​

RGPD et droit social : quelles obligations pour l’employeur ?

Recrutement, paie, contrôle du temps de travail, évaluation professionnelle, vidéosurveillance, télétravail, gestion des absences ou procédures disciplinaires : l’employeur traite quotidiennement un volume considérable de données personnelles concernant ses salariés.

Ces traitements sont nécessaires au fonctionnement de l’entreprise. Ils n’en demeurent pas moins soumis au Règlement général sur la protection des données (RGPD), à la loi Informatique et Libertés et aux règles particulières du droit du travail.

Le croisement entre RGPD et droit social est devenu un enjeu majeur pour les entreprises. Une collecte excessive, une durée de conservation injustifiée ou un dispositif de surveillance disproportionné peuvent entraîner une sanction de la CNIL, mais aussi fragiliser une procédure disciplinaire ou un contentieux prud’homal.

Quelles données l’employeur peut-il collecter ? Comment informer les salariés ? Jusqu’où peut-il contrôler leur activité ? Quelles mesures faut-il mettre en place pour sécuriser les pratiques RH ?

Pourquoi le RGPD occupe-t-il une place centrale dans la gestion des salariés ?

La gestion des ressources humaines implique nécessairement le traitement de données à caractère personnel.

Dès le recrutement, l’entreprise collecte des informations relatives à l’identité, à la formation et à l’expérience professionnelle des candidats. Après l’embauche, elle traite notamment :

• les coordonnées et les informations d’état civil du salarié ;
• son numéro de sécurité sociale et ses données de paie ;
• ses coordonnées bancaires ;
• ses horaires et ses absences ;
• ses évaluations professionnelles ;
• ses demandes de formation ;
• les éventuelles sanctions disciplinaires ;
• certaines données relatives à sa santé ;
• les informations nécessaires au suivi de sa carrière ;
• les traces laissées par l’utilisation des outils informatiques professionnels.

Certaines de ces informations présentent une sensibilité particulière. Il peut s’agir de données de santé, d’informations syndicales, de données biométriques ou encore d’éléments relatifs à une situation de handicap.

L’employeur agit, dans la plupart des cas, en qualité de responsable du traitement. Il lui appartient donc de déterminer pourquoi les données sont collectées, comment elles sont utilisées, qui peut y accéder et pendant combien de temps elles seront conservées.

La conformité ne relève ainsi pas uniquement du service informatique ou du délégué à la protection des données. Elle concerne directement les services RH, la direction juridique, les responsables opérationnels et toute personne appelée à intervenir dans la gestion du personnel.

Quelles règles l’employeur doit-il respecter ?

Déterminer une finalité précise

Chaque traitement doit répondre à un objectif déterminé, explicite et légitime.

La collecte de coordonnées bancaires peut, par exemple, être justifiée par le paiement du salaire. La conservation de justificatifs peut être nécessaire pour satisfaire aux obligations sociales et comptables de l’entreprise. Le suivi des accès à certains locaux peut répondre à un impératif de sécurité.

En revanche, des données ne doivent pas être recueillies pour une éventuelle utilisation future, sans objectif précisément identifié.

Une information initialement collectée pour organiser le travail ne peut pas davantage être réutilisée librement à des fins disciplinaires si cette nouvelle utilisation est incompatible avec la finalité annoncée.

Identifier une base juridique

Tout traitement de données personnelles doit reposer sur une base juridique prévue par le RGPD.

Dans le domaine des ressources humaines, les fondements les plus fréquents sont :

• l’exécution du contrat de travail ;
• le respect d’une obligation légale imposée à l’employeur ;
• l’intérêt légitime de l’entreprise, sous réserve de ne pas porter une atteinte disproportionnée aux droits des salariés ;
• plus exceptionnellement, le consentement de la personne concernée.

Le consentement doit être utilisé avec prudence dans la relation de travail. En raison du lien de subordination, le salarié n’est pas toujours placé dans une situation lui permettant de refuser librement le traitement proposé. Le consentement ne constitue donc pas, par principe, le fondement le plus approprié aux traitements RH courants.

Ne collecter que les données nécessaires

Le principe de minimisation impose à l’employeur de limiter la collecte aux informations strictement utiles à l’objectif poursuivi.

Cette exigence doit être examinée dès la conception d’un formulaire, d’un logiciel RH, d’un processus de recrutement ou d’un dispositif de contrôle.

Lors d’un recrutement, les questions posées doivent ainsi présenter un lien direct et nécessaire avec l’emploi proposé ou l’évaluation des aptitudes professionnelles du candidat. Les informations relatives à sa vie familiale, à ses opinions, à sa santé ou à ses projets personnels ne peuvent pas être recueillies sans justification légitime.

La même vigilance s’impose lorsqu’un outil numérique permet techniquement de collecter beaucoup plus d’informations que celles dont l’entreprise a réellement besoin.

Informer clairement les candidats et les salariés

Les personnes concernées doivent recevoir une information accessible sur :

• l’identité du responsable du traitement ;
• les finalités poursuivies ;
• la base juridique utilisée ;
• les catégories de données collectées ;
• les destinataires de ces données ;
• leur durée de conservation ;
• l’existence d’éventuels transferts hors de l’Union européenne ;
• leurs droits et les modalités permettant de les exercer ;
• la possibilité de saisir la CNIL.

Cette information peut figurer dans une notice destinée aux salariés, dans les formulaires de recrutement, sur l’intranet ou dans une charte informatique. Elle doit toutefois être suffisamment précise et adaptée à chaque traitement.

En droit du travail, l’article L. 1222-4 du Code du travail prévoit en outre qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.

Limiter les accès aux données RH

Les dossiers du personnel ne doivent pas être accessibles à l’ensemble des managers ou des salariés de l’entreprise.

Chaque personne ne doit pouvoir consulter que les informations nécessaires à l’exercice de ses fonctions. Les données relatives à la paie, à la santé, aux sanctions disciplinaires ou aux signalements internes appellent une vigilance renforcée.

L’employeur doit donc prévoir :

• des habilitations individualisées ;
• une authentification suffisamment robuste ;
• une révision régulière des droits d’accès ;
• la suppression rapide des accès devenus inutiles ;
• une traçabilité des consultations les plus sensibles ;
• des mesures particulières pour les dossiers papier et les échanges par courrier électronique.

Combien de temps conserver les données des salariés ?

Les données personnelles ne peuvent pas être conservées indéfiniment.

La durée pertinente dépend de la finalité du traitement, des obligations légales applicables et des délais pendant lesquels l’entreprise peut être conduite à établir ou défendre ses droits en justice.

Il convient généralement de distinguer :

• la base active, dans laquelle les informations sont accessibles pour la gestion courante ;
• l’archivage intermédiaire, réservé aux données qui doivent encore être conservées en raison d’une obligation légale ou d’un risque contentieux ;
• la suppression ou l’anonymisation définitive à l’expiration de la durée utile.

La CNIL a publié en 2026 un nouveau référentiel relatif aux durées de conservation des données de gestion des ressources humaines. Il constitue désormais un outil particulièrement utile pour bâtir une politique de conservation cohérente.

Une entreprise ne doit cependant pas appliquer indistinctement une durée unique à l’intégralité du dossier du salarié. Les bulletins de paie, les candidatures non retenues, les documents disciplinaires, les données de contrôle d’accès et les éléments relatifs au temps de travail ne répondent pas aux mêmes règles.

Surveillance des salariés : jusqu’où l’employeur peut-il aller ?

L’employeur peut contrôler l’activité de ses salariés, mais ce pouvoir n’est pas illimité.

Tout dispositif de contrôle doit être :

• justifié par la nature de la tâche à accomplir ;
• proportionné à l’objectif poursuivi ;
• porté préalablement à la connaissance des salariés ;
• inscrit, lorsqu’il y a lieu, dans le registre des traitements ;
• soumis à l’information et à la consultation préalables du comité social et économique.

Ces règles concernent notamment la vidéosurveillance, la géolocalisation, le contrôle des horaires, l’analyse de la navigation internet, l’accès à la messagerie professionnelle et les logiciels de suivi d’activité.

La surveillance permanente est en principe disproportionnée

Un salarié ne doit pas être placé sous une surveillance permanente, sauf circonstance exceptionnelle précisément démontrée.

La CNIL a notamment sanctionné une entreprise qui utilisait un logiciel comptabilisant les périodes supposées d’inactivité, réalisait des captures d’écran régulières et imposait une captation vidéo continue de certains salariés. Une telle surveillance portait une atteinte excessive à leur vie privée.

Les employeurs doivent être particulièrement prudents face aux outils permettant :

• l’enregistrement systématique des frappes au clavier ;
• la prise répétée de captures d’écran ;
• l’activation permanente d’une caméra ;
• l’enregistrement continu des conversations ;
• la mesure automatique du temps d’inactivité ;
• l’établissement d’un score individuel de productivité.

La possibilité technique d’activer une fonctionnalité ne signifie pas que son utilisation est juridiquement licite.

Messagerie professionnelle et fichiers personnels

Les messages et fichiers créés au moyen de l’outil professionnel sont, en principe, présumés avoir un caractère professionnel, sauf s’ils sont clairement identifiés comme personnels.

L’employeur doit respecter le caractère privé des messages ou dossiers ainsi identifiés. Leur ouverture ou leur utilisation peuvent porter atteinte au secret des correspondances et à la vie privée du salarié.

La charte informatique doit expliquer clairement les conditions d’utilisation des outils professionnels, les contrôles susceptibles d’être réalisés et la manière dont le salarié peut identifier ses contenus personnels.

Recrutement, algorithmes et intelligence artificielle : de nouveaux risques

Le recours à des outils d’intelligence artificielle dans le recrutement et la gestion des carrières accroît encore les enjeux liés aux données personnelles.

Tri automatisé des candidatures, analyse vidéo d’un entretien, évaluation comportementale, classement des salariés ou recommandation d’une mobilité : ces dispositifs peuvent produire des décisions opaques, reproduire des biais ou conduire à collecter des informations excessives.

Avant de déployer un tel outil, l’employeur doit notamment vérifier :

• les données réellement utilisées par le système ;
• leur origine et leur fiabilité ;
• les critères pris en compte par l’algorithme ;
• l’existence d’un risque de discrimination ;
• les conditions de réutilisation des données par le prestataire ;
• la localisation des données et les éventuels transferts internationaux ;
• la possibilité d’une intervention humaine réelle ;
• la nécessité de réaliser une analyse d’impact relative à la protection des données.

La conformité au RGPD doit, par ailleurs, être articulée avec les exigences issues du règlement européen sur l’intelligence artificielle, notamment lorsque l’outil est utilisé pour le recrutement, la sélection des candidats ou certaines décisions affectant la relation de travail.

Quels sont les droits des salariés ?

Le salarié conserve l’ensemble des droits reconnus par le RGPD. Il peut notamment demander :

• l’accès à ses données ;
• la rectification d’informations inexactes ;
• l’effacement de certaines données ;
• la limitation d’un traitement ;
• l’opposition à certains traitements ;
• la communication d’informations sur une décision automatisée.

Le droit d’accès peut porter sur des données contenues dans les courriels professionnels, dès lors qu’elles concernent le salarié demandeur.

Cette faculté est désormais fréquemment utilisée en amont ou au cours d’un contentieux prud’homal. La réponse de l’employeur doit respecter les délais prévus par le RGPD, tout en protégeant les droits des tiers, le secret des affaires et la confidentialité des correspondances qui ne concernent pas le demandeur.

Les demandes d’accès ne doivent donc pas être traitées comme de simples demandes informatiques. Elles nécessitent souvent une analyse conjointe du droit des données personnelles et de la stratégie contentieuse sociale.

Quels risques l’entreprise encourt-elle ?

Les manquements au RGPD peuvent entraîner des conséquences multiples.

La CNIL peut prononcer une mise en demeure, ordonner la limitation ou la cessation d’un traitement et infliger une amende administrative. Pour les manquements les plus graves, le RGPD prévoit une sanction pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

À ce risque administratif s’ajoutent notamment :

• une action en réparation engagée par un salarié ;
• un contentieux relatif à l’atteinte à la vie privée ;
• des sanctions pénales dans certaines situations ;
• une intervention de l’inspection du travail ;
• une action du comité social et économique ou d’une organisation syndicale ;
• une dégradation du climat social et de la réputation de l’entreprise.

La non-conformité peut également affecter un contentieux individuel. Un dispositif de contrôle irrégulier peut fragiliser les éléments de preuve recueillis par l’employeur. Leur recevabilité n’est toutefois plus appréciée de manière systématiquement binaire : le juge met notamment en balance le droit à la preuve et les droits fondamentaux du salarié, en vérifiant si la production de l’élément était indispensable et proportionnée.

Cette évolution ne dispense aucunement l’employeur d’organiser des dispositifs licites. Elle souligne au contraire l’importance d’anticiper leur justification et leur encadrement.

Comment mettre l’entreprise en conformité avec le RGPD en matière sociale ?

Une démarche efficace peut être organisée autour de dix actions prioritaires.

1. Cartographier les traitements RH

L’entreprise doit recenser les données collectées depuis le recrutement jusqu’au départ du salarié : origine, finalité, destinataires, logiciels utilisés, durées de conservation et éventuels transferts hors de l’Union européenne.

2. Mettre à jour le registre des traitements

Les traitements relatifs aux candidats, à la paie, aux formations, aux évaluations, au temps de travail, aux contrôles d’accès ou aux procédures disciplinaires doivent être correctement documentés.

3. Vérifier les bases juridiques

Chaque traitement doit être rattaché à une base juridique adaptée. La référence systématique au consentement du salarié doit être évitée lorsqu’un autre fondement est plus pertinent.

4. Revoir les notices d’information

Les candidats et les salariés doivent recevoir une information claire, complète et facilement accessible. Cette documentation doit correspondre aux pratiques réellement mises en œuvre.

5. Définir une politique de conservation

Un tableau de conservation doit préciser, pour chaque catégorie de documents, la durée en base active, la durée d’archivage intermédiaire et les modalités de suppression.

6. Encadrer les outils de contrôle

Chaque dispositif de vidéosurveillance, de géolocalisation ou de suivi numérique doit faire l’objet d’une analyse de nécessité et de proportionnalité. Les salariés et le CSE doivent être informés ou consultés lorsque les textes l’exigent.

7. Sécuriser les données sensibles

Les habilitations doivent être limitées, les accès régulièrement contrôlés et les échanges contenant des données sensibles protégés. Une procédure doit également prévoir la gestion des violations de données.

8. Auditer les prestataires RH

Les contrats conclus avec les éditeurs de logiciels, cabinets de recrutement, prestataires de paie, plateformes de formation ou solutions d’intelligence artificielle doivent préciser leurs obligations en matière de confidentialité, de sécurité, de sous-traitance, de conservation et de restitution des données.

9. Organiser l’exercice des droits

L’entreprise doit disposer d’une procédure permettant d’identifier, d’instruire et de traiter rapidement les demandes des salariés, notamment lorsque celles-ci portent sur des volumes importants de courriels ou de documents.

10. Former les équipes

Les services RH, managers et responsables informatiques doivent être sensibilisés aux bons réflexes : limiter les données collectées, éviter les commentaires subjectifs, sécuriser les transmissions et signaler rapidement tout incident.

RGPD et droit social : une conformité nécessairement transversale

La conformité des traitements RH ne peut pas reposer sur une documentation standard déconnectée des pratiques de l’entreprise.

Elle suppose une analyse croisée du droit de la protection des données, du droit du travail, des outils numériques utilisés et des contraintes opérationnelles. Cette approche est particulièrement importante lors de la mise en place d’un dispositif de contrôle, de l’acquisition d’un nouvel outil RH, d’une réorganisation, d’une enquête interne ou d’un contentieux avec un salarié.

Un audit ciblé permet d’identifier les traitements les plus risqués, de hiérarchiser les corrections nécessaires et de bâtir un plan de mise en conformité adapté à la taille et à l’activité de l’entreprise.

Les équipes Droit social et RGPD & nouvelles technologies d’ARST Avocats accompagnent les employeurs dans l’audit de leurs pratiques, la rédaction de leur documentation, la consultation du CSE, l’encadrement des dispositifs de contrôle et la gestion des contentieux liés aux données personnelles des salariés.

Auteurs : Chaouki Gaddada et Morgan Jamet