RGPD et gestion des ressources humaines : 6 pièges incontournables à éviter – Mon Expert RGPD

Six pièges reviennent systématiquement dans les dossiers RH, quel que soit le secteur ou la taille de la structure. Un DPO externe qui accompagne plusieurs PME en parallèle finit par reconnaître les mêmes erreurs, presque à l’identique, d’une entreprise à l’autre : registre incomplet, durées de conservation jamais révisées, accès SIRH mal cloisonnés, recours à l’IA sans cadrage, droits des salariés traités à la légère, sous-traitants jamais audités. Ces dysfonctionnements ne sont pas exotiques, ils sont structurels : la fonction RH concentre des données personnelles particulièrement sensibles, souvent sans que les équipes en mesurent la portée juridique.

Ce constat n’a rien d’anecdotique. Les contrôles de la CNIL sur le volet social se sont multipliés ces deux dernières années, et les sanctions liées aux traitements RH figurent parmi les plus fréquentes, loin devant certains secteurs pourtant considérés comme plus exposés. La raison est simple : un responsable RH jongle avec des bulletins de paie, des données de santé, des évaluations de performance et des historiques de recrutement, souvent dispersés entre plusieurs outils qui ne dialoguent pas entre eux. Cette fragmentation crée un terrain propice aux erreurs.

L’arrivée de l’intelligence artificielle dans les processus de recrutement complique encore la donne. Les outils de scoring, les chatbots d’entretien et les ATS enrichis en IA générative multiplient les points d’entrée où une donnée peut fuiter ou être traitée sans base légale claire. Le sujet n’est donc plus seulement une question de conformité administrative, mais un enjeu opérationnel qui touche directement à la crédibilité de la fonction RH.

Le registre des traitements RH : le piège numéro un dans presque tous les audits

Sur les six clients PME suivis en parallèle par un même DPO externe, quatre n’avaient, au premier rendez-vous, aucun registre RH structuré. Pas d’absence totale de documentation, mais des fichiers Excel disparates, tenus par différentes personnes, jamais mis à jour depuis leur création. C’est le symptôme classique d’une conformité RGPD pensée comme un projet ponctuel plutôt que comme un processus vivant.

Le registre des traitements n’est pas un exercice bureaucratique isolé : il conditionne tout le reste. Sans lui, impossible de prouver une base légale en cas de contrôle, impossible de documenter une durée de conservation, impossible de répondre correctement à une demande de droit d’accès. C’est la pierre angulaire, et pourtant c’est souvent la première chose négligée dès que la charge de travail RH augmente.

Pourquoi les PME abandonnent leur registre après quelques mois

Le problème n’est presque jamais l’absence de volonté. Il vient du format choisi au départ : un tableur générique, sans lien avec les outils métier réels, que personne ne pense à mettre à jour lors de l’arrivée d’un nouveau logiciel de paie ou d’un nouvel ATS. Le registre devient obsolète en quelques mois, et personne ne s’en aperçoit avant le contrôle ou l’incident.

La bonne pratique consiste à intégrer la mise à jour du registre dans le processus d’onboarding de tout nouvel outil RH. Chaque fois qu’un logiciel de gestion des talents ou une solution de paie est déployé, la fiche de traitement correspondante doit être créée avant même la mise en production. Ce réflexe, simple sur le papier, change complètement la robustesse d’un dossier de conformité lors d’un audit.

Documenter la base légale, poste par poste

Un autre écueil classique consiste à indiquer une base légale générique pour l’ensemble des traitements RH, sans distinction. Or l’exécution du contrat de travail justifie la gestion de la paie, mais pas nécessairement la mise en place d’un outil de géolocalisation ou d’un système de notation comportementale, qui relèvent plutôt de l’intérêt légitime, avec une analyse de proportionnalité à documenter. Ce niveau de granularité est précisément ce que recherchent les guides spécialisés, à l’image de celui proposé par ce guide complet sur les obligations RGPD en RH, qui détaille traitement par traitement les bases légales applicables.

Durées de conservation des données RH : l’erreur silencieuse qui coûte cher

Voici un piège que l’on retrouve presque systématiquement dans les dossiers du personnel : des CV non retenus conservés depuis six ou sept ans, des dossiers d’anciens salariés jamais purgés, des bulletins de paie archivés sans limite définie. Ce n’est pas de la négligence volontaire, c’est simplement l’absence d’un calendrier de purge automatisé.

Les durées de conservation recommandées sont pourtant assez claires et documentées : deux ans maximum pour un CV non retenu, cinq ans après le départ pour la majorité des documents du dossier du personnel, des durées spécifiques pour les données de santé encadrées par le code du travail. Le référentiel de la CNIL sur les durées RH, régulièrement actualisé, sert de base à ces recommandations, et un DPO externe l’utilise systématiquement comme point de départ lors d’un premier audit.

Type de donnée RH	Durée de conservation recommandée	Point de vigilance
CV et candidatures non retenues	2 ans maximum	Purge automatique à programmer dans l’ATS
Dossier du personnel	5 ans après le départ du salarié	Archivage distinct de la base active
Bulletins de paie	Durée légale spécifique, hors registre courant	Ne pas confondre archivage légal et conservation active
Données de santé et médecine du travail	Encadrement strict, accès restreint	Accès réservé aux personnes habilitées uniquement
Évaluations de performance	3 ans en moyenne, selon la politique interne	Documenter la finalité précise dès la mise en place

Ce tableau, une fois adapté au contexte de chaque client, devient un outil de pilotage concret. Un template unique, réutilisé et ajusté d’une PME à l’autre, permet de gagner un temps considérable lors des missions d’audit successives, sans jamais repartir d’une feuille blanche.

Automatiser la purge plutôt que compter sur la mémoire humaine

La plupart des SIRH modernes proposent désormais des fonctions de purge automatique, mais elles sont rarement activées par défaut. C’est souvent le paramétrage le plus rapide à corriger lors d’une mission, et l’un des plus rentables en termes de réduction du risque. Un audit RGPD digne de ce nom doit systématiquement vérifier si cette fonctionnalité existe et si elle est réellement activée, pas seulement disponible dans la documentation technique de l’éditeur.

Le guide publié sur la protection des données salariés rappelle utilement que la conservation excessive n’est pas seulement un risque juridique : c’est aussi une surface d’attaque supplémentaire en cas de fuite, puisque plus le volume de données stockées est important, plus l’impact d’un incident de sécurité est lourd.

Sécuriser les accès SIRH et la paie : l’angle mort de la sécurité des données

Troisième piège récurrent : la gestion des accès. Il n’est pas rare de découvrir, lors d’un audit, qu’un stagiaire dispose des mêmes droits qu’un gestionnaire de paie senior, ou qu’un manager opérationnel peut consulter les arrêts maladie de toute son équipe sans que cela soit justifié par sa fonction. Ces situations passent inaperçues pendant des années, jusqu’au jour où un incident révèle l’ampleur du problème.

La sécurité des données RH repose sur un principe simple à énoncer, mais difficile à maintenir dans la durée : le moindre privilège. Chaque collaborateur ne doit accéder qu’aux données strictement nécessaires à sa mission. Concrètement, cela suppose une matrice des droits d’accès, révisée à chaque changement de poste, et pas seulement lors de l’arrivée d’un nouveau salarié.

• Cartographier précisément qui accède à quoi dans le SIRH, la paie et les dossiers partagés.
• Révoquer systématiquement les accès lors d’un changement de poste ou d’un départ, sans délai.
• Journaliser les consultations de données sensibles pour garder une traçabilité exploitable.
• Interdire le partage de fichiers salariés par messagerie non sécurisée.
• Chiffrer les données au repos et en transit, y compris sur les postes nomades des équipes RH.

Cette liste, appliquée avec constance, réduit considérablement l’exposition d’une PME aux risques RGPD les plus fréquents. Elle constitue également l’un des premiers points vérifiés lors d’un audit RGPD, car elle révèle souvent, en creux, la maturité globale de l’organisation sur le sujet.

Le cas des outils collaboratifs et des mots de passe partagés

Un cas fréquent illustre bien la limite de la vigilance interne : des équipes RH qui partagent un mot de passe unique pour accéder à un outil de paie, faute de licences individuelles suffisantes. Cette pratique, présentée comme temporaire, s’installe souvent durablement. Elle rend impossible toute traçabilité individuelle et complique fortement la réponse en cas de violation de données. Les recommandations détaillées dans ce guide sur la gestion des mots de passe apportent des solutions concrètes, directement applicables sans investissement lourd.

Recrutement assisté par IA : les nouveaux risques que les DRH sous-estiment

Depuis l’adoption de l’AI Act et son classement des systèmes de recrutement automatisé parmi les usages à haut risque, la donne a changé pour les équipes RH qui utilisent des ATS enrichis en intelligence artificielle. Le problème n’est plus théorique : un chatbot de présélection qui accède à des notes internes, un outil de scoring qui apprend sur un historique biaisé, un prompt copié-collé dans un assistant externe contenant des données identifiantes. Ces situations arrivent quotidiennement, souvent sans que personne n’en ait conscience.

Le premier réflexe à installer chez un client PME consiste à cartographier précisément les usages de l’IA dans le processus de recrutement, avant même de parler de conformité formelle. Quels outils sont utilisés, quelles données y transitent, qui les a validés ? Cette cartographie révèle presque toujours des usages informels, initiés par un recruteur ou un manager sans passer par la DSI ni par le DPO.

Le biais algorithmique, un risque juridique concret

L’article 22 du RGPD encadre strictement les décisions entièrement automatisées ayant un effet significatif sur une personne. En recrutement, cela signifie qu’un algorithme peut assister une décision, mais qu’un humain doit conserver la capacité réelle de la contredire. Un cas fréquent : un outil de tri qui écarte automatiquement des candidatures sur des critères non documentés, sans qu’aucun recruteur ne revoie les profils rejetés. C’est exactement le type de configuration qui expose l’entreprise à un contentieux, en particulier si un candidat écarté conteste la décision.

Pour approfondir ce sujet, la ressource consacrée à l’éthique et le RGPD dans les usages de l’IA en RH détaille précisément les quatre pièges majeurs identifiés dans ce type de dossier, avec des exemples issus de cas réels de PME et de grands groupes.

Encadrer le prompting avant qu’il ne devienne un incident

Beaucoup d’incidents naissent d’un usage jugé anodin : copier-coller une évaluation de performance dans un assistant IA externe pour en obtenir une synthèse plus rapide. Le problème, c’est que cette donnée transite alors par un service tiers dont les conditions d’utilisation ne garantissent pas toujours la confidentialité attendue. Une charte IA interne, même courte, change immédiatement la donne en fixant des règles claires sur ce qui peut ou ne peut pas transiter par ces outils.

Le guide dédié à l’intelligence artificielle et la conformité RGPD propose un cadre pratique pour structurer cette gouvernance, sans bloquer l’innovation ni ralentir les équipes recrutement.

Droits des salariés et audit des sous-traitants RH : les deux angles morts finaux

Le cinquième piège concerne la gestion des demandes de droits : accès, rectification, effacement, portabilité. Sur le papier, les procédures existent souvent. Dans les faits, elles sont rarement testées, et une demande réelle prend l’équipe RH au dépourvu, avec des délais de réponse qui dépassent largement le mois légal. Ce délai dépassé constitue à lui seul un motif de plainte auprès de la CNIL, indépendamment du fond de la demande.

Un bon réflexe consiste à simuler une demande de droit d’accès une fois par an, comme on ferait un exercice incendie. Cela révèle immédiatement les failles du processus : qui reçoit la demande, qui la traite, dans quel délai, avec quelle traçabilité. Ces simulations, peu coûteuses à organiser, évitent des situations bien plus problématiques le jour où un ancien salarié en conflit avec l’entreprise exerce réellement ce droit.

Le dernier maillon souvent oublié : les sous-traitants RH

Éditeur de SIRH, cabinet de paie externalisé, prestataire de recrutement, plateforme de formation : chaque PME accompagnée travaille avec plusieurs sous-traitants qui manipulent des données personnelles sensibles. Or l’audit de ces prestataires reste, dans la majorité des cas, la dernière étape traitée, quand elle n’est pas simplement oubliée.

Vérifier l’existence d’un DPA solide, s’assurer de la localisation européenne de l’hébergement, contrôler une éventuelle certification ISO 27001 : ces trois points suffisent déjà à éliminer une grande partie du risque contractuel. Le guide consacré aux obligations pratiques liées aux données RH détaille précisément les clauses à exiger dans ces contrats, un point que beaucoup de PME découvrent trop tard, souvent à l’occasion d’un incident chez le prestataire lui-même.

Ces six pièges partagent un point commun : aucun n’exige un investissement technologique majeur pour être corrigé. Ils demandent surtout de la méthode, de la constance, et un regard extérieur capable de repérer ce que l’habitude finit toujours par masquer. C’est précisément ce que recherchent les responsables RH lorsqu’ils font appel à un accompagnement spécialisé, plutôt qu’une simple checklist générique téléchargée en ligne.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Un DPO externe est-il obligatoire pour une PME en ressources humaines ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, la du00e9signation d’un DPO n’est obligatoire que si l’entreprise traite des donnu00e9es u00e0 grande u00e9chelle ou des catu00e9gories particuliu00e8res de donnu00e9es de maniu00e8re systu00e9matique. En revanche, de nombreuses PME choisissent un accompagnement externe pour bu00e9nu00e9ficier d’une expertise ponctuelle sans supporter le cou00fbt d’un poste u00e0 temps plein. »}},{« @type »: »Question », »name »: »Combien de temps conserver un CV non retenu selon le RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La recommandation habituelle est de deux ans maximum apru00e8s le dernier contact avec le candidat, sauf accord explicite de ce dernier pour une conservation prolongu00e9e en vue de futures opportunitu00e9s. »}},{« @type »: »Question », »name »: »Un outil d’IA utilisu00e9 pour trier des CV doit-il u00eatre du00e9claru00e9 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Il doit surtout u00eatre documentu00e9 dans le registre des traitements et faire l’objet d’une analyse de risque, en particulier si le classement issu de l’IA a un impact direct sur la du00e9cision de recrutement, ce qui relu00e8ve des systu00e8mes u00e0 haut risque selon l’AI Act. »}},{« @type »: »Question », »name »: »Que risque une entreprise en cas de fuite de donnu00e9es de paie ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Au-delu00e0 de l’amende potentielle de la CNIL, l’entreprise s’expose u00e0 une obligation de notification aux personnes concernu00e9es, u00e0 une perte de confiance des salariu00e9s et u00e0 un risque ru00e9putationnel souvent plus cou00fbteux u00e0 long terme que la sanction elle-mu00eame. »}},{« @type »: »Question », »name »: »Faut-il auditer chaque prestataire SIRH mu00eame pour une petite structure ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, la taille de l’entreprise ne ru00e9duit pas le risque juridique liu00e9 u00e0 un sous-traitant du00e9faillant. Un audit contractuel simple, portant sur le DPA, l’hu00e9bergement et les mesures de su00e9curitu00e9, suffit gu00e9nu00e9ralement pour une PME. »}}]}

Un DPO externe est-il obligatoire pour une PME en ressources humaines ?

Non, la désignation d’un DPO n’est obligatoire que si l’entreprise traite des données à grande échelle ou des catégories particulières de données de manière systématique. En revanche, de nombreuses PME choisissent un accompagnement externe pour bénéficier d’une expertise ponctuelle sans supporter le coût d’un poste à temps plein.

Combien de temps conserver un CV non retenu selon le RGPD ?

La recommandation habituelle est de deux ans maximum après le dernier contact avec le candidat, sauf accord explicite de ce dernier pour une conservation prolongée en vue de futures opportunités.

Un outil d’IA utilisé pour trier des CV doit-il être déclaré ?

Il doit surtout être documenté dans le registre des traitements et faire l’objet d’une analyse de risque, en particulier si le classement issu de l’IA a un impact direct sur la décision de recrutement, ce qui relève des systèmes à haut risque selon l’AI Act.

Que risque une entreprise en cas de fuite de données de paie ?

Au-delà de l’amende potentielle de la CNIL, l’entreprise s’expose à une obligation de notification aux personnes concernées, à une perte de confiance des salariés et à un risque réputationnel souvent plus coûteux à long terme que la sanction elle-même.

Faut-il auditer chaque prestataire SIRH même pour une petite structure ?

Oui, la taille de l’entreprise ne réduit pas le risque juridique lié à un sous-traitant défaillant. Un audit contractuel simple, portant sur le DPA, l’hébergement et les mesures de sécurité, suffit généralement pour une PME.