Nexity SA : Conformité RGPD et gestion des ressources humaines

Nexity SA gère plus de 8 000 collaborateurs répartis sur une centaine d’entités juridiques distinctes, un maillage qui transforme chaque décision RH en enjeu de conformité RGPD. Du recrutement à l’archivage post-rupture de contrat, les données personnelles des salariés circulent entre paie, mutuelle, formation et outils de suivi de carrière. Ce volume d’informations, multiplié par le nombre d’entités, crée un terrain propice aux erreurs de saisie, aux doublons et aux oublis de purge.

Le groupe a dû reconstruire sa gouvernance des données pour répondre à une double contrainte : rester opérationnel malgré la complexité organisationnelle, et garantir aux salariés l’exercice réel de leurs droits. Cette mise en conformité illustre un cas d’école pour toute PME industrielle ou de services qui découvre, souvent tardivement, qu’elle traite des données personnelles sensibles bien au-delà de la simple fiche de paie. Les leviers mobilisés par Nexity SA, centralisation des registres, digitalisation des demandes de droits, tableaux de bord groupe, sont transposables à des structures beaucoup plus modestes.

En bref

• Le RGPD s’applique à toute donnée liée aux salariés, candidats, stagiaires et anciens collaborateurs, sans exception de taille d’entreprise.
• La minimisation impose de ne collecter que les informations strictement nécessaires à une finalité RH précise (paie, formation, carrière).
• Les durées de conservation sont encadrées par la CNIL : 2 ans pour un CV non retenu, jusqu’à 50 ans pour un bulletin de paie.
• Les demandes d’accès ou de rectification doivent recevoir une réponse sous 30 jours, sous peine de contentieux prud’homal.
• Le registre des traitements et, dans certains cas, l’analyse d’impact (AIPD) restent des obligations documentaires incontournables.
• La centralisation multi-entités, comme celle opérée par Nexity SA avec Witik, réduit les erreurs de saisie et accélère le traitement des droits.

Nexity SA est-elle réellement concernée par le RGPD dans sa gestion RH ?

La réponse est oui, sans aucune marge d’interprétation. Dès qu’une entreprise emploie du personnel, elle traite des données personnelles au sens de l’article 4 du RGPD. Nexity SA, avec ses cent entités et ses milliers de dossiers salariés, illustre à grande échelle une réalité que rencontre aussi la moindre PME de dix salariés.

Le périmètre couvre le recrutement, la paie, la formation, l’évaluation annuelle, la gestion des badges et même la géolocalisation des véhicules de service. Chaque flux de données doit être identifié, justifié et documenté. Un service RH qui utilise un tableau Excel partagé sans contrôle d’accès est déjà en situation de risque.

Le groupe a d’ailleurs formalisé ses engagements dans un code de déontologie qui pose l’intégrité et la transparence comme piliers de sa relation avec les collaborateurs et partenaires. Cette démarche dépasse la simple case à cocher réglementaire : elle nourrit directement la marque employeur.

Un candidat ou un salarié qui perçoit une gestion rigoureuse de ses informations personnelles fait davantage confiance à l’entreprise. Vérifiez dès maintenant si votre organigramme RH a identifié un référent conformité, même informel, pour porter ce sujet en interne.

Quelles données RH Nexity SA peut-elle collecter sans enfreindre le principe de minimisation ?

Le principe de minimisation, posé par l’article 5 du RGPD, interdit toute collecte « au cas où ». Chaque champ d’un formulaire de recrutement doit correspondre à une finalité explicite et documentée. Demander l’ancienne adresse d’un candidat ou son numéro de sécurité sociale dès la candidature dépasse ce cadre.

Le cas des données sensibles en entreprise industrielle

L’article 9 du RGPD interdit par défaut le traitement des données de santé, d’origine ou d’opinions politiques. Une PME industrielle qui gère des visites médicales obligatoires ou des aménagements de poste pour raisons de handicap manipule pourtant ce type de données sensibles.

Ces exceptions restent strictement encadrées et nécessitent des mesures de sécurité renforcées : chiffrement de bout en bout, accès réservé au personnel médical interne. Un guide détaillé sur les obligations et bonnes pratiques RGPD en ressources humaines rappelle que ces données ne doivent jamais transiter par des canaux non sécurisés comme la messagerie personnelle.

Un exemple concret de dérive à corriger

Imaginez un service RH qui conserve, dans un même dossier partagé, les résultats d’entretiens annuels et les certificats médicaux d’un salarié. Cette absence de cloisonnement expose l’entreprise à une sanction en cas de contrôle. La séparation stricte des flux, avec des habilitations différenciées, reste la seule réponse durable.

Auditez dès cette semaine vos formulaires de collecte RH pour supprimer tout champ dont la finalité n’est pas immédiatement justifiable.

Combien de temps Nexity SA peut-elle conserver les données de ses salariés ?

La conservation indéfinie des dossiers d’anciens collaborateurs constitue l’une des erreurs les plus répandues en gestion RH. La CNIL fixe des durées précises selon la nature du document, et leur non-respect expose à des sanctions lors d’un audit RGPD.

Type de donnée	Durée de conservation	Point de départ
CV d’un candidat non retenu	2 ans	Dernier contact avec le candidat
Dossier du salarié en poste	Durée du contrat	Signature du contrat
Archivage pour action en responsabilité civile	5 ans	Fin du contrat de travail
Bulletins de paie (droits à la retraite)	50 ans	Émission du bulletin

Pour une organisation comme Nexity SA, qui gère une centaine d’entités, appliquer manuellement ces délais relève de la mission impossible. C’est précisément ce type de complexité qui a poussé le groupe à automatiser ses cycles de vie de données via des scripts d’anonymisation intégrés au système d’information RH.

Une PME de taille plus modeste peut s’appuyer sur les mêmes principes sans nécessairement investir dans un outil coûteux. Un tableau de suivi simple, mis à jour trimestriellement, suffit souvent à sécuriser les premières années de mise en conformité. Un article de référence sur la gestion RGPD des ressources humaines détaille d’ailleurs les grilles de durées applicables selon les secteurs.

Programmez dès maintenant une purge annuelle des dossiers RH obsolètes dans votre calendrier de gestion.

Comment garantir la sécurité des informations RH face aux risques d’accès non autorisés ?

La DRH décide qui doit accéder à quoi, mais c’est la DSI qui garantit l’étanchéité technique du système. Cette répartition des responsabilités reste souvent floue dans les structures de taille intermédiaire, ce qui crée des failles.

Le principe du moindre privilège appliqué au quotidien

Un gestionnaire de paie n’a aucune raison d’accéder aux comptes-rendus d’entretiens annuels, et réciproquement. Cette segmentation des accès repose sur deux dispositifs complémentaires : le Single Sign-On et l’authentification multifacteur.

• Le SSO centralise l’authentification et simplifie la révocation des droits lors d’un départ.
• La double authentification protège les comptes contre les tentatives d’usurpation.
• Les journaux d’événements permettent de savoir qui a consulté ou modifié un dossier sensible.
• Le chiffrement des bases de données réduit l’impact d’une éventuelle fuite.

L’article 32 du RGPD impose formellement cette traçabilité. En cas de contrôle de la CNIL ou d’incident de sécurité, l’entreprise doit pouvoir démontrer qui a modifié un RIB ou consulté un dossier confidentiel. L’absence de journalisation aggrave systématiquement la sanction encourue.

Le rôle du privacy by design dans les outils RH modernes

Les solutions RH récentes intègrent nativement le principe de privacy by design : la protection des données est pensée dès la conception du logiciel, et non ajoutée après coup. Un article détaillé sur les systèmes RH conformes au RGPD souligne l’importance de choisir des éditeurs qui documentent clairement leurs mesures de sécurité.

Testez dès aujourd’hui vos propres identifiants sur votre SIRH pour vérifier si la double authentification y est réellement activée.

Quels droits les employés de Nexity SA peuvent-ils exercer sur leurs données personnelles ?

Le RGPD donne aux salariés un pouvoir direct sur leurs propres informations. Ils sont considérés comme des personnes concernées, disposant de droits d’accès, de rectification, d’effacement et d’opposition.

Dès l’embauche, l’employeur doit informer chaque collaborateur de l’identité du responsable de traitement, de la finalité exacte des traitements, de la durée de conservation appliquée et des destinataires des données, qu’il s’agisse des organismes sociaux ou de la mutuelle d’entreprise. Cette information figure généralement dans une clause du contrat de travail ou dans une charte informatique dédiée.

La gestion des droits des employés nécessite une procédure claire et documentée. La CNIL fixe un délai de réponse de 30 jours pour toute demande d’accès ou de rectification. Passé ce délai, l’entreprise s’expose à un signalement, voire à un contentieux devant le conseil de prud’hommes.

Pour un groupe de la taille de Nexity SA, le nombre croissant de demandes rendait la gestion manuelle intenable. La digitalisation du traitement des demandes de droits a permis de dupliquer des formulaires standardisés et de centraliser chaque requête, offrant une vision consolidée à l’échelle du groupe. Cette industrialisation du processus a réduit les erreurs et amélioré la traçabilité des réponses apportées.

Rédigez, si ce n’est pas déjà fait, une procédure interne écrite décrivant les étapes de traitement d’une demande de droit en moins de 30 jours.

Le registre des traitements et l’analyse d’impact sont-ils vraiment obligatoires pour la RH ?

L’article 30 du RGPD impose la tenue d’un registre des activités de traitement, document pivot de toute démarche de conformité. Il doit recenser l’ensemble des fichiers gérés par le service RH : paie, recrutement, badges, vidéosurveillance, gestion des carrières.

Pour les traitements présentant un risque élevé, comme l’usage d’une intelligence artificielle de tri des candidatures ou la surveillance continue de l’activité, une analyse d’impact relative à la protection des données devient obligatoire. Ce document technique et juridique, co-rédigé par le DPO, la DRH et la DSI, évalue les risques et définit des mesures correctrices adaptées.

Nexity SA a dû reconstruire une vue consolidée de son registre sur cent entités, un exercice rendu impossible par son outil précédent, insuffisamment adapté aux enjeux multi-structures. La mise en conformité RGPD des processus RH passe désormais par des tableaux de bord groupe et des fonctionnalités d’export facilitant la communication avec les parties prenantes externes, y compris les auditeurs.

Un tel registre ne se rédige pas une fois pour toutes : il vit au rythme des nouveaux outils déployés, des changements d’organisation et des évolutions réglementaires. Les rapports financiers et publications du groupe, consultables via les publications officielles de Nexity, témoignent d’ailleurs de cette exigence de transparence documentaire à grande échelle.

Ouvrez dès cette semaine un document unique recensant tous les traitements RH de votre structure, même sous forme de tableau simple.

Comment Nexity SA a-t-elle résolu ses problèmes de conformité multi-entités ?

Face à la dispersion de ses cent entités, Nexity SA a fait le choix d’une solution dédiée, Witik, pour centraliser l’ensemble de ses données de conformité. Les registres, les tiers et les applications ont été repris et intégrés dans un système unique après un processus de nettoyage des données.

Cette centralisation a offert une meilleure visibilité sur les enjeux réglementaires et une base solide pour la prise de décisions au niveau de la direction. Le gain de temps sur la saisie et la mise à jour des registres a permis de libérer des ressources précieuses, auparavant absorbées par des tâches manuelles répétitives.

Le groupe a également collaboré avec Didomi pour combiner gestion des données personnelles et respect des directives de la CNIL, comme le détaille le retour d’expérience sur la collaboration entre Nexity et Didomi. Cette coordination entre équipes juridiques et digitales a permis d’atteindre une conformité jugée totale par les équipes internes.

Les enseignements de ce cas dépassent le seul secteur immobilier. Toute PME multi-sites ou multi-filiales peut s’inspirer de cette logique : centraliser d’abord, automatiser ensuite, documenter en continu. Le retour d’expérience complet est détaillé dans ce dossier sur la conformité RGPD appliquée aux ressources humaines, utile pour comparer les approches sectorielles.

Identifiez, si votre structure comporte plusieurs sites, l’outil ou la méthode qui vous permettrait de fusionner vos registres épars en une seule source de vérité.

Quels risques financiers et juridiques Nexity SA encourrait-elle en cas de manquement RGPD ?

Le non-respect du RGPD expose à des sanctions financières pouvant atteindre 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros, selon le montant le plus élevé. Pour un groupe de la taille de Nexity SA, l’impact potentiel se chiffrerait en dizaines de millions d’euros.

Au-delà de l’amende, le risque réputationnel reste souvent sous-estimé. Une fuite de données RH touchant des milliers de salariés génère une perte de confiance durable, tant en interne qu’auprès des candidats potentiels. La marque employeur, longue à construire, se fragilise en quelques jours face à un incident médiatisé.

Les contentieux individuels constituent un second front. Un salarié qui n’obtient pas de réponse à sa demande d’accès dans le délai légal peut saisir la CNIL ou porter l’affaire devant les prud’hommes. Ces procédures, même isolées, coûtent du temps de gestion et nuisent au climat social.

Un guide pratique sur les obligations RGPD applicables aux ressources humaines rappelle que la meilleure protection reste la prévention documentée : registre à jour, procédures écrites, formation régulière des équipes RH. Une entreprise qui a anticipé ces exigences réduit drastiquement son exposition en cas de contrôle.

Les politiques de confidentialité internes doivent également être révisées à chaque évolution significative des traitements, un point souvent négligé lors des audits. Pour approfondir la structuration complète d’une démarche de mise en conformité, le guide complet des étapes de mise en conformité RGPD détaille chaque phase, de l’audit initial au suivi dans le temps.

Programmez un audit interne annuel de vos processus RH pour anticiper toute non-conformité avant qu’un contrôle externe ne la révèle.

Quelles implications spécifiques pour une PME face aux mêmes obligations qu’un grand groupe ?

La taille de l’entreprise ne réduit en rien le périmètre des obligations légales, seule la méthode de mise en œuvre diffère. Une PME industrielle de 50 salariés doit appliquer les mêmes principes de minimisation, de durée de conservation et de sécurité des accès qu’un groupe comme Nexity SA.

Les implications de la mise en conformité RGPD pour les TPE et PME montrent que l’absence de moyens dédiés ne constitue pas une excuse recevable en cas de contrôle. La CNIL adapte ses sanctions à la taille de la structure, mais n’exonère jamais totalement une organisation de ses obligations documentaires.

La distinction entre responsable de traitement et sous-traitant reste souvent source de confusion pour les dirigeants découvrant tardivement leur statut. Un service de paie externalisé, un cabinet de recrutement ou un prestataire de formation agissent généralement comme sous-traitants, ce qui implique la signature d’un accord de traitement des données encadrant précisément leurs obligations.

Cette clarification contractuelle protège l’entreprise en cas d’incident chez un partenaire. Elle évite également les malentendus sur la répartition des responsabilités lors d’un audit RGPD mené par un client ou une autorité de contrôle.

Vérifiez dans les 30 jours qui suivent votre lecture que chaque prestataire RH externe a bien signé un accord de sous-traitance conforme au RGPD.

Le RGPD s’applique-t-il aux données des candidats non retenus lors d’un recrutement ?

Oui, tant que le CV est conservé, il reste soumis au RGPD. Sans accord explicite du candidat pour une durée plus longue, ce document doit être supprimé au plus tard deux ans après le dernier contact.

Un salarié peut-il demander à consulter l’intégralité de son dossier RH ?

Oui, le droit d’accès permet à tout salarié de demander une copie de ses données personnelles détenues par l’employeur. La réponse doit être fournie sous 30 jours, dans un format lisible et structuré.

Quelle différence entre responsable de traitement et sous-traitant en matière RH ?

Le responsable de traitement définit les finalités et moyens du traitement, tandis que le sous-traitant agit sur instruction, par exemple un prestataire de paie externalisée. Un accord de traitement des données doit encadrer cette relation.

Combien de temps peut-on conserver un bulletin de paie après le départ d’un salarié ?

Les bulletins de paie doivent être conservés jusqu’à 50 ans, en raison des enjeux liés aux droits à la retraite. Cette durée s’applique indépendamment de la taille de l’entreprise.

Une PME doit-elle réaliser une analyse d’impact pour ses outils RH ?

Uniquement si le traitement présente un risque élevé pour les droits des salariés, comme un système de tri automatisé des candidatures par intelligence artificielle ou une surveillance continue de l’activité. Dans les autres cas, un registre des traitements à jour reste suffisant.