Les données RH sont parmi les plus sensibles qu'une entreprise traite : informations personnelles des salariés, données de paie, évaluations de performance, données de santé pour la médecine du travail. Le RGPD s'applique pleinement à ces traitements — et beaucoup de PME ne sont pas conscientes de toutes leurs obligations en la matière.
Les 5 règles fondamentales
1. Ne collecter que ce qui est nécessaire
Le principe de minimisation des données s'applique au recrutement comme à la gestion des salariés. Vous ne pouvez pas collecter des informations qui ne sont pas nécessaires à la gestion du contrat de travail ou à une obligation légale. Demander le numéro de sécurité sociale lors du recrutement (avant l'embauche) est par exemple contraire au RGPD.
2. Informer les personnes de leurs droits
Candidats et salariés doivent être informés des données collectées, de leur finalité, de leur durée de conservation, et de leurs droits (accès, rectification, suppression). Cette information doit être fournie au moment de la collecte — pas uniquement dans la politique de confidentialité générale du site.
3. Sécuriser les données RH
Les données de paie, les évaluations, les dossiers disciplinaires — ces données doivent être accessibles uniquement aux personnes qui en ont besoin. Un partage de dossier RH accessible à toute l'entreprise est une violation du RGPD.
4. Gérer les durées de conservation
Un CV de candidat non retenu ne peut pas être conservé indéfiniment. La CNIL recommande une durée maximale de 2 ans après le dernier contact. Les bulletins de paie doivent être conservés 5 ans. Les dossiers disciplinaires ont leurs propres règles selon la nature de la sanction.
5. Encadrer les outils RH tiers
Votre SIRH, votre logiciel de paie, votre outil de recrutement — tous ces prestataires traitent des données personnelles pour votre compte. Un contrat de traitement des données (DPA) doit être en place avec chacun d'eux.
📋 Offert à l'inscription : la checklist RGPD PME en 10 points (PDF), puis un sujet juridique décrypté chaque semaine.
Recevoir la checklist →Ce que l'IA peut faire pour vous aider
L'IA peut générer les mentions d'information RGPD adaptées à chaque étape du parcours RH (candidature, entretien, onboarding), rédiger les clauses de protection des données à intégrer dans vos contrats avec les prestataires RH, et auditer vos processus actuels en identifiant les points de non-conformité les plus évidents.
"Les données RH sont les plus personnelles que votre entreprise traite. C'est aussi là que les sanctions CNIL peuvent avoir le plus d'impact sur la réputation."
Les sanctions à connaître
La CNIL peut prononcer des amendes jusqu'à 4% du chiffre d'affaires mondial ou 20 millions d'euros. En pratique, pour une PME, les sanctions courantes sont entre 5 000 et 50 000€ pour des manquements documentés. Au-delà de l'amende, c'est la publication de la sanction qui peut être la plus dommageable pour l'image employeur.
L'IA juridique expliquée chaque semaine
RH, RGPD, conformité — sans jargon.
Recevoir la checklist RGPD offerte →