| Bref |
|---|
| Le RGPD impose une collecte limitée des données RH: seules les informations nécessaires à la gestion du personnel doivent être rassemblées. Les données sensibles doivent faire l’objet d’une attention particulière. |
| Les durées de conservation varient selon les types de données: en général, les dossiers du personnel sont conservés 5 ans après le départ du salarié. Certaines données comme les bulletins de paie ou les documents comptables ont des délais spécifiques. |
| La sécurité des données RH est nécessairele: il faut mettre en place des mesures techniques et organisationnelles, comme le chiffrement et des accès restreints. Former les collaborateurs à la sécurité est aussi indispensable. |
| Les salariés ont des droits sur leurs données: ils peuvent accéder à leurs informations, demander leur rectification ou suppression. L’entreprise doit répondre à ces demandes dans un délai d’un mois. |
| Une politique claire de gestion des données RH doit être documentée: la tenue d’un registre des traitements est obligatoire, tout comme l’information des salariés sur leurs droits. Il est conseillé d’effectuer une analyse d’impact pour les traitements à risque. |
Gérer les données personnelles de vos salariés n’est pas une mince affaire. Depuis l’entrée en vigueur du Règlement Général sur la Protection des Données, les services RH naviguent dans un océan de règles et d’obligations. Vous devez savoir quoi collecter, combien de temps conserver chaque information et comment la protéger. Une question mal maîtrisée peut vite se transformer en casse-tête juridique.
Le RGPD en ressources humaines impose un cadre précis pour traiter les informations de vos collaborateurs. Des CV aux bulletins de paie, des entretiens annuels aux données de santé, chaque document possède sa propre durée de conservation. Et ce n’est pas tout. Les précautions à prendre pour sécuriser ces données sensibles sont tout aussi indispensablees. Un fichier Excel mal protégé, un dossier papier égaré, et c’est votre conformité qui vacille. Pour rendre plus efficace votre gestion RH tout en respectant ces obligations, une gestion des absences avec des politiques et workflow adaptés s’avère indispensable. Découvrez dans cet article comment maîtriser la collecte, la conservation et la protection des données RH selon les exigences du règlement européen.
Cartographier les données rh à collecter selon la finalité
Pourquoi cette cartographie change tout
Dans le quotidien de vos services RH, les tentations sont nombreuses. Un CV qui tombe dans votre boîte mail, une information de santé glissée lors d’un entretien, des coordonnées d’un proche notées à la hâte. Vous vous dites que tout peut servir un jour. Erreur. Le RGPD exige une rigueur méthodique dès le départ. La cartographie des données selon leur finalité vous protège contre les dérives et les sanctions. Elle devient votre boussole dans l’océan des informations personnelles.
Cette démarche n’a rien de bureaucratique. Chaque processus RH poursuit un objectif précis: recruter, gérer les contrats, établir la paie. Pour chacun, vous devez identifier les données nécessaires et celles à proscrire absolument. Un exemple concret: lors du recrutement, vous pouvez collecter le parcours professionnel et les diplômes. En revanche, les origines ethniques ou l’état de santé restent hors limites, sauf exceptions légales très encadrées. Pour une approche complète de cette phase indispensablee, découvrez comment rendre plus efficace votre processus de recrutement de A à Z tout en respectant ces contraintes légales.
Les finalités et leurs frontières
Voici un tableau qui clarifie les contours de chaque traitement. Il expose la finalité, les catégories autorisées, la base légale qui vous y autorise et les données interdites. Cette vision synthétique évite la collecte « au cas où » qui vous expose aux risques.
| Finalité | Catégories de données collectées | Base légale | Données à proscrire |
|---|---|---|---|
| Recrutement | Identité, coordonnées, parcours professionnel, diplômes, prétentions salariales | Exécution de mesures précontractuelles | Origines, opinions politiques, santé (sauf handicap déclaré volontairement), situation familiale détaillée |
| Gestion du personnel | Identité, coordonnées, RIB, taux d’imposition, contacts d’urgence, qualification | Exécution du contrat de travail et obligations légales | Données de santé non justifiées, vie privée sans lien avec le contrat, croyances religieuses |
| Paie | Identité, RIB, éléments de rémunération, temps de travail, charges sociales | Obligations légales (Code du travail, Code de la sécurité sociale) | Informations sur les performances, données de géolocalisation non nécessaires, historique médical |
La minimisation comme réflexe quotidien
Cette cartographie ne doit pas rester au fond d’un tiroir. Elle devient un outil vivant que vous consultez à chaque nouveau traitement. Avant de cocher une case sur un formulaire, demandez-vous: cette information sert-elle vraiment ma finalité? La réponse détermine si vous collectez ou non. La minimisation protège à la fois vos collaborateurs et votre organisation. Elle réduit vos obligations de sécurité et limite votre exposition en cas de fuite de données. Adoptez ce réflexe et vous transformez une contrainte légale en avantage stratégique.
Fixer des durées de conservation et organiser suppression, anonymisation et archivage
Déterminer les durées dès la collecte
Lorsque vous collectez des informations sur vos salariés, vous devez déjà savoir combien de temps vous allez les garder. Le RGPD impose une durée strictement nécessaire, qui varie selon l’objectif visé. Impossible de conserver indéfiniment un CV ou une fiche de paie. Chaque donnée a sa propre horloge interne.
La règle d’or? Anticiper ce qui se passe à l’échéance. Une fois le délai dépassé, trois options s’offrent à vous: supprimer définitivement, anonymiser pour perdre tout lien avec la personne, ou archiver de façon sécurisée si une obligation légale ou un risque de contentieux l’exige. Cette dernière solution ressemble à un coffre-fort numérique où les données restent accessibles, mais uniquement pour des motifs très précis. L’objectif final est simple: limiter la conservation tout en gardant les preuves utiles pour d’éventuels contrôles ou litiges.
Tableau pratique des durées recommandées
Pour vous guider au quotidien, voici un récapitulatif des principaux documents RH avec leurs délais et leur traitement à l’échéance:
| Type de dossier/document RH | Durée de conservation recommandée | Point de départ du délai | Sort à l’échéance |
|---|---|---|---|
| Bulletin de paie | 5 ans | Fin du contrat | Archivage intermédiaire |
| Registre du personnel | 5 ans | Départ du salarié | Suppression |
| CV et lettre de candidats non retenus | 2 ans | Dernier contact | Suppression |
| Dossier médical du salarié | 5 ans après fin de contrat (40 ans pour exposition à risques) | Départ du salarié | Archivage intermédiaire ou suppression |
| Contrat de travail | 5 ans minimum | Fin du contrat | Archivage intermédiaire |
| Documents liés à un contentieux | Durée du contentieux + délais de recours | Clôture de l’affaire | Suppression ou anonymisation |
Pensez à documenter ces durées dans votre registre des traitements. Cette démarche vous protège en cas de contrôle et vous permet de piloter efficacement le cycle de vie des données. Sans oubli, sans approximation.
Sécuriser et encadrer l’accès aux données rh au quotidien
Protéger les informations de vos collaborateurs ressemble à verrouiller un coffre-fort. Vous devez limiter l’accès aux seules personnes habilitées qui en ont vraiment besoin. Séparer clairement la base active de la base d’archivage évite les confusions. La traçabilité des actions devient alors votre meilleur allié pour repérer toute anomalie. Ces précautions réduisent les risques de fuite et d’intrusion indésirable. Sans oublier qu’elles empêchent une conservation anarchique des données.
Pour renforcer cette protection, plusieurs mesures s’imposent au quotidien:
- Définir des habilitations précises selon les fonctions et responsabilités de chacun
- Utiliser le chiffrement pour sécuriser les fichiers sensibles, en transit comme au repos
- Mettre en place une journalisation des accès pour tracer qui consulte quoi et quand
- Établir des procédures strictes lors du départ d’un collaborateur pour bloquer ses accès
- Organiser la destruction sécurisée des documents obsolètes de façon irréversible
- Encadrer rigoureusement vos sous-traitants par des clauses contractuelles exigeantes
- Privilégier le stockage des données sur des serveurs localisés dans l’Union européenne
- Former régulièrement vos équipes aux bonnes pratiques de confidentialité
- Réaliser des audits de sécurité périodiques pour identifier les failles potentielles
Ces dispositifs techniques et organisationnels créent un rempart solide contre les accès non autorisés. Dans cette démarche globale de sécurisation des processus RH, l’utilisation d’outils structurés comme un scorecard d’entretien pour décisions de recrutement permet également de formaliser et sécuriser les procédures de sélection des nouveaux collaborateurs.
Documenter la conformité et informer candidats et salariés
Le registre des traitements, votre meilleur allié
Tenir un registre précis de vos traitements RH, c’est comme construire un plan détaillé de votre maison: on y recense chaque pièce, son usage, ses occupants. Ce document doit lister toutes les données collectées avec leurs finalités exactes et leurs durées de conservation. Vous devez y préciser qui accède à quoi dans votre organisation.
Cette cartographie devient indispensable lors d’un contrôle. La CNIL appréciera votre rigueur si vous présentez un registre à jour et cohérent. Sans cette traçabilité, vous naviguez à l’aveugle et exposez l’entreprise à des sanctions conséquentes.
Des procédures claires pour tous
Formaliser une politique interne de conservation et de destruction des données, c’est établir les règles du jeu. Chaque service doit savoir combien de temps conserver les dossiers candidats ou les bulletins de paie. Ces procédures clarifient les responsabilités entre RH, DPO, services juridiques et IT.
Pensez aussi aux mentions d’information destinées aux candidats et salariés. Elles doivent être transparentes et accessibles. Informer vos collaborateurs sur l’usage de leurs données personnelles renforce la confiance et démontre votre engagement éthique.
Documents et preuves à maintenir
- Le registre des traitements avec finalités et durées détaillées
- Les procédures internes de conservation et destruction des données
- Les modèles de mentions d’information standardisés
- Les consentements pour la constitution d’un vivier candidats
- Une revue périodique des pratiques de traitement
- Les processus de gestion des droits des personnes concernées
- Les contrats avec vos sous-traitants incluant des clauses de protection des données
Cette documentation constitue votre bouclier en cas de contrôle. Elle prouve votre démarche proactive et votre engagement dans la protection des données. L’audit régulier de ces documents vous permet d’anticiper les risques et d’ajuster vos pratiques en temps réel.
