Sector guide

GDPR for RH: complete guide and free audit 2026

Les directions RH manipulent un volume considérable de données personnelles tout au long du cycle de vie du salarié : candidatures (CV, lettres, tests), contrats (état civil, IBAN, situation familiale), paies (revenus, prélèvements, mutuelle), évaluations (entretiens, formations, sanctions), santé (visites médicales, arrêts), départs (solde de tout compte, certificats). Le RGPD se cumule avec le Code du travail et les recommandations CNIL spécifiques (référentiel gestion RH 2019, mis à jour 2023). Les obligations sont nombreuses : information renforcée des salariés (Art. 13 RGPD), consentement très restreint (déséquilibre employeur/salarié), durées de conservation strictes (5 ans CV non retenus avec consentement, 5 ans bulletins paie, 50 ans pour retraite), sécurisation SIRH et coffre-fort numérique. La géolocalisation, vidéosurveillance, contrôle e-mail, mots-clés Slack font l'objet de contrôles CNIL fréquents.

5 GDPR obligations specific to RH

These points are systematically checked during a DPA audit in your sector.

1

Information renforcée à l'embauche et tout au long du contrat

Note d'information remise à l'embauche (Art. 13 RGPD) : finalités, durées, destinataires (Sécu Sociale, mutuelle, prévoyance), droits, DPO. Mise à jour à chaque changement majeur (nouveau SIRH, vidéosurveillance). Affichage CSE.

2

Conservation strictement limitée par finalité et obligation légale

CV non retenus : 2 ans max (consentement candidat). Bulletins paie : 5 ans (Code travail). Dossier individuel : 5 ans après départ. Retraite : 50 ans. Vidéosurveillance : 30 jours max. Tests psychotechniques : non conservés.

3

Encadrer strictement la vidéosurveillance et géolocalisation

Vidéosurveillance : finalité légitime, information CSE et salariés, autorisation préfectorale si lieu public, conservation 30 jours. Géolocalisation véhicules : interdite hors temps travail, désactivation par salarié possible.

4

Sécuriser le SIRH et coffre-fort numérique

Chiffrement bulletins paie, accès par habilitations strictes (manager ≠ DRH ≠ paie), traçabilité des consultations, sauvegardes chiffrées hors site. Audit annuel sécurité.

5

Procédure DSAR (demande d'accès salarié) sous 1 mois

Tout salarié peut demander accès à ses données (entretiens, évaluations, e-mails, géolocalisation). Procédure documentée, délai 1 mois, format structuré (PDF, ZIP). Refus motivé uniquement si demande abusive.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2023
32 M€
Amazon France Logistique

Surveillance salariés via scanners de productivité sans information ni base légale claire.

CNIL délibération SAN-2023-021
2024
800 000 €
Discord (US, applicable EU)

Manquements info salariés, durées de conservation excessives.

CNIL délibération SAN-2024-008
2020
2,25 M€
Carrefour France

Manquements multiples dont gestion RH des données salariés (durées, information).

CNIL délibération SAN-2020-008

How to check your GDPR compliance as RH

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Puis-je conserver un CV intéressant sans le candidat retenu ?
Oui pendant 2 ans maximum avec consentement explicite du candidat (case à cocher au moment du dépôt). Sans consentement : suppression dès la fin du processus de recrutement.
Mon outil de recrutement (Workable, Welcome to the Jungle) est-il RGPD ?
Oui les principaux outils du marché sont conformes mais convention sous-traitance Art. 28 obligatoire, vérifier hébergement (UE prioritaire), durées de conservation paramétrables.
Puis-je lire les e-mails professionnels d'un salarié ?
Très encadré. E-mails marqués personnel : interdit sans présence salarié. E-mails pro : possible mais information préalable + finalité légitime (Cass. soc. 26 juin 2012). Géolocalisation : limites strictes.
Combien de temps conserver un bulletin de paie ?
5 ans à compter de la délivrance (Art. L.3243-4 Code travail). Idéalement 50 ans pour preuve retraite. Coffre-fort numérique recommandé (Digiposte, ePaie).
Dois-je nommer un DPO en tant que DRH d'une PME 50 salariés ?
Recommandé. Obligatoire si traitement à grande échelle ou activités sensibles (surveillance). DPO mutualisé ou externalisé : 200-500 €/mois.
Mes tests psychotechniques de recrutement sont-ils RGPD ?
Très encadrés. Information préalable + base légale (intérêt légitime), proportionnalité (lien avec poste), non-conservation au-delà du processus, résultats partagés uniquement avec décisionnaires.
La vidéosurveillance de l'open space est-elle légale ?
Très contrainte. Pas de surveillance constante des postes (atteinte vie privée). Possible si finalité sécurité légitime, information CSE et salariés, conservation 30 jours, accès limité.
Que faire si un salarié demande accès à toutes ses données ?
Procédure DSAR obligatoire sous 1 mois : extraction SIRH, e-mails pro, évaluations, géolocalisation. Refus uniquement si abusif. Données tiers (autres salariés mentionnés) à anonymiser.

Audit your site in 60 seconds

Free GDPR scan. No credit card.