La gestion de la data RH est devenue un sujet central avec l'arrivée des outils basés sur l'IA. Contrairement à une idée répandue, le RGPD ne se limite pas à "protéger des fichiers" : il impose de structurer tout le cycle de vie de la donnée, depuis la collecte jusqu'à l'archivage et la suppression, en passant par le partage interne, la sécurité et la traçabilité. Dans un environnement RH de plus en plus numérisé, cette discipline devient indispensable pour éviter les violations de données, les accès non autorisés et les usages détournés.
Encadrer le cycle de vie
Le premier principe à retenir est simple : une donnée RH ne doit être conservée que pour une finalité précise, légitime et limitée dans le temps. Cela signifie que l'employeur doit savoir pourquoi il collecte une donnée, qui peut y accéder, combien de temps elle sera utile et à quel moment elle doit être supprimée ou archivée. En pratique, le dossier du personnel, la paie, le recrutement, la formation et la gestion disciplinaire n'obéissent pas tous aux mêmes durées de conservation.
Le RGPD exige aussi une logique de minimisation : ne collecter que les informations strictement nécessaires au traitement concerné. Plus la collecte est large, plus le risque juridique et opérationnel augmente. Pour les équipes RH, cela implique de revoir régulièrement les formulaires, les fichiers Excel, les outils SIRH et les pratiques de diffusion interne afin d'éliminer les données superflues.
Tableau récapitulatif : Les durées de conservation CNIL
Pour vous aider à structurer votre politique de conservation, voici les durées de référence recommandées par la CNIL et le Code du travail pour les principales catégories de données RH :
| Catégorie de donnée | Durée de conservation active | Durée d'archivage intermédiaire |
|---|---|---|
| Dossier du salarié (contrat, avenants) | Durée du contrat | 5 ans après départ (prescription) |
| Bulletins de paie & registres | Durée du contrat + 1 an | 5 ans (droit du travail) / 10 ans (compta) |
| Données candidats (CV, entretiens) | Durée du processus | 2 ans max (sauf accord) |
| Données de contrôle (badges, géoloc.) | 3 mois max | 1 an en cas de litige |
| Entretiens annuels & évaluations | Durée du contrat | 5 ans après départ |
| Données de santé (arrêts, visites méde.) | Durée strictement nécessaire | Selon finalité médicale |
Note : Ces durées sont des recommandations de référence. Chaque entreprise doit les adapter selon ses obligations conventionnelles et sectorielles, et les documenter dans son registre des traitements.
Sécuriser le stockage
Le stockage des données du personnel doit répondre à une exigence de sécurité renforcée. La CNIL rappelle que seules les personnes chargées de la gestion du personnel peuvent consulter les informations des salariés, et que l'employeur doit mettre en place des mesures pour éviter toute divulgation non autorisée. Cela suppose des droits d'accès limités, un cloisonnement des rôles, l'authentification forte, la journalisation des accès et, lorsque c'est nécessaire, le chiffrement des données sensibles.
Dans les faits, les risques les plus fréquents viennent moins d'une attaque sophistiquée que d'une mauvaise organisation interne : dossiers partagés trop largement, exports non maîtrisés, documents stockés sur des espaces personnels, ou utilisation d'outils collaboratifs sans paramétrage adapté. Le bon réflexe consiste à distinguer les environnements de travail actifs, les archives intermédiaires et les sauvegardes, car chacun n'a pas le même niveau d'exposition ni les mêmes droits d'accès.
RGPD et IA RH : Les exigences techniques
Le lien avec l'IA Act est direct dès lors qu'un SIRH, un ATS ou un outil de gestion des talents repose sur des traitements automatisés ou semi-automatisés. Les principes RGPD restent pleinement applicables : base légale, minimisation, finalité, sécurité, gouvernance des accès et documentation. Autrement dit, l'IA n'allège pas les obligations de stockage ; elle les rend souvent plus exigeantes en raison du volume de données traitées et du nombre d'acteurs impliqués.
Dans un projet couplant data RH et IA, la conformité repose en grande partie sur l'architecture technique choisie. Par exemple, l'usage d'un LLM (modèle de langage) public pour analyser des données individuelles de performance ou des rémunérations constitue une violation directe du RGPD, les éditeurs tiers pouvant utiliser ces entrées pour entraîner leurs modèles. Il est indispensable de privilégier des environnements cloisonnés ou des architectures de type RAG (Retrieval-Augmented Generation), où les données du personnel restent stockées de manière étanche, sécurisée et anonymisée au sein de l'infrastructure de l'entreprise.
Point de vigilance sur le recrutement : La phase de sourcing et de tri des CV est particulièrement exposée. L'utilisation d'algorithmes de scoring ou de recrutement automatisé doit impérativement respecter le principe de limitation de la finalité : un algorithme ne peut pas prendre de décision d'exclusion sans intervention humaine, et les données des candidats non retenus doivent être purgées selon les délais stricts mentionnés ci-dessus.
Méthode de mise en conformité
Une approche efficace commence par un inventaire complet des données RH : recrutement, contrat de travail, paie, absences, santé, disciplinaire, formation, mobilité, sécurité et fin de contrat. Ensuite, il faut associer à chaque catégorie une finalité, une base légale, une durée de conservation et des règles d'accès précises.
Cette cartographie doit être traduite dans le registre des traitements et complétée, pour les outils numériques, par un paramétrage strict des droits, des exports, des sauvegardes et des journaux d'accès. Plus le système est documenté, plus l'entreprise est capable de démontrer sa conformité en cas de contrôle ou de litige.
Perspective opérationnelle
Pour une direction RH, la bonne question n'est pas "où stocker les données ?" mais "combien de temps, pour qui, et avec quel niveau de sécurité ?". Cette approche transforme la conformité en pratique de gestion : moins de données inutiles, plus de clarté, moins de risques et de meilleures capacités d'audit. Dans le contexte actuel, la maturité data des RH se mesure autant à la qualité des outils qu'à la discipline de conservation et de suppression.
FAQ — Les questions clés sur le RGPD en RH
Combien de temps conserver les données d'un candidat non retenu ?
Selon les recommandations de la CNIL, les données des candidats non recrutés (CV, lettres de motivation, notes d'entretien) peuvent être conservées pendant une durée maximale de 2 ans après le dernier contact, sauf demande de suppression anticipée du candidat ou accord explicite pour une durée plus longue.
Quelle est la durée de conservation du dossier du personnel après le départ du salarié ?
Le dossier du salarié doit être conservé pendant toute la durée du contrat, puis archivé pendant 5 ans après son départ pour couvrir les délais de prescription civile et prud'homale. Certains documents (bulletins de paie, certificats de travail) doivent être conservés 5 ans minimum pour des raisons fiscales et sociales.
Peut-on utiliser un outil d'IA (LLM, ChatGPT) pour analyser des données RH ?
L'utilisation d'un LLM public pour traiter des données personnelles RH (évaluations, salaires, absences) constitue généralement une violation du RGPD, car ces outils utilisent les données pour entraîner leurs modèles. Il est impératif d'utiliser des environnements cloisonnés ou des architectures RAG garantissant l'étanchéité des données.
Quelles données RH faut-il déclarer à la CNIL ?
Depuis l'entrée en vigueur du RGPD, les déclarations préalables à la CNIL ont été supprimées. Elles sont remplacées par l'obligation de tenir un registre des traitements interne, qui doit documenter chaque finalité, la base légale, les durées de conservation et les mesures de sécurité pour chaque catégorie de données RH traitée.
Audit de conformité Data RH
Besoin d'aide pour cartographier vos données et sécuriser vos outils IA ? Découvrez notre méthodologie d'accompagnement pour les directions RH.
Découvrir notre approche éthique →