Au-delà de l’identification des données concernées, la conformité RGPD impose aux services RH plusieurs obligations concrètes, qui traduisent en actions quotidiennes des principes parfois perçus comme juridiques et abstraits.
Définir une base légale et informer les personnes concernées
Chaque traitement de données personnelles doit reposer sur une base légale clairement identifiée : exécution du contrat de travail, obligation légale, intérêt légitime, ou consentement. Les salariés et candidats doivent être informés, de manière claire et accessible, des données collectées, de leur finalité, de leur durée de conservation et de leurs droits. Une information incomplète ou trop technique constitue l’un des points de vigilance les plus fréquemment relevés lors des contrôles de la Commission Nationale de l’Informatique et des Libertés (CNIL).
Limiter la collecte et minimiser les données
Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité poursuivie. Un service RH ne doit ainsi solliciter une information que lorsque le besoin se concrétise réellement, et non par anticipation ou par habitude de gestion.
Respecter les durées de conservation des données
La durée de conservation des données personnelles varie selon leur nature. À titre d’exemple, les documents relatifs à la paie ou au contrat de travail doivent être conservés pendant cinq ans après le départ du salarié, conformément aux obligations comptables, sociales et fiscales (economie.gouv.fr, 2025). Les candidatures non retenues, quant à elles, ne peuvent être conservées que deux ans maximum après le dernier contact, sauf accord explicite du candidat pour une durée plus longue.
Les données d’identification : nom, prénom, adresse, coordonnées, numéro de sécurité sociale, RIB.
