Guide sectoriel

RGPD pour directions des ressources humaines : guide complet et audit gratuit 2026

Les directions RH manipulent un volume considérable de données personnelles tout au long du cycle de vie du salarié : candidatures (CV, lettres, tests), contrats (état civil, IBAN, situation familiale), paies (revenus, prélèvements, mutuelle), évaluations (entretiens, formations, sanctions), santé (visites médicales, arrêts), départs (solde de tout compte, certificats). Le RGPD se cumule avec le Code du travail et les recommandations CNIL spécifiques (référentiel gestion RH 2019, mis à jour 2023). Les obligations sont nombreuses : information renforcée des salariés (Art. 13 RGPD), consentement très restreint (déséquilibre employeur/salarié), durées de conservation strictes (5 ans CV non retenus avec consentement, 5 ans bulletins paie, 50 ans pour retraite), sécurisation SIRH et coffre-fort numérique. La géolocalisation, vidéosurveillance, contrôle e-mail, mots-clés Slack font l'objet de contrôles CNIL fréquents.

5 obligations RGPD spécifiques aux directions des ressources humaines

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Information renforcée à l'embauche et tout au long du contrat

Note d'information remise à l'embauche (Art. 13 RGPD) : finalités, durées, destinataires (Sécu Sociale, mutuelle, prévoyance), droits, DPO. Mise à jour à chaque changement majeur (nouveau SIRH, vidéosurveillance). Affichage CSE.

2

Conservation strictement limitée par finalité et obligation légale

CV non retenus : 2 ans max (consentement candidat). Bulletins paie : 5 ans (Code travail). Dossier individuel : 5 ans après départ. Retraite : 50 ans. Vidéosurveillance : 30 jours max. Tests psychotechniques : non conservés.

3

Encadrer strictement la vidéosurveillance et géolocalisation

Vidéosurveillance : finalité légitime, information CSE et salariés, autorisation préfectorale si lieu public, conservation 30 jours. Géolocalisation véhicules : interdite hors temps travail, désactivation par salarié possible.

4

Sécuriser le SIRH et coffre-fort numérique

Chiffrement bulletins paie, accès par habilitations strictes (manager ≠ DRH ≠ paie), traçabilité des consultations, sauvegardes chiffrées hors site. Audit annuel sécurité.

5

Procédure DSAR (demande d'accès salarié) sous 1 mois

Tout salarié peut demander accès à ses données (entretiens, évaluations, e-mails, géolocalisation). Procédure documentée, délai 1 mois, format structuré (PDF, ZIP). Refus motivé uniquement si demande abusive.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2023
32 M€
Amazon France Logistique

Surveillance salariés via scanners de productivité sans information ni base légale claire.

CNIL délibération SAN-2023-021
2024
800 000 €
Discord (US, applicable EU)

Manquements info salariés, durées de conservation excessives.

CNIL délibération SAN-2024-008
2020
2,25 M€
Carrefour France

Manquements multiples dont gestion RH des données salariés (durées, information).

CNIL délibération SAN-2020-008

Comment vérifier votre conformité RGPD en tant que rh

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Puis-je conserver un CV intéressant sans le candidat retenu ?
Oui pendant 2 ans maximum avec consentement explicite du candidat (case à cocher au moment du dépôt). Sans consentement : suppression dès la fin du processus de recrutement.
Mon outil de recrutement (Workable, Welcome to the Jungle) est-il RGPD ?
Oui les principaux outils du marché sont conformes mais convention sous-traitance Art. 28 obligatoire, vérifier hébergement (UE prioritaire), durées de conservation paramétrables.
Puis-je lire les e-mails professionnels d'un salarié ?
Très encadré. E-mails marqués personnel : interdit sans présence salarié. E-mails pro : possible mais information préalable + finalité légitime (Cass. soc. 26 juin 2012). Géolocalisation : limites strictes.
Combien de temps conserver un bulletin de paie ?
5 ans à compter de la délivrance (Art. L.3243-4 Code travail). Idéalement 50 ans pour preuve retraite. Coffre-fort numérique recommandé (Digiposte, ePaie).
Dois-je nommer un DPO en tant que DRH d'une PME 50 salariés ?
Recommandé. Obligatoire si traitement à grande échelle ou activités sensibles (surveillance). DPO mutualisé ou externalisé : 200-500 €/mois.
Mes tests psychotechniques de recrutement sont-ils RGPD ?
Très encadrés. Information préalable + base légale (intérêt légitime), proportionnalité (lien avec poste), non-conservation au-delà du processus, résultats partagés uniquement avec décisionnaires.
La vidéosurveillance de l'open space est-elle légale ?
Très contrainte. Pas de surveillance constante des postes (atteinte vie privée). Possible si finalité sécurité légitime, information CSE et salariés, conservation 30 jours, accès limité.
Que faire si un salarié demande accès à toutes ses données ?
Procédure DSAR obligatoire sous 1 mois : extraction SIRH, e-mails pro, évaluations, géolocalisation. Refus uniquement si abusif. Données tiers (autres salariés mentionnés) à anonymiser.

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.