamations ou des amendes.

La distinction entre candidats et employés est cruciale. Les candidats, non liés par un contrat, bénéficient des mêmes droits (accès, effacement). Les employés génèrent des données justifiant des durées de stockage plus longues, encadrées par le Code du travail. Une vigilance accrue reste nécessaire pour éviter tout manquement.

 

Les règles du jeu : maîtriser la durée de conservation des données RH

Les grands principes : minimisation et limitation dans le temps

Le RGPD impose deux règles incontournables : la minimisation des données et leur limitation dans le temps. Ne collectez que l’indispensable pour vos processus RH. Chaque donnée personnelle, qu’il s’agisse de CV, coordonnées ou résultats d’évaluations, doit avoir une “date de péremption” clairement définie. Conserver des données superflues expose l’entreprise à des risques accrus de piratage, comme le montrent plusieurs centaines de signalements reçus par la CNIL chaque année.

En cas de non-respect, l’exposition juridique est réelle. Une entreprise sur quatre a déjà été sanctionnée pour violation RGPD en France. Les amendes atteignent facilement plusieurs millions d’euros, sans compter les dégâts réputationnels. Le groupe Leclerc écope récemment de 1,2 million d’euros pour des données conservées illégalement. La CNIL ne fait pas de cadeaux en cas de manquement avéré.

Guide pratique des durées de conservation

Pour les RH, la gestion des durées de conservation relève d’un équilibre entre obligations légales et bon sens organisationnel. Voici un aperçu des règles en vigueur :

Ces durées résultent d’une analyse juridique rigoureuse. une bonne gestion électronique des documents (GED) permet d’automatiser ces durées avec des alertes en amont et des fonctions de traçabilité.

Les données des candidats et employés suivent des règles distinctes. Les premières, liées au recrutement, doivent être effacées dans les délais impartis. Les secondes, associées à une relation contractuelle, nécessitent une gestion encadrée sur le long terme. Un candidat non retenu peut demander l’effacement de son CV à tout moment, contrairement à un ancien employé dont les données sociales restent archivées 5 ans.

La mise en œuvre opérationnelle reste un défi. Un outil de GED permet d’automatiser les suppressions programmées, de suivre les consentements et de générer des rapports de conformité. C’est un allié précieux pour les services RH modernes. En cas de contrôle, ces outils offrent une traçabilité immédiate, évitant des amendes potentielles.

 

Plan d’action : les étapes concrètes pour une conformité RH à toute épreuve

Sécuriser les données : le coffre-fort numérique des RH

Les services RH manipulent des trésors d’informations sensibles : CV, données médicales, bulletins de salaire. Une faille pourrait coûter jusqu’à 4% du chiffre d’affaires mondial ou 20 millions d’euros. Qui n’a pas entendu parler de fuites dévastatrices pour la réputation d’une entreprise ?

• Chiffrement des données : adopter le cryptage AES-256 pour les fichiers stockés et TLS 1.3 pour les données en transit
• Gestion des accès : appliquer le principe du moindre privilège avec des rôles métiers définis (exemple : un recruteur ne voit que les candidatures, pas les bulletins de salaire)
• Mots de passe robustes : imposer 12 caractères minimum, mélange de lettres/majuscules/chiffres/symboles, avec renouvellement tous les 90 jours
• Sauvegardes régulières : 3 copies stockées (1 locale, 1 distante, 1 hors ligne) avec vérification mensuelle de la restauration
• Audits de sécurité : utiliser la grille d’évaluation de la CNIL pour cartographier les risques (ex : vulnérabilités des outils RH dématérialisés)

Informer et respecter les droits des personnes

La transparence est une obligation légale incontournable. Politique de confidentialité structurée pour employés (intégrée aux contrats de travail) et candidats (visible sur l’espace recrutement). Elle doit révéler : qui collecte les données, pourquoi, comment, avec quels droits et pendant combien de temps.

Les personnes disposent de droits précis : accès (réponse sous 1 mois), rectification, effacement, portabilité, opposition. Des processus automatisés doivent faciliter leur exercice (formulaire en ligne + confirmation par email). Données sensibles (santé, origine raciale, opinions) nécessitent des protections renforcées : qui n’a pas en mémoire l’affaire du recrutement discriminatoire lié à des données de grossesse ?

Les durées de conservation varient selon les données : 5 ans pour les paies, 3 ans pour les charges sociales. Comment justifier de conserver un CV de candidat rejeté pendant 2 années ? La loi exige une suppression systématique au terme des périodes légales.

Nommer un pilote : le rôle clé du DPO

Le Délégué à la Protection des Données (DPO) est le garant de la conformité RGPD. Sa désignation est obligatoire pour les entreprises de plus de 250 salariés ou traitant des données sensibles à grande échelle. Qui pourrait ignorer les risques liés à un recrutement automatisé discriminant ? Le DPO anticipe ces périls.

Il informe sur les obligations légales, conseille sur les AIPD (Analyses d’Impact sur la Protection des Données), collabore avec la CNIL. Exemple concret : un outil d’IA pour le tri des CV nécessite son aval pour éviter les discriminations cachées dans les algorithmes.

Pour les entreprises, il est un allié pour renforcer la confiance : qui ne préférerait pas postuler dans une entreprise affichant son engagement RGPD ? Sa vigilance permet d’éviter les erreurs qui pourraient nuire à l’égalité des chances, notamment en différenciant strictement les données d’employés (gérées pendant le contrat) et des candidats (effacées après le processus).

 

Les outils SIRH face au RGPD : alliés ou pièges ?

 

Les systèmes d’information RH (SIRH) centralisent des données sensibles : CV, coordonnées bancaires, évaluations de performance. Alors que 82 % des entreprises utilisent ces outils, combien maîtrisent vraiment leurs implications RGPD ? Entre automatisation des conformités et risques cachés, l’équilibre est délicat.

Comment un bon SIRH peut devenir votre meilleur allié conformité

Un SIRH moderne centralise les données RH, réduisant les risques liés aux formats papier ou Excel. Il permet :

• Une gestion automatisée des durées de conservation : suppression des CV de candidats inactifs après 2 ans, archivage des données de paie pendant 5 ans, respectant le principe de minimisation des données du RGPD.
• Un suivi des accès : qui consulte un dossier médical ? La traçabilité des actions est cruciale pour justifier d’un contrôle en cas de vérification légale.
• Une mise à jour simplifiée du registre des traitements exigé par la CNIL : chaque modification de processus se reflète dans la documentation légale.

Des fonctionnalités comme le chiffrement des données sensibles ou l’authentification renforcée renforcent la sécurité. Selon une enquête 2024, les entreprises utilisant ces outils structurés ont réduit de 40 % leurs incidents de données.

Les points de vigilance lors du choix et de l’utilisation de vos prestataires

Le danger réside dans les sous-traitants. L’entreprise reste responsable des données traitées par un tiers, qu’il s’agisse d’un SIRH externalisé ou un logiciel de gestion des temps et activités (GTA). Trois questions critiques : Les éditeurs spécialisés du secteur — comme Chronotime Workplace sur la GTA — intègrent désormais les contrôles RGPD by design dans leur architecture, ce qui simplifie la mise en conformité.

1. L’hébergement des données : un SaaS stockant des informations hors UE expose à des vulnérabilités juridiques.
2. Les mesures de sécurité : vérifier les audits SOC 2 ou ISO 27001 du prestataire.
3. La clause DPA (Data Processing Agreement) : indispensable pour encadrer la gestion des données. Ce contrat doit préciser les responsabilités et protocoles en cas de violation.

Opter pour un partenaire sans ces garanties équivaut à jouer à la roulette russe avec vos données. En 2023, 17 % des amendes RGPD ont sanctionné des défaillances dans la supervision des sous-traitants. La vigilance reste votre première défense. La conformité RGPD est une exigence incontournable pour les RH. Sanctions financières, atteintes à la réputation et obligations de transparence soulignent un enjeu colossal. Une approche proactive (sécurisation, contrôle des durées, rôle du DPO) transforme les risques en opportunités, renforçant la confiance et la résilience. Agir aujourd’hui garantit un avenir sans faille.

 

Ce qui change en 2026 : le nouveau référentiel de la CNIL

Par la délibération n° 2026-031 du 29 janvier 2026, mise en ligne le 2 avril 2026 et publiée au
Journal officiel le lendemain, la CNIL a adopté un référentiel dédié aux durées de conservation des données
« ressources humaines ». C’est le texte de référence à connaître aujourd’hui, et il change la manière de
raisonner sur trois points.

D’abord, il sépare clairement les durées obligatoires, imposées par le code du travail ou le code
de la sécurité sociale, et les durées simplement recommandées par la CNIL. Les premières s’imposent,
les secondes se discutent et s’ajustent au risque contentieux réel de l’organisation.

Ensuite, il impose de distinguer deux états de la donnée : la base active, celle qu’utilisent au
quotidien les équipes RH, et l’archivage intermédiaire, où la donnée ne sert plus à sa finalité
initiale mais reste nécessaire pour répondre à une obligation légale ou se défendre en cas de litige. L’archivage
intermédiaire suppose un accès restreint : ce n’est pas le même dossier laissé en l’état.

Enfin — et c’est le point que beaucoup d’organisations n’ont pas vu — la CNIL a annoncé dès le 3 avril 2026 que
le recrutement figure parmi ses thématiques prioritaires de contrôle pour 2026. Les CV-thèques et les
dossiers de candidature dormants sont donc en première ligne.

Quelques repères chiffrés issus du référentiel

• Candidat non retenu : cinq ans à compter de la date à laquelle le poste a été pourvu, à des fins
  probatoires en cas de contentieux pour discrimination.
• CV-thèque : deux ans au maximum après le dernier contact avec le candidat.
• Bulletin de paie : cinq ans côté employeur, en application de l’article L. 3243-4 du code du
  travail. Le bulletin électronique répond à une exigence de disponibilité bien plus longue.
• Accident du travail : cinq ans à compter de la déclaration.
• Images de vidéosurveillance : un mois au maximum en base active.

Une réserve de méthode, relevée par les praticiens : certaines durées recommandées sont plus courtes que les délais
de prescription applicables. Le suivi du temps de travail en est l’exemple type, avec une recommandation d’un an
là où la prescription salariale est de trois ans. Une durée recommandée n’est pas un plafond juridique :
si votre risque contentieux le justifie, une durée plus longue se défend, à condition de la documenter.

Choisir un logiciel RH conforme au RGPD

C’est la question qui revient le plus souvent, et elle est mal posée. Un logiciel n’est jamais « conforme
RGPD » en soi : c’est votre traitement qui l’est ou ne l’est pas. L’outil, lui, vous rend la conformité
possible ou impossible. La bonne question est donc : qu’est-ce que cet outil me permet de faire ?

Les points à exiger par écrit de votre éditeur

• Un contrat de sous-traitance conforme à l’article 28 du RGPD. L’éditeur qui héberge vos données
  RH est votre sous-traitant : ce contrat n’est pas optionnel.
• La localisation des données et la liste des sous-traitants ultérieurs. Un hébergement hors Union
  européenne n’est pas interdit, mais il impose un encadrement spécifique que vous devez pouvoir justifier.
• Des durées de conservation paramétrables par finalité, et surtout une purge automatique à
  l’échéance. Un outil qui conserve tout indéfiniment vous met en faute, quelle que soit votre politique écrite.
• Une gestion fine des habilitations. Un gestionnaire de paie n’a pas à voir les évaluations, un
  manager n’a pas à voir les arrêts maladie.
• Une journalisation des accès exploitable. C’est ce qui vous permettra de démontrer votre
  conformité, et de détecter une consultation anormale.
• L’export et l’effacement à la demande, pour répondre aux droits des salariés dans le délai d’un
  mois sans intervention manuelle acrobatique.

Ces critères sont à intégrer dès l’appel d’offres, pas après la signature. Ils recoupent d’ailleurs largement les
critères de qualité d’un bon outil : voir notre comparatif des
logiciels SIRH et notre comparatif des logiciels de gestion
des temps, où les données de pointage posent des questions de conservation particulièrement sensibles.

Dématérialisation RH et GED : ce que le RGPD impose

La dématérialisation des dossiers du personnel est souvent présentée comme un projet d’efficacité. C’est aussi,
et d’abord, un projet de conformité — parce qu’elle transforme un risque diffus en risque documenté.

Le passage au numérique ne crée pas d’obligation nouvelle, mais il rend les manquements visibles et
mesurables. Un carton d’archives oublié dans un local fermé est une non-conformité invisible. La même
information dans une GED mal paramétrée devient une non-conformité traçable, avec des dates, des accès et des
journaux. C’est une bonne nouvelle si le paramétrage est bon, un piège s’il ne l’est pas.

Les quatre points de vigilance d’un projet de GED RH

• Le plan de classement doit refléter les finalités, pas l’organigramme. Une GED structurée par
  service reproduit des accès trop larges ; structurée par finalité, elle porte naturellement les bonnes habilitations.
• La durée de conservation doit être portée par le document lui-même, avec une purge automatique.
  C’est la seule manière de tenir la distinction base active / archivage intermédiaire du référentiel CNIL.
• La reprise de l’existant est le moment de vérité. Numériser vingt ans d’archives sans trier,
  c’est importer vingt ans de non-conformité dans un système qui, lui, garde trace de tout.
• Le coffre-fort numérique du salarié obéit à ses propres règles, distinctes de celles de la GED
  de l’employeur : les deux ne se substituent pas l’un à l’autre.

Le réflexe utile : avant de dématérialiser, faire le tri. Une GED est un amplificateur — de rigueur comme de
négligence.

FAQ

 

Quels sont les principes fondamentaux du RGPD pour les ressources humaines ?

Le RGPD repose sur un socle de principes incontournables pour toute gestion de données RH. Le principe de licéité, de loyauté et de transparence exige que chaque collecte d’informations personnelles soit justifiée par une base légale précise et expliquée aux intéressés. Le principe de minimisation impose de n’archiver que les données strictement nécessaires au fonctionnement des services RH, évitant l’accumulation d’informations superflues. La limitation dans le temps constitue un pilier critique : les données ne peuvent être conservées indéfiniment, chaque type d’information doit avoir une « date de péremption » fixée par la réglementation ou une analyse interne. À la suite de contrôles rigoureux, la CNIL a mis à l’index plusieurs entreprises pour avoir négligé ces fondamentaux.

Quels sont les sept piliers du RGPD qui structurent la conformité RH ?

L’architecture du RGPD s’appuie sur sept piliers qui encadrent rigoureusement la gestion des données RH. Le respect de la licéité, de la loyauté et de la transparence constitue la fondation même du cadre légal. La limitation des finalités interdit l’utilisation détournée des informations collectées. La minimisation des données, particulièrement sensible en matière de recrutement, limite la collecte aux éléments strictement nécessaires. L’exactitude des données exige une mise à jour rigoureuse, notamment pour les dossiers médicaux ou les coordonnées bancaires. La limitation de la conservation impose des durées précises, comme les cinq ans requis pour les bulletins de paie après le départ d’un collaborateur. L’intégrité et la confidentialité renvoient à des mesures techniques comme le chiffrement des serveurs RH. Enfin, la responsabilité du responsable du traitement contraint les entreprises à préparer des preuves concrètes de leur conformité.

Quelles règles doivent absolument respecter les services RH en matière de données personnelles ?

Les règles du RGPD imposent un changement de paradigme complet pour les ressources humaines. La collecte ne peut être effectuée que pour des finalités explicites, légitimes et déterminées à l’avance, interdisant les détournements ultérieurs. La conservation suit des durées précises : un CV non retenu peut être conservé deux ans maximum, sauf accord contraire. La sécurité des données s’impose comme une obligation de résultat, avec des mesures techniques renforcées pour les informations sensibles comme les données de santé. L’accès aux informations suit le principe du moindre privilège, limitant les accès aux seuls collaborateurs nécessaires. La traçabilité exige l’enregistrement des actions effectuées sur les données. La CNIL a récemment rappelé à l’ordre plusieurs entreprises pour des manquements à ces règles, soulignant que l’ignorance n’est plus une excuse acceptable.

Quelles catégories de données RH exigent une vigilance particulière en matière de confidentialité ?

Les données RH manipulent un éventail de renseignements nécessitant une sécurisation renforcée. Les informations d’identification comme les noms, adresses, numéros de sécurité sociale ou de passeport constituent des cibles privilégiées pour les cybercriminels. Les données de carrière regroupent les évaluations de performance, historiques professionnels, détails des augmentations ou promotions. Les éléments de rémunération, notamment les bulletins de paie et coordonnées bancaires (RIB), exigent une protection maximale. Les données de santé, incluant les arrêts maladie et la reconnaissance de handicap, tombent sous le coup des dispositions renforcées du RGPD. Enfin, les données sensibles, telles que l’origine ethnique ou les appartenances syndicales, ne peuvent être traitées que dans des conditions extrêmement strictes. La moindre fuite peut provoquer un « plantage de couteau dans le dos » pour la réputation d’une entreprise.

Quelles sont les sept règles d’or pour une conformité RH au RGPD ?

Sept règles d’or guident les entreprises vers une conformité sans faille. La cartographie des données impose d’identifier précisément toutes les informations traitées, de la candidature au départ. L’analyse des bases légales contraint chaque traitement à reposer sur un fondement juridique solide. La transparence exige une information claire des collaborateurs sur le devenir de leurs données. La sécurisation des systèmes impose des mesures techniques robustes, du chiffrement à l’authentification à deux facteurs. La limitation des durées de conservation oblige à programmer les suppressions automatiques. La gestion des droits des personnes doit permettre l’exercice aisé des droits d’accès, de rectification ou d’effacement. Enfin, la mise sous contrôle des sous-traitants impose des clauses contractuelles spécifiques avec tout prestataire manipulant des données RH. Ces règles, régulièrement rappelées par la CNIL, forment un socle incontournable.

Six ou sept principes ? Ce que dit exactement le RGPD

La confusion est fréquente parce que les sources ne comptent pas la même chose. L’article 5 du RGPD énonce six principes : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité. Ce même article ajoute que le responsable du traitement doit être en mesure de démontrer qu’il les respecte — c’est le principe de responsabilité, souvent présenté comme un septième pilier. On peut donc légitimement parler de six principes ou de sept en incluant la responsabilité, mais pas de cinq. En pratique RH, c’est justement la responsabilité qui pèse le plus lourd lors d’un contrôle : il ne suffit pas d’être conforme, il faut pouvoir le prouver, documents à l’appui.

Quels sont les droits fondamentaux des salariés concernant leurs données personnelles ?

Le RGPD accorde aux personnes des droits puissants sur leurs informations RH. Le droit d’accès permet à tout collaborateur d’obtenir copie de ses données, de sa fiche de poste à ses évaluations. Le droit de rectification Le droit de rectification corrige immédiatement toute erreur sur les données sensibles comme les coordonnées bancaires. comme les coordonnées bancaires. Le droit à l’effacement, bien que limité dans le cadre RH, peut s’appliquer aux données périmées. Le droit à la limitation du traitement suspend temporairement l’utilisation de données contestées. Le droit à la portabilité permet d’emporter ses informations professionnelles dans un nouveau poste. Enfin, le droit d’opposition permet de s’opposer à certains traitements, comme la conservation de son CV dans une base de données recrutement. Les entreprises doivent traiter ces demandes dans des délais stricts sous peine de sanctions.

Quels sont les grands principes de la protection des données applicables aux ressources humaines ?

Les grands principes de la protection des données structurent l’ensemble du cadre juridique applicable aux RH. La licéité des traitements s’appuie sur six bases légales, comme l’exécution d’un contrat de travail ou l’obligation légale. La loyauté interdit les traitements détournés, comme l’utilisation des données RH à des fins commerciales. La transparence exige une information complète des collaborateurs sur le devenir de leurs données. La limitation des finalités interdit d’utiliser des informations collectées pour un objectif pour un autre. La minimisation des données restreint la collecte à l’essentiel, évitant les questionnaires intrusifs. L’exactitude des informations impose une mise à jour régulière des dossiers personnels. La limitation dans le temps encadre rigoureusement les durées de conservation. L’intégrité et la confidentialité renvoient à des mesures techniques et organisationnelles strictes. Ce dernier principe, souvent négligé, a conduit à des sanctions lourdes récentes.

Comment savoir si mon logiciel RH est conforme au RGPD ?

Aucun éditeur ne peut vous vendre une « conformité RGPD » clé en main : la conformité porte sur votre traitement, pas sur l’outil seul. Ce que vous pouvez exiger d’un éditeur, en revanche, est précis : un contrat de sous-traitance conforme à l’article 28 du RGPD, la localisation des hébergements et la liste des sous-traitants ultérieurs, des durées de conservation paramétrables par finalité, une purge automatique en fin de durée, une gestion fine des habilitations, une journalisation des accès, et la capacité d’extraire ou d’effacer les données d’une personne sur demande. Un éditeur qui ne sait pas répondre à ces sept points par écrit vous expose.

Aller plus loin

• SIRH : définition et fonctions
• Comparatif des logiciels SIRH
• Comparatif des logiciels de gestion des temps — pointage et conservation des données
• Amendes CNIL 2025 — ce que sanctionne réellement le régulateur