# RGPD et ressources humaines : comment rester conforme au quotidien ?
Depuis l’entrée en vigueur du Règlement Général sur la Protection des Données en mai 2018, les services des ressources humaines font face à des responsabilités accrues en matière de protection des informations personnelles. Les données RH constituent l’un des gisements les plus sensibles au sein des organisations : identités complètes, coordonnées bancaires, informations médicales, évaluations professionnelles et parfois même données biométriques. Cette richesse informationnelle s’accompagne d’obligations strictes que chaque entreprise doit intégrer dans ses processus quotidiens. La non-conformité expose les organisations à des sanctions financières pouvant atteindre 4% du chiffre d’affaires annuel mondial, sans compter les dommages réputationnels considérables. Pour les professionnels RH, la maîtrise du cadre réglementaire n’est plus optionnelle mais constitue désormais une compétence stratégique indispensable à l’exercice de leurs fonctions.
Le cadre juridique du RGPD appliqué au traitement des données RH
Le traitement des données personnelles dans le contexte des ressources humaines repose sur un socle juridique précis qui encadre chaque opération, du recrutement jusqu’à la fin de la relation contractuelle. Les organisations doivent d’abord identifier la base légale justifiant la collecte et l’utilisation des informations. Dans le domaine RH, trois fondements juridiques prédominent : l’exécution du contrat de travail, le respect d’obligations légales (déclarations sociales, fiscales) et l’intérêt légitime de l’employeur. Contrairement à une idée reçue, le consentement des salariés reste rarement invoqué en raison du déséquilibre inhérent à la relation employeur-employé. Cette particularité distingue fondamentalement le traitement des données RH d’autres secteurs d’activité.
Les principes de licéité, loyauté et transparence dans la gestion du personnel
La licéité impose que chaque traitement repose sur l’une des six bases légales définies par l’article 6 du RGPD. Pour la gestion administrative du personnel, l’exécution du contrat de travail justifie naturellement la collecte d’informations essentielles comme l’identité, les coordonnées ou les qualifications professionnelles. La loyauté exige que les données soient collectées de manière honnête, sans détournement de finalité. Par exemple, utiliser les coordonnées personnelles d’un candidat non retenu pour lui envoyer des sollicitations commerciales constituerait une violation flagrante de ce principe.
La transparence se matérialise par l’obligation d’informer systématiquement les personnes concernées. Dès le processus de candidature, les postulants doivent recevoir une notice d’information claire précisant les finalités du traitement, les destinataires des données, les durées de conservation et leurs droits fondamentaux. Cette information doit être facilement accessible, idéalement via une politique de confidentialité dédiée aux candidats et salariés. Selon les statistiques de la CNIL, 13% des plaintes reçues concernent le monde du travail, un chiffre en constante augmentation qui souligne l’importance de ces principes fondamentaux.
La minimisation des données lors du recrutement et de l’évaluation
Le principe de minimisation constitue l’un des piliers les plus contraignants pour les services RH. Il impose de limiter la collecte aux seules informations strictement nécessaires à la finalité poursuivie. Concrètement, demander la situation matrimoniale d’un candidat lors d’un premier entretien dépasse généralement ce qui est requis pour évaluer ses compétences professionnelles
et porte atteinte au principe de proportionnalité. De la même manière, conserver indéfiniment les résultats d’un test de personnalité utilisé lors d’un recrutement, alors que la personne n’a pas été retenue, n’est pas justifiable au regard du RGPD. Pour rester conforme au quotidien, il est utile de se poser une question simple avant chaque nouvelle collecte : « Ai-je vraiment besoin de cette information pour prendre ma décision RH ? ». Si la réponse est hésitante, il vaut mieux s’abstenir de la collecter et adapter vos formulaires ou vos processus internes.
Les durées de conservation légales des dossiers salariés et candidats
Le RGPD impose que les données personnelles ne soient pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées. En matière de ressources humaines, ces durées de conservation s’articulent avec de nombreux délais légaux issus du droit du travail, du droit social et du droit fiscal. Par exemple, les données des candidats non retenus ne devraient pas être conservées plus de 2 ans après le dernier contact, sauf accord explicite pour une conservation plus courte ou suppression immédiate. À l’inverse, certains documents sociaux comme les bulletins de paie, les registres du personnel ou les justificatifs de temps de travail doivent être archivés pendant plusieurs années pour répondre à d’éventuels contrôles ou contentieux.
Pour les services RH, la bonne pratique consiste à formaliser une politique de conservation des données détaillant, pour chaque type d’information, la durée de conservation en base active, en archivage intermédiaire et la date de suppression définitive. Cette politique doit être documentée, validée par la direction et cohérente avec les recommandations de la CNIL et des textes sectoriels applicables. Sur le plan opérationnel, il est indispensable d’exploiter les fonctionnalités de votre SIRH ou de vos outils de paie pour automatiser au maximum la purge et l’archivage, afin d’éviter les « zones grises » où les données RH restent stockées sans raison. En cas de contrôle, la capacité à démontrer ces règles de conservation et leur application concrète constitue un argument clé pour prouver votre conformité RGPD.
Le registre des activités de traitement spécifique aux ressources humaines
Le registre des activités de traitement est l’un des outils centraux de la conformité RGPD. Pour les ressources humaines, il prend la forme d’un inventaire structuré de tous les traitements RH : gestion de la paie, recrutement, formation, suivi disciplinaire, santé et sécurité au travail, gestion des badges, télétravail, etc. Chaque fiche de registre doit préciser les finalités du traitement, les catégories de données collectées (identité, données bancaires, données de santé, données de connexion…), les destinataires internes et externes, les durées de conservation, ainsi que les principales mesures de sécurité mises en place. Ce document n’est pas seulement une contrainte administrative ; il constitue aussi un véritable tableau de bord pour piloter vos risques et prioriser vos actions de mise en conformité.
Dans la pratique, il est recommandé de créer un registre distinct ou clairement identifié pour la sphère RH, afin de ne pas diluer ces traitements à forte sensibilité parmi d’autres traitements plus génériques (marketing, relation client, etc.). Impliquer les opérationnels RH dans la mise à jour régulière de ce registre permet d’identifier plus facilement les nouveaux outils (par exemple un nouveau logiciel d’entretien annuel) ou les nouveaux flux de données. Vous pouvez également vous appuyer sur ce registre pour organiser vos audits internes, préparer une analyse d’impact (AIPD) lorsque nécessaire et démontrer, en cas de contrôle de la CNIL, que vous maîtrisez réellement le cycle de vie des données personnelles de vos salariés et candidats.
La collecte et le traitement des données personnelles dans le processus de recrutement
Les informations interdites et autorisées sur les CV et formulaires de candidature
Le processus de recrutement est l’un des moments où la tentation de collecter un maximum d’informations sur les candidats est la plus forte. Pourtant, le RGPD combiné au code du travail impose un cadre strict : seules les données ayant un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles peuvent être demandées. Concrètement, des informations telles que le nom, les coordonnées, le parcours professionnel, les diplômes ou les compétences techniques sont légitimes. En revanche, les questions relatives à l’état de santé, à la situation familiale détaillée, à la religion, à l’orientation sexuelle ou aux opinions politiques sont strictement interdites, car elles relèvent soit de la vie privée, soit des catégories particulières de données.
Pour rester conforme, il est pertinent de revoir vos formulaires de candidature et vos fiches de poste afin d’éliminer les champs superflus ou intrusifs. Une bonne pratique consiste à structurer les formulaires autour de blocs d’informations clairement justifiés : identité, coordonnées, expérience, compétences, disponibilités. Vous pouvez également limiter les champs libres qui incitent les candidats à fournir trop d’informations personnelles non nécessaires. Enfin, sensibiliser les managers impliqués dans le recrutement à ces interdits permet d’éviter des dérives lors des entretiens, par exemple des questions sur le souhait d’avoir des enfants ou sur les convictions syndicales, qui peuvent exposer l’entreprise à un double risque : discrimination et non-respect du RGPD.
L’utilisation des logiciels ATS et leur conformité RGPD
Les solutions d’ATS (Applicant Tracking System) se sont largement imposées dans les services RH pour centraliser les candidatures, gérer les viviers de talents et automatiser une partie des échanges avec les postulants. Ces outils traitent un volume important de données personnelles et constituent donc des traitements à forts enjeux au regard du RGPD. En tant que responsable de traitement, l’employeur doit s’assurer que son ATS respecte les principes de sécurité, de minimisation et de transparence : hébergement des données au sein de l’Union européenne ou avec des garanties adéquates, paramétrage des durées de conservation des candidatures, gestion fine des habilitations d’accès, traçabilité des actions des utilisateurs.
Avant d’implémenter ou de renouveler un ATS, il est conseillé de vérifier plusieurs éléments : l’existence d’un accord de traitement des données (DPA) conforme au RGPD, la capacité du logiciel à gérer les demandes d’accès et d’effacement des candidats, la possibilité de configurer des règles de purge automatique, ou encore l’activation de fonctions de chiffrement des données. Certains ATS intègrent désormais des modules facilitant la conformité, par exemple des mentions d’information pré-paramétrées ou des workflows de gestion du consentement pour la conservation des CV dans un vivier. En prenant le temps d’évaluer ces critères dès la phase de choix de la solution, vous gagnez un temps précieux pour rester conforme au quotidien, sans avoir à multiplier les traitements manuels.
Les clauses de confidentialité dans les contrats avec les cabinets de recrutement
Lorsque vous faites appel à un cabinet de recrutement, ce dernier agit généralement en tant que sous-traitant ou, dans certains cas, en tant que co-responsable de traitement. Dans tous les cas, le partage de données candidats avec un prestataire externe doit être encadré par un contrat respectant les exigences de l’article 28 du RGPD. Ce contrat doit notamment préciser l’objet du traitement, les catégories de données transmises, les finalités, la durée de conservation, les mesures de sécurité et les obligations du cabinet en matière de confidentialité. Il doit également prévoir les conditions dans lesquelles le cabinet peut lui-même recourir à des sous-traitants ultérieurs, ainsi que les modalités de restitution ou de destruction des données à l’issue de la mission.
Au-delà des clauses juridiques standard, il est judicieux de vérifier concrètement les pratiques du cabinet de recrutement : comment sécurise-t-il les CV, qui a accès aux dossiers, comment gère-t-il les demandes d’exercice de droits des candidats, quelles sont ses politiques de conservation des données ? Vous pouvez demander à consulter ses procédures internes ou ses certifications (par exemple ISO 27001) pour évaluer son niveau de maturité. Là encore, l’objectif n’est pas uniquement de se protéger en cas de contrôle, mais aussi de préserver la confiance des candidats, qui associeront la qualité de la gestion de leurs données à votre image employeur. Un cabinet peu rigoureux en matière de RGPD peut, par ricochet, nuire à la réputation globale de votre marque employeur.
La gestion des données biométriques et tests psychométriques des candidats
Certains processus de recrutement recourent à des dispositifs plus intrusifs, comme la biométrie (reconnaissance faciale pour l’accès à un assessment center, empreintes pour contrôler les présences) ou les tests psychométriques avancés. Le RGPD classe les données biométriques et les informations relatives à la santé mentale comme des données sensibles, dont le traitement est en principe interdit, sauf exceptions strictement encadrées. L’utilisation de ces outils doit donc être maniée avec une extrême prudence, justifiée par une nécessité démontrable et, le plus souvent, assortie d’un consentement explicite, libre et éclairé du candidat. De plus, la CNIL impose parfois la réalisation préalable d’une analyse d’impact (AIPD) pour ce type de traitement à risque élevé.
Pour les tests psychométriques, la vigilance porte à la fois sur la pertinence du test par rapport au poste et sur la façon dont les résultats sont exploités et conservés. Il est recommandé d’informer clairement les candidats de l’objectif du test, du caractère éventuellement facultatif ou obligatoire, de la durée de conservation des résultats et de la possibilité d’obtenir une explication humaine en cas de décision automatisée. Il peut être tentant d’accumuler ces données pour constituer une base d’« insights » sur les candidats ; pourtant, au regard du principe de minimisation, vous devez définir des durées courtes de conservation et limiter l’accès à ces résultats aux seules personnes formées et habilitées (par exemple les psychologues du travail ou les recruteurs certifiés).
La gestion des droits des salariés selon les articles 15 à 22 du RGPD
La procédure de réponse aux demandes d’accès et de portabilité
Les salariés et anciens salariés disposent, comme tout individu, d’un ensemble de droits sur leurs données personnelles : droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. En pratique, le droit d’accès est celui qui est le plus fréquemment exercé dans le contexte RH, souvent dans le cadre de tensions ou de litiges. L’employeur doit alors être en mesure de répondre dans le délai d’un mois, éventuellement prolongeable de deux mois en cas de demande complexe. Cela suppose d’avoir défini en amont une procédure claire : canal de réception des demandes (adresse e-mail dédiée, formulaire), identification du demandeur, liste des systèmes à interroger (SIRH, paie, messagerie, outil d’évaluation, etc.).
Le droit à la portabilité, quant à lui, consiste à permettre au salarié de récupérer les données personnelles qu’il a fournies à l’employeur dans un format structuré, couramment utilisé et lisible par machine, ou de les transmettre directement à un autre responsable de traitement lorsque cela est techniquement possible. Dans le domaine RH, il peut par exemple concerner certaines données de compte épargne-temps ou des informations de profil. Pour que ce droit soit réellement effectif, vos outils RH doivent permettre l’export des données dans des formats standards (CSV, XML, JSON) et vous devez désigner en interne les personnes responsables de la préparation et du contrôle de ces exports. Sans procédure formalisée, chaque demande devient un « chantier » manuel, source de risques d’erreurs et de non-respect des délais.
Le droit à l’effacement et ses limites en matière d’archivage social
Le droit à l’effacement, ou droit à l’oubli, est souvent mal compris dans le contexte des ressources humaines. Un salarié peut demander la suppression de certaines données, mais ce droit n’est pas absolu. Dès lors que l’employeur doit conserver des informations pour respecter une obligation légale (par exemple pour la prescription prud’homale, la sécurité sociale ou la fiscalité), la demande d’effacement peut être refusée partiellement ou totalement. C’est le cas, par exemple, des bulletins de paie, des registres du personnel, des documents relatifs aux accidents du travail ou des sanctions disciplinaires conservées pendant la durée prévue par la loi. L’employeur doit alors expliquer de manière pédagogique les raisons juridiques qui justifient la conservation de ces données.
Pour articuler efficacement droit à l’effacement et obligations d’archivage social, la meilleure approche consiste à distinguer clairement les données actives des données archivées. Lorsqu’une personne quitte l’entreprise, une grande partie de ses données doit basculer en archivage intermédiaire, avec des droits d’accès restreints et une utilisation exclusivement liée à d’éventuels contentieux ou obligations de contrôle. À l’issue de la période de conservation légale, ces données doivent être supprimées ou anonymisées de manière irréversible. Cette organisation, si elle est bien documentée, vous permet de répondre plus sereinement aux demandes d’effacement : vous pouvez effacer immédiatement ce qui n’est plus utile, tout en justifiant la conservation temporaire de certaines informations essentielles.
La gestion des demandes de rectification des données personnelles erronées
Les demandes de rectification sont au cœur de la qualité des données RH. Une erreur dans une adresse postale, un numéro de sécurité sociale ou un taux d’activité peut avoir des conséquences concrètes pour le salarié : retards de remboursement, erreurs de paie, complications administratives. Le RGPD impose de corriger sans délai les données inexactes, ce qui suppose que les salariés disposent de moyens simples pour signaler une erreur et que les équipes RH disposent de procédures claires pour la traiter. Certains SIRH prévoient déjà des espaces « Mon profil » permettant aux collaborateurs de mettre à jour eux-mêmes certaines informations, ce qui facilite la conformité et réduit les risques d’erreurs.
Au-delà des aspects techniques, il est important de penser à la propagation des corrections. Modifier une donnée dans le SIRH principal ne suffit pas si cette information est répliquée dans plusieurs outils ou transmise à des prestataires externes (mutuelle, prévoyance, gestionnaire de titres-restaurant, etc.). Une bonne pratique consiste à recenser, pour chaque type de donnée critique, la liste des systèmes et des prestataires qui la reçoivent, afin de s’assurer que la correction est bien répercutée. En cas de rectification sur une donnée sensible ou ayant un impact majeur (par exemple une correction de date de naissance liée à la retraite), il est utile de documenter la demande et les actions effectuées, afin de disposer d’une traçabilité en cas de contestation ultérieure.
La surveillance des salariés et le respect de la vie privée au travail
Les systèmes de vidéosurveillance et badgeage : obligations déclaratives CNIL
Les dispositifs de vidéosurveillance et de contrôle d’accès par badge font partie du quotidien de nombreuses entreprises. Ils poursuivent généralement des finalités légitimes : sécurité des biens et des personnes, prévention des intrusions, contrôle des horaires, gestion des temps. Toutefois, ils impliquent un suivi potentiel des comportements des salariés et peuvent rapidement devenir intrusifs s’ils sont mal dimensionnés ou mal expliqués. Le RGPD et la CNIL imposent donc un certain nombre de règles : information préalable et claire des salariés, proportionnalité du dispositif, durée limitée de conservation des enregistrements vidéo (en principe quelques jours à un mois maximum), accès restreint aux images et aux journaux de badgeage.
Depuis la mise en œuvre du RGPD, la plupart de ces dispositifs ne font plus l’objet d’une déclaration systématique à la CNIL, mais l’employeur doit être en mesure de démontrer leur conformité en cas de contrôle. Cela passe notamment par une inscription précise dans le registre des traitements, une consultation du CSE lorsqu’il existe, et, pour les systèmes particulièrement intrusifs ou couvrant des zones sensibles (vestiaires, zones de pause), la réalisation d’une analyse d’impact (AIPD). Là encore, la transparence est votre meilleure alliée : des affiches visibles, une mention dans la charte informatique et le règlement intérieur, ainsi que des échanges avec les représentants du personnel réduisent le risque de ressentiment et de suspicion chez les collaborateurs.
Le monitoring des emails professionnels et fichiers journaux informatiques
Le contrôle de l’utilisation de la messagerie professionnelle, de la navigation internet ou des fichiers journaux (logs) est un sujet délicat, à la frontière entre sécurité du système d’information et respect de la vie privée des salariés. Sur le plan juridique, l’employeur dispose d’un droit de regard sur les outils mis à disposition, mais ce droit doit s’exercer de manière proportionnée et transparente. La CNIL rappelle régulièrement que la surveillance généralisée et permanente des communications n’est pas acceptable, de même que la lecture systématique des e-mails sans motif légitime. En pratique, la plupart des contrôles doivent se faire a posteriori, en cas d’incident de sécurité, de suspicion de fraude ou de non-respect manifeste des règles internes.
Pour concilier ces exigences, la mise en place d’une charte informatique détaillée est indispensable. Elle doit expliquer clairement aux salariés quels types de contrôles peuvent être réalisés, à quelles fins (sécurité, continuité de service, prévention des comportements illicites), qui y a accès et pendant combien de temps les journaux sont conservés. Il est également recommandé de distinguer, autant que possible, les e-mails identifiés comme personnels (par exemple via la mention « personnel » dans l’objet) et de ne les ouvrir qu’en cas de nécessité impérieuse, selon une procédure encadrée. D’un point de vue RGPD, les journaux techniques constituent des données personnelles dès lors qu’ils permettent d’identifier un utilisateur, ce qui implique de définir des durées de conservation limitées et de sécuriser leur accès.
La géolocalisation des véhicules de fonction et smartphones professionnels
Les dispositifs de géolocalisation des véhicules de fonction ou des smartphones professionnels se sont multipliés avec le développement des flottes commerciales et des équipes itinérantes. Ils permettent d’optimiser les tournées, de sécuriser les biens, de vérifier la réalisation des prestations ou d’horodater des interventions. Mais ils impliquent également un suivi quasi continu des déplacements des salariés, ce qui peut être perçu comme une surveillance permanente. La CNIL encadre donc strictement ces dispositifs : la géolocalisation ne peut pas être utilisée pour contrôler le temps de travail lorsqu’un autre moyen est possible, elle ne doit pas fonctionner en dehors du temps de travail, et les données de localisation doivent être conservées pendant une durée limitée, généralement quelques mois au maximum.
Avant d’installer un système de géolocalisation, il est crucial de clarifier vos finalités et de vous interroger : avez-vous besoin d’un suivi temps réel ou un simple enregistrement ponctuel suffit-il ? Pouvez-vous atteindre vos objectifs par un autre moyen moins intrusif ? La réponse à ces questions déterminera le caractère proportionné du dispositif. Sur le plan opérationnel, informez précisément les salariés des modalités de géolocalisation (heures d’activation, possibilité de désactiver le suivi en dehors des heures de travail, accès aux données, droits d’opposition) et consignez toutes ces informations dans le registre des traitements. Dans certains cas, une AIPD sera également nécessaire, notamment si la géolocalisation concerne un large nombre de salariés ou combine plusieurs sources de données (localisation, performance, temps de travail).
Les outils de télétravail et protection des données hors locaux de l’entreprise
Le recours massif au télétravail a profondément modifié la manière dont les données RH et, plus largement, les données d’entreprise sont traitées. Ordinateurs portables, accès VPN, solutions collaboratives, visioconférences : autant d’outils qui multiplient les points d’entrée potentiels pour les attaques et les risques de fuite. Pour rester conforme au RGPD, les organisations doivent adapter leurs mesures de sécurité à ce nouveau contexte : chiffrement des postes nomades, authentification forte, mise à jour régulière des logiciels, interdiction d’utiliser des équipements personnels non sécurisés pour accéder aux systèmes sensibles. La frontière entre sphère professionnelle et sphère privée s’estompe, ce qui impose une vigilance accrue dans la configuration des outils.
Une politique claire de télétravail, complétée par une charte d’utilisation des outils numériques, est indispensable pour cadrer les bonnes pratiques : stockage des documents uniquement sur les serveurs ou dans le cloud sécurisé de l’entreprise, verrouillage de session en cas d’absence, prudence sur l’utilisation des réseaux Wi-Fi publics, confidentialité des échanges pendant les visioconférences. La formation des salariés joue ici un rôle clé : sans culture de la sécurité, même les meilleurs outils restent inefficaces. En cas d’incident (perte d’un ordinateur, e-mail envoyé au mauvais destinataire, partage mal configuré d’un dossier), l’entreprise doit disposer d’un processus simple permettant au salarié de signaler rapidement le problème, afin de limiter l’impact et, le cas échéant, de respecter les délais de notification à la CNIL.
Le transfert et le partage sécurisé des données RH
Les clauses contractuelles types avec les prestataires de paie externalisés
La gestion de la paie est fréquemment externalisée auprès de cabinets comptables ou de prestataires spécialisés. Ceux-ci traitent des données particulièrement sensibles : rémunération, coordonnées bancaires, cotisations sociales, parfois données relatives aux arrêts maladie ou aux accidents du travail. Au regard du RGPD, ces prestataires sont des sous-traitants qui doivent offrir des garanties suffisantes en matière de sécurité et de confidentialité. Le contrat de sous-traitance doit intégrer l’ensemble des mentions obligatoires : description des traitements, obligation de traiter les données uniquement sur instruction documentée de l’employeur, engagement de confidentialité, mesures de sécurité techniques et organisationnelles, assistance en cas de demande d’exercice de droit ou de violation de données.
Les clauses contractuelles types (CCT) proposées par la Commission européenne constituent une base solide pour sécuriser ces relations, en particulier lorsque le prestataire est établi en dehors de l’Union européenne ou recourt lui-même à des sous-traitants situés hors UE. Il est toutefois recommandé de ne pas se contenter d’un copier-coller : adaptez les clauses à votre contexte, précisez les exigences en matière de chiffrement, de journalisation, de tests de sécurité, de sauvegardes. N’hésitez pas à prévoir des audits de sécurité ou des revues régulières du dispositif, car la paie est un domaine dans lequel une fuite de données peut provoquer des conséquences très concrètes pour les salariés et pour l’image de l’entreprise.
Les accords de transfert international vers les filiales hors UE
Dans les groupes internationaux, les données RH peuvent circuler entre la société mère et les filiales situées dans différents pays, par exemple pour des reportings consolidés, la gestion des talents, la mobilité internationale ou l’administration centralisée de certains outils SIRH. Lorsque ces flux impliquent des transferts de données personnelles vers des pays situés hors de l’Espace économique européen, le RGPD impose de mettre en place des mécanismes de protection spécifiques : décisions d’adéquation de la Commission européenne, clauses contractuelles types, règles d’entreprise contraignantes (BCR), ou, à défaut, certaines dérogations strictement encadrées (par exemple le consentement explicite du salarié pour un transfert ponctuel).
Sur le terrain, cela nécessite une cartographie précise des flux internationaux : quelles données RH sont envoyées à quel pays, via quels outils, pour quelles finalités ? Une fois ces flux identifiés, vous pouvez choisir le mécanisme de transfert le plus adapté. Les BCR, par exemple, sont particulièrement intéressantes pour les grands groupes souhaitant harmoniser leur politique de protection des données dans toutes leurs entités. Quoi qu’il en soit, il est essentiel d’informer les salariés de ces transferts dans les mentions d’information, de documenter les accords mis en place et de vérifier régulièrement que le contexte juridique des pays de destination n’a pas évolué dans un sens défavorable à la protection des données.
Le chiffrement et pseudonymisation des bases de données du SIRH
Le SIRH concentre la majorité des données personnelles des salariés : identité, contrat, carrière, formation, rémunération, évaluations, parfois informations de santé ou données disciplinaires. Il constitue donc une cible privilégiée pour les cyberattaques, mais aussi un point de passage potentiellement sensible en interne. Le RGPD incite fortement à recourir au chiffrement et à la pseudonymisation pour réduire l’impact potentiel d’une violation de données. Le chiffrement permet de rendre les données illisibles pour toute personne ne disposant pas de la clé, tandis que la pseudonymisation consiste à remplacer certains identifiants directs (nom, numéro de matricule) par des codes, afin de limiter l’identification immédiate des personnes.
La mise en œuvre de ces techniques doit être pensée en tenant compte des contraintes opérationnelles : il ne s’agit pas de rendre le SIRH inutilisable, mais de trouver un bon équilibre entre sécurité et ergonomie. Par exemple, vous pouvez chiffrer les bases de données au niveau du serveur, chiffrer certains champs particulièrement sensibles (données de santé, informations disciplinaires) et restreindre l’accès en clair à un nombre limité de profils administrateurs. La pseudonymisation est particulièrement utile pour les besoins de statistiques RH ou de projets d’analyse de données : en travaillant sur des données pseudonymisées, vous limitez le risque pour la vie privée des salariés tout en conservant la valeur analytique des informations. En cas de fuite, la présence de mesures de chiffrement et de pseudonymisation est un élément déterminant dans l’évaluation du risque par la CNIL.
Les obligations du DPO et la gouvernance de la conformité RH
L’analyse d’impact AIPD pour les traitements RH à risque élevé
Certains traitements RH présentent, par leur nature, leur portée ou les technologies utilisées, un risque élevé pour les droits et libertés des salariés. C’est le cas, par exemple, de la vidéosurveillance systématique des postes de travail, des dispositifs de géolocalisation en continu, de l’usage de la biométrie pour contrôler les horaires, ou encore des outils d’évaluation automatisée des performances combinant plusieurs sources de données. Dans ces situations, le RGPD impose de réaliser une Analyse d’Impact relative à la Protection des Dononnées (AIPD). Cette démarche structurée permet de décrire précisément le traitement envisagé, d’évaluer la nécessité et la proportionnalité des opérations, d’identifier les risques et de définir les mesures pour les réduire à un niveau acceptable.
Le DPO joue un rôle central dans la conduite de ces AIPD, en collaboration étroite avec la direction RH, la DSI et, le cas échéant, les représentants du personnel. Une AIPD bien menée ne doit pas être perçue comme un simple exercice théorique, mais comme un outil de pilotage : elle permet souvent d’ajuster le paramétrage d’un outil, de limiter certaines fonctionnalités trop intrusives ou de renforcer l’information des collaborateurs. Dans certains cas, si les risques résiduels demeurent élevés malgré les mesures envisagées, le DPO peut recommander de ne pas mettre en œuvre le traitement ou de consulter la CNIL avant son déploiement. Cette approche « privacy by design » permet de sécuriser les projets RH sensibles avant qu’ils ne deviennent sources de contentieux.
La formation continue des équipes RH aux obligations RGPD
La conformité RGPD n’est pas uniquement une affaire de juristes ou de DPO ; elle se joue au quotidien dans les gestes et les décisions des équipes RH. Or, ces équipes sont soumises à une forte pression opérationnelle, avec peu de temps pour se plonger dans les textes. C’est pourquoi la formation continue est un levier essentiel de gouvernance. Des sessions régulières, adaptées aux différents profils (gestionnaires de paie, recruteurs, responsables formation, managers de proximité), permettent de rappeler les principes de base, de présenter des cas concrets et de partager les retours d’expérience d’incidents ou de contrôles. Une approche pragmatique, centrée sur les situations rencontrées sur le terrain, facilite l’appropriation des bons réflexes : limiter les copies de documents, vérifier les destinataires d’un e-mail contenant des données sensibles, éviter les échanges d’informations sensibles via des canaux non sécurisés, etc.
Le DPO peut également mettre en place des supports complémentaires : fiches pratiques, FAQ internes, modèles de mentions d’information ou de clauses contractuelles, e-learning. L’objectif est de transformer le RGPD en un réflexe professionnel intégré, plutôt qu’en une contrainte extérieure pesante. En impliquant les équipes RH dans la co-construction de ces outils (par exemple via des ateliers ou des retours d’expérience), vous renforcez leur adhésion et faites émerger des ambassadeurs de la protection des données. À terme, cette culture de la confidentialité devient un atout pour votre marque employeur : les candidats et salariés sont de plus en plus sensibles à la manière dont leurs données sont traitées, et une communication transparente sur vos efforts de conformité peut devenir un élément de différenciation.
La gestion des violations de données personnelles et notification à la CNIL
Aucune organisation n’est à l’abri d’une violation de données personnelles : courrier contenant des bulletins de paie adressé à un mauvais destinataire, fichier RH partagé par erreur à un groupe trop large, mot de passe compromis, vol d’ordinateur portable, attaque par rançongiciel… L’important n’est pas seulement d’essayer d’éviter ces incidents, mais aussi de savoir y réagir rapidement et efficacement. Le RGPD impose au responsable de traitement de notifier à la CNIL toute violation susceptible d’engendrer un risque pour les droits et libertés des personnes, dans un délai de 72 heures après en avoir pris connaissance. Dans certains cas, lorsque le risque est élevé, il faut également informer directement les personnes concernées.
Pour respecter ces délais serrés, vous devez disposer d’une procédure interne de gestion des incidents clairement définie. Elle doit préciser comment un salarié peut signaler un incident, à qui (DPO, RSSI, responsable RH), quelles informations doivent être recueillies dès le départ (nature des données touchées, nombre de personnes concernées, causes supposées, mesures de confinement déjà prises), et comment l’analyse de risque est conduite. Le DPO joue un rôle clé dans cette évaluation, en lien avec la direction RH et la DSI. Documenter chaque incident, même mineur, permet d’identifier des tendances, de corriger les failles récurrentes et de démontrer, en cas de contrôle, que l’organisation prend au sérieux ses obligations. Finalement, une bonne gestion des violations de données ne se juge pas seulement à la capacité d’éviter les incidents, mais aussi à la manière dont l’entreprise sait en tirer des enseignements pour renforcer, jour après jour, la protection des données de ses collaborateurs.