Conservation des données RH : l’essentiel à retenir du nouveau référentiel de la CNIL

La CNIL, avec la participation active de l’AFCDP (Association française des correspondants à la protection des données), a publié le 2 avril dernier un nouveau référentiel consacré aux durées de conservation des données personnelles dans le cadre de la gestion des ressources humaines. L’objectif de ce document est très concret : aider les employeurs à savoir combien de temps ils peuvent, doivent, ou ne doivent plus conserver certaines données utilisées dans leurs activités RH. Que contient exactement ce référentiel ? Quels repères apporte-t-il sur les principaux traitements RH ? Qu’est-ce que les entreprises doivent désormais revoir dans leurs pratiques ? Définition, exemples concrets et actions à engager : voici ce qu’il faut retenir.

Un référentiel pour aider les employeurs à fixer les bonnes durées de conservation des données RH

Ce référentiel a été conçu comme un outil opérationnel. La CNIL le présente d’ailleurs comme une aide à la décision pour tous les acteurs qui traitent des données de travailleurs. Il ne s’adresse donc pas uniquement aux juristes ou aux DPO : il concerne aussi, très directement, les équipes RH, les responsables paie, les services SIRH ou encore les directions qui pilotent des dispositifs sensibles comme la vidéosurveillance ou la géolocalisation.

Le document couvre les traitements RH les plus fréquents. On y retrouve notamment le recrutement, la gestion administrative du personnel, la gestion des rémunérations, la sécurisation des personnes et des biens, la gestion des véhicules professionnels, l’enregistrement de conversations téléphoniques sur le lieu de travail, les relations collectives de travail, les accidents du travail, les contentieux ou encore les alertes professionnelles.

L’un des éléments les plus utiles du référentiel, c’est sa méthode de lecture. Pour chaque activité, la CNIL distingue d’un côté la durée de conservation en base active, c’est-à-dire la période pendant laquelle les données restent utilisées au quotidien par les équipes opérationnelles, et de l’autre la durée d’archivage intermédiaire, lorsque les données ne servent plus à l’usage courant, mais doivent encore être conservées, par exemple pour répondre à une obligation légale ou se prémunir en cas de contentieux. Cette distinction est essentielle, car elle rappelle qu’une donnée n’a pas vocation à rester indéfiniment “accessible” simplement parce qu’elle peut encore avoir un intérêt ponctuel.

Autre point important : ce référentiel relève du droit dit souple. Il ne crée pas, à lui seul, une nouvelle obligation générale. En revanche, il fixe un cadre très clair. Certaines durées sont imposées par les textes et sont donc obligatoires. D’autres sont recommandées par la CNIL et servent de repères pour déterminer une durée raisonnable et défendable.

Ce que ce référentiel de la CNIL change concrètement pour les professionnels des RH

Il apporte un cadre beaucoup plus clair sur des sujets où beaucoup d’organisations fonctionnent encore avec des pratiques variables selon les outils et les équipes.

Parmi les principaux cas passés au crible par la CNIL, plusieurs exemples méritent d’être regardés de près :

• En recrutement, la CNIL distingue désormais très clairement les deux cas. Pour un candidat retenu, les données du dossier de candidature peuvent être conservées pendant toute la durée de la procédure de recrutement. Pour un candidat non retenu, les données peuvent être conservées 5 ans à compter de la date à laquelle le poste a été pourvu, notamment à des fins probatoires en cas de contentieux lié à une discrimination. Pour les CVthèques, la CNIL rappelle aussi que les données peuvent être conservées jusqu’à 2 ans après le dernier contact avec un candidat non retenu, à condition que son profil présente encore un intérêt pour l’employeur et sauf opposition de sa part ;
  
• Sur le suivi du temps de travail, le référentiel apporte des précisions intéressantes. Les documents utilisés pour contrôler la durée du travail peuvent être conservés en base active jusqu’à l’émission du bulletin de paie correspondant. Ensuite, ils peuvent encore être conservés en archivage intermédiaire, pendant 1 an, ou plus longtemps dans certains cas : par exemple en cas d’aménagement du temps de travail sur une période supérieure à l’année, ou pendant 3 ans pour les salariés au forfait ;
  
• Côté paie, le document distingue plusieurs niveaux de conservation. Les éléments d’identification du salarié utilisés pour la gestion et l’édition des bulletins de paie sont conservés pendant toute la présence du collaborateur dans les effectifs, puis 6 ans glissants après la DSN, sous réserve de contraintes spécifiques. Pour les bulletins de salaire eux-mêmes, la CNIL rappelle qu’ils peuvent rester 1 mois en base active après leur transmission, puis être conservés 5 ans. Dans le cas du bulletin de paie électronique, l’employeur doit en plus garantir leur disponibilité sur une durée bien plus longue, pouvant aller jusqu’à 50 ans ou jusqu’à l’âge de la retraite augmenté de 6 ans ;
  
• Sur la vidéosurveillance, le référentiel est particulièrement clair. Les images peuvent être conservées 1 mois à compter de leur captation. La CNIL précise même que, dans bien des cas, quelques jours suffisent pour effectuer les vérifications nécessaires en cas d’incident. Si une procédure disciplinaire ou pénale est engagée, les images concernées doivent alors être extraites du dispositif et conservées à part, dans un traitement distinct.

Le référentiel va aussi plus loin sur des sujets parfois moins visibles, mais tout aussi sensibles. C’est le cas, par exemple, de la géolocalisation des véhicules professionnels, de l’enregistrement des conversations téléphoniques sur le lieu de travail, des accidents du travail, des contentieux ou encore des alertes professionnelles. 

Ce que les entreprises doivent maintenant revoir

Sans surprise, la cartographie des différents cas RH est la première étape. Recrutement, paie, temps de travail, vidéosurveillance, géolocalisation, alertes professionnelles… tous les traitements qui impliquent des données personnelles doivent désormais être passés au crible avec une question simple : combien de temps ces données sont-elles réellement conservées aujourd’hui, et pour quelle raison ?

Deuxième point : l’organisation doit vérifier ce qui se passe concrètement dans les outils. Entre la règle affichée dans une procédure interne et la réalité dans un ATS, un SIRH, un coffre-fort numérique ou un système de vidéosurveillance, l’écart peut être important. Le référentiel pousse donc les entreprises à regarder non seulement leurs documents de conformité, mais aussi les paramétrages des différentes solutions qu’elles utilisent.

Autre étape importante : distinguer clairement la base active de l’archivage intermédiaire. C’est sans doute l’un des apports les plus pédagogiques du document. Beaucoup d’entreprises conservent encore des données dans les espaces de travail courants alors qu’elles n’ont plus vocation à y rester. Or, une donnée qui n’est plus utilisée au quotidien n’a pas forcément à rester accessible comme si elle l’était encore.

Enfin, une dernière étape : si l’entreprise s’écarte des durées recommandées par la CNIL, elle doit pouvoir l’expliquer. Conserver plus longtemps des données n’est pas impossible, mais cela doit reposer sur une justification claire et défendable.

Ce référentiel n’impose pas seulement de nouvelles vérifications. Il pousse surtout les entreprises à reprendre la main sur un sujet souvent relégué au second plan, alors qu’il touche directement à la conformité, à la sécurité juridique… et à la crédibilité des pratiques RH.

Illustration : Shutterstock / Shutterstock AI & PrimeMockup