La gestion de la data RH est devenue un sujet central avec l'arrivée des outils basés sur l'IA. Contrairement à une idée répandue, le RGPD ne se limite pas à “protéger des fichiers” : il impose de structurer tout le cycle de vie de la donnée, depuis la collecte jusqu’à l’archivage et la suppression, en passant par le partage interne, la sécurité et la traçabilité. Dans un environnement RH de plus en plus numérisé, cette discipline devient indispensable pour éviter les violations de données, les accès non autorisés et les usages détournés.
Encadrer le cycle de vie
Le premier principe à retenir est simple : une donnée RH ne doit être conservée que pour une finalité précise, légitime et limitée dans le temps. Cela signifie que l’employeur doit savoir pourquoi il collecte une donnée, qui peut y accéder, combien de temps elle sera utile et à quel moment elle doit être supprimée ou archivée. En pratique, le dossier du personnel, la paie, le recrutement, la formation et la gestion disciplinaire n’obéissent pas tous aux mêmes durées de conservation.
Le RGPD exige aussi une logique de minimisation : ne collecter que les informations strictement nécessaires au traitement concerné. Plus la collecte est large, plus le risque juridique et opérationnel augmente. Pour les équipes RH, cela implique de revoir régulièrement les formulaires, les fichiers Excel, les outils SIRH et les pratiques de diffusion interne afin d’éliminer les données superflues.
Sécuriser le stockage
Le stockage des données du personnel doit répondre à une exigence de sécurité renforcée. La CNIL rappelle que seules les personnes chargées de la gestion du personnel peuvent consulter les informations des salariés, et que l’employeur doit mettre en place des mesures pour éviter toute divulgation non autorisée. Cela suppose des droits d’accès limités, un cloisonnement des rôles, l’authentification forte, la journalisation des accès et, lorsque c’est nécessaire, le chiffrement des données sensibles.
Dans les faits, les risques les plus fréquents viennent moins d’une attaque sophistiquée que d’une mauvaise organisation interne : dossiers partagés trop largement, exports non maîtrisés, documents stockés sur des espaces personnels, ou utilisation d’outils collaboratifs sans paramétrage adapté. Le bon réflexe consiste à distinguer les environnements de travail actifs, les archives intermédiaires et les sauvegardes, car chacun n’a pas le même niveau d’exposition ni les mêmes droits d’accès.
Durées de conservation
La durée de conservation est l’un des piliers du RGPD en RH. Les données du salarié peuvent être conservées pendant la relation de travail, puis certaines doivent être archivées pour des raisons légales, sociales, fiscales ou contentieuses. Par exemple, les bulletins de paie et les documents relatifs à la rémunération peuvent être conservés cinq ans après le départ du salarié, tandis que certaines données de contrôle d’accès par badge ne doivent pas dépasser trois mois.
Pour un candidat non retenu, la conservation est en principe limitée à deux ans après le dernier contact, sauf accord explicite de conservation plus longue. Cette logique de purge régulière est essentielle : une donnée conservée trop longtemps finit par devenir un passif juridique et un risque de sécurité. En RH, il faut donc organiser des revues périodiques de suppression, avec des règles différentes selon le type de donnée et le motif de conservation.
Information et droits
Le RGPD ne demande pas seulement de protéger les données, il impose aussi d’informer les personnes concernées. Les salariés doivent savoir quelles données sont collectées, dans quel but, pendant combien de temps et à qui elles peuvent être transmises. Cette information doit être claire, accessible et disponible dans les supports RH pertinents, comme le règlement intérieur, les notices d’information ou le contrat de travail.
Les salariés disposent en outre de droits d’accès, de rectification, d’effacement dans certains cas et d’opposition selon la nature du traitement. Pour l’entreprise, cela implique une capacité à retrouver rapidement les données, à identifier leur origine et à répondre dans les délais légaux. En pratique, une bonne gestion du stockage facilite aussi le respect de ces droits, car elle évite les doublons, les fichiers orphelins et les incohérences entre outils.
RGPD et IA RH : Les exigences techniques
Le lien avec l’IA Act est direct dès lors qu’un SIRH, un ATS ou un outil de gestion des talents repose sur des traitements automatisés ou semi-automatisés. Les principes RGPD restent pleinement applicables : base légale, minimisation, finalité, sécurité, gouvernance des accès et documentation. Autrement dit, l’IA n’allège pas les obligations de stockage ; elle les rend souvent plus exigeantes en raison du volume de données traitées et du nombre d’acteurs impliqués.
Dans un projet couplant data RH et IA, la conformité repose en grande partie sur l'architecture technique choisie. Par exemple, l'usage d'un LLM (modèle de langage) public pour analyser des données individuelles de performance ou des rémunérations constitue une violation directe du RGPD, les éditeurs tiers pouvant utiliser ces entrées pour entraîner leurs modèles. Il est indispensable de privilégier des environnements cloisonnés ou des architectures de type RAG (Retrieval-Augmented Generation), où les données du personnel restent stockées de manière étanche, sécurisée et anonymisée au sein de l'infrastructure de l'entreprise.
Méthode de mise en conformité
Une approche efficace commence par un inventaire complet des données RH : recrutement, contrat de travail, paie, absences, santé, disciplinaire, formation, mobilité, sécurité et fin de contrat. Ensuite, il faut associer à chaque catégorie une finalité, une base légale, une durée de conservation et des règles d’accès précises.
Cette cartographie doit être traduite dans le registre des traitements et complétée, pour les outils numériques, par un paramétrage strict des droits, des exports, des sauvegardes et des journaux d’accès. Plus le système est documenté, plus l’entreprise est capable de démontrer sa conformité en cas de contrôle ou de litige.
Perspective opérationnelle
Pour une direction RH, la bonne question n’est pas “où stocker les données ?” mais “combien de temps, pour qui, et avec quel niveau de sécurité ?”. Cette approche transforme la conformité en pratique de gestion : moins de données inutiles, plus de clarté, moins de risques et de meilleures capacités d’audit. Dans le contexte actuel, la maturité data des RH se mesure autant à la qualité des outils qu’à la discipline de conservation et de suppression.