RH et RGPD : comment assurer la conformité des ressources humaines en 2026

La gestion des ressources humaines implique aujourd’hui une quantité importante de données personnelles : CV, contrats de travail, bulletins de paie, évaluations annuelles, arrêts maladie, données bancaires ou encore informations liées au temps de travail. Face à cette réalité, le respect du RGPD est devenu un enjeu stratégique majeur pour toutes les organisations.

Dans cet article, nous allons détailler les obligations liées au RGPD dans les RH, les risques encourus en cas de non-conformité ainsi que les bonnes pratiques pour sécuriser durablement les traitements de données RH.

Pourquoi le RGPD concerne directement les RH ?

Le RGPD (Règlement Général sur la Protection des Données) s’applique à toute organisation qui traite des données personnelles de citoyens européens. Or, les services RH sont parmi les principaux consommateurs de données personnelles dans une organisation.

Les RH collectent et utilisent notamment :

• Les informations d’identité des salariés
• Les coordonnées personnelles
• Les données de rémunération
• Les évaluations professionnelles
• Les informations de santé liées aux arrêts de travail
• Les données de recrutement
• Les informations disciplinaires
• Les données de géolocalisation ou de contrôle d’accès

Certaines de ces informations sont considérées comme sensibles par le RGPD, ce qui impose des mesures de sécurité renforcées.

Le non-respect du RGPD peut entraîner :

• des sanctions financières importantes,
• des litiges avec les salariés,
• une atteinte à l’image de la structure.
• voire des contrôles de la CNIL.

RH et RGPD : quelles sont les obligations des organisations ?

Informer les salariés

L’une des premières obligations consiste à informer clairement les collaborateurs sur :

• les données collectées,
• les finalités du traitement,
• la durée de conservation,
• les destinataires des données,
• leurs droits.

Cette information doit être transparente et accessible, souvent via :

• une charte informatique,
• une politique de confidentialité RH,
• le règlement intérieur,
• ou les contrats de travail.

Limiter la collecte des données

Le principe de minimisation est central dans le RGPD.

Les RH ne doivent collecter que les données strictement nécessaires à :

• l’exécution du contrat de travail,
• la gestion administrative,
• le recrutement,
• les obligations légales.

Par exemple :

• demander la situation familiale peut être justifié pour la mutuelle,
• mais demander des informations sans lien avec l’emploi est interdit.

Sécuriser les données RH

Les données RH sont particulièrement sensibles. Les organisations doivent donc mettre en place :

• des accès restreints,
• des mots de passe robustes,
• des sauvegardes sécurisées,
• un chiffrement des données,
• une gestion stricte des habilitations.

Les logiciels SIRH et les outils de paie doivent également respecter des standards élevés de sécurité.

Respecter les durées de conservation

Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire.

Quelques exemples :

• CV non retenus : généralement 2 ans maximum avec consentement,
• dossiers du personnel : selon les obligations légales,
• bulletins de paie : durée réglementaire spécifique,
• données disciplinaires : durée limitée.

Une politique d’archivage claire est indispensable.

RH RGPD et recrutement : les bonnes pratiques

Le recrutement représente l’un des traitements RH les plus exposés au RGPD.

Collecte des CV

Les candidats doivent être informés :

• de l’utilisation de leurs données,
• de la durée de conservation,
• de leur droit d’accès ou de suppression.

Il est également recommandé d’obtenir leur consentement pour conserver un CV après la fin du recrutement.

Entretiens et prise de notes

Les recruteurs doivent éviter :

• les commentaires discriminatoires,
• les données excessives,
• les informations sans rapport avec le poste.

Les notes d’entretien sont elles aussi des données personnelles.

Vérification des références

La prise de référence doit respecter certaines règles :

• informer le candidat,
• limiter les informations demandées,
• éviter les investigations abusives.

Données sensibles en RH : vigilance renforcée

Certaines données traitées par les RH nécessitent des précautions particulières.

Le RGPD considère comme sensibles :

• les données de santé,
• les opinions syndicales,
• les convictions religieuses,
• les données biométriques.

Ces informations ne peuvent être traitées que dans des cas précis prévus par la loi.

Le rôle du DPO dans les RH

Le DPO (Data Protection Officer) joue un rôle essentiel dans la conformité RH.

Il accompagne :

• les audits,
• la cartographie des traitements,
• les analyses de risques,
• la gestion des violations de données,
• la formation des équipes RH.

Le DPO aide également à rédiger :

• les mentions d’information,
• les procédures internes,
• les politiques de conservation.

Registre des traitements RH : une obligation clé

Le registre des traitements est obligatoire dans de nombreux cas.

Pour les RH, il doit notamment contenir :

• la gestion de la paie,
• le recrutement,
• la gestion des carrières,
• la formation,
• les évaluations,
• les badges d’accès,
• la vidéosurveillance éventuelle.

Ce registre permet de démontrer la conformité de l’organisation en cas de contrôle.

Comment mettre en place une stratégie RH RGPD efficace ?

Réaliser un audit des traitements RH

Première étape essentielle : identifier :

• les données collectées,
• les outils utilisés,
• les flux de données,
• les prestataires impliqués.

Sensibiliser les équipes RH

Les collaborateurs RH doivent être formés :

• aux principes du RGPD,
• aux bonnes pratiques de sécurité,
• aux réflexes de confidentialité.

Encadrer les sous-traitants

Les éditeurs SIRH, cabinets de recrutement ou prestataires de paie doivent offrir des garanties de conformité.

Les contrats doivent inclure :

• des clauses RGPD,
• des engagements de sécurité,
• des procédures de gestion des incidents.

Mettre à jour les documents internes

Il est recommandé de formaliser :

• une politique de protection des données,
• des procédures RH,
• des mentions d’information,
• des règles d’archivage.

Pour sécuriser vos traitements RH et garantir votre conformité, il est essentiel de s’appuyer sur un accompagnement expert. FCN Data accompagne les organisations dans la mise en conformité RGPD de leurs processus RH : audit, cartographie des traitements, sécurisation des données, accompagnement DPO, sensibilisation des équipes et mise en place des bonnes pratiques.

Vous souhaitez évaluer votre niveau de conformité ou sécuriser durablement vos données RH ? Contactez-nous dès maintenant pour bénéficier d’un accompagnement personnalisé adapté aux enjeux de votre organisation.