Entre la paie, les congés, les entretiens annuels et les mille autres urgences du quotidien, la conformité RGPD du dossier salarié arrive souvent en bas de la pile. Et pourtant, c’est un sujet sur lequel la CNIL ne plaisante plus du tout.
Chaque salarié qui rejoint votre entreprise génère un dossier rempli d’informations personnelles (identité, coordonnées, données bancaires, bulletins de paie, et parfois même données de santé), soit autant d’éléments qui, mal gérés, peuvent exposer votre organisation à des sanctions bien réelles.
Qu’est-ce qu’un dossier salarié ?
Le dossier salarié est un peu la carte d’identité administrative de chaque collaborateur au sein de votre entreprise. On y retrouve le contrat de travail, les avenants, les diplômes, les bulletins de paie, les comptes rendus d’entretiens, les arrêts maladie, les formations suivies, et des données bancaires pour le virement du salaire. Bref, c’est un concentré d’informations personnelles particulièrement sensibles.
Et justement, le RGPD (Règlement Général sur la Protection des Données) encadre la façon dont vous collectez, stockez et utilisez ces données. En tant qu’employeur, vous êtes ainsi responsable de traitement. C’est vous qui décidez pourquoi et comment ces informations sont utilisées, et c’est donc vous qui devez rendre des comptes en cas de contrôle. Le Code du travail impose d’ailleurs ses propres obligations en parallèle, ce qui fait du dossier salarié un sujet à la croisée du droit social et du droit numérique.
Quelles informations intégrer et lesquelles laisser de côté ?
La règle d’or du RGPD reste le principe de minimisation. Autrement dit, vous ne collectez que ce qui est strictement nécessaire à la gestion du contrat de travail et à vos obligations légales. Pas plus.
Concrètement, un dossier salarié conforme peut contenir :
- l’identité, l’adresse et les coordonnées du salarié ;
- le contrat de travail et ses avenants ;
- les diplômes et certificats de formations en lien avec le poste ;
- les bulletins de paie et éléments liés à la paie ;
- les comptes rendus d’entretiens professionnels.
En revanche, certaines informations sont beaucoup plus encadrées, voire interdites en dehors de cas très précis.
Je parle ici de tout ce qui concerne l’origine ethnique, les opinions politiques, la religion, l’orientation sexuelle ou les données de santé détaillées. Une copie de la carte Vitale ou un diagnostic médical n’ont, par exemple, rien à faire dans un dossier RH classique. Même chose pour une copie intégrale de la pièce d’identité conservée sans limites de temps « au cas où ». Ce genre de réflexe, hérité des vieilles habitudes papier, est justement ce que le RGPD veut corriger.
Papier ou numérique : la dématérialisation change la donne
Le dossier salarié a longtemps vécu sous forme de classeurs cartonnés empilés dans une armoire fermée à clé (ou pas, soyons honnêtes). Mais aujourd’hui, la digitalisation des ressources humaines transforme complètement la gestion de ces documents, et c’est plutôt une bonne nouvelle pour votre conformité.
Un outil numérique dédié, type SIRH (système d’information des ressources humaines), permet en effet de centraliser les documents, de tracer qui accède à quoi et quand, et d’automatiser certaines durées de conservation. La dématérialisation facilite aussi la remise des bulletins de paie électroniques, la mise à jour des contrats et l’archivage sécurisé. Bref, c’est un vrai gain de temps pour le service RH, même dans une petite structure.
Mais attention, passer au numérique ne dispense pas de la sécurité. Un stockage dans le cloud ou un accès en ligne facile, c’est pratique, mais ça implique aussi de choisir un prestataire fiable, un mot de passe robuste et de gérer des droits d’accès bien définis.
Sécurité, conservation : les vraies zones de risque
Beaucoup d’entrepreneurs pensent RGPD au moment de la collecte des données et oublient complètement la suite. Mais combien de temps garder ces documents ? Qui peut y accéder ? Que faire quand un salarié quitte l’entreprise ?
Chaque type de document a sa propre durée de conservation légale. Un bulletin de paie doit être conservé plusieurs années par l’employeur, un contrat de travail pendant toute la durée du contrat plus un certain délai après le départ, et ainsi de suite. Passé ce délai, les données doivent être supprimées ou anonymisées, et non laissées à traîner indéfiniment.
Autre point de vigilance : la sécurité des accès. Toute l’entreprise n’a pas besoin de voir le dossier complet de chaque salarié. Limiter l’accès aux personnes habilitées (RH, direction, parfois le manager direct pour certains éléments) réduit considérablement les risques de fuite ou d’usage abusif. La CNIL le rappelle d’ailleurs régulièrement dans ses bilans : la sécurité des données et la surveillance disproportionnée des salariés comptent parmi les principaux motifs de sanction ces dernières années.
On récapitule… Quelles sont les erreurs les plus fréquentes chez les entrepreneurs ?
Beaucoup d’erreurs sont récurrentes au sein des entreprises, peu importe la taille de la structure :
- conserver des documents sans limites de temps, « au cas où » ;
- stocker des données sensibles sans base légale ;
- laisser un accès trop large aux dossiers du personnel ;
- oublier d’informer les salariés de leurs droits (accès, rectification, suppression) ;
- ne pas sécuriser les échanges de documents par mail (une simple pièce jointe non protégée peut suffire à créer un incident).
Heureusement, aucune de ces erreurs n’est irrattrapable. Mais mieux vaut les corriger avant qu’un salarié, un ancien collaborateur mécontent ou un contrôle CNIL ne s’en charge à votre place.
Pour transformer toutes ces erreurs en plan d’action efficace.
- Faites le tri dans les documents déjà collectés et supprimez ce qui n’a plus lieu d’être.
- Définissez une durée de conservation claire pour chaque type de document.
- Choisissez un outil de gestion (SIRH ou solution de stockage sécurisée) plutôt que des dossiers partagés génériques.
- Limitez les accès aux seules personnes qui en ont réellement besoin dans leur travail.
- Formez vos équipes RH aux bonnes pratiques de protection des données personnelles.
- Informez vos salariés de leurs droits sur leurs propres données.
- Documentez vos process (en cas de contrôle, pouvoir montrer que vous avez réfléchi à la question compte déjà pour beaucoup).
Comme vous le voyez, il n’y a rien de sorcier là-dedans. Il s’agit surtout de mettre un peu d’ordre et de méthode là où régnait souvent l’à-peu-près.
En bref, un dossier salarié conforme au RGPD n’est pas un carcan juridique de plus à subir, mais un vrai outil de sécurité et de confiance pour votre entreprise et vos collaborateurs. En triant les informations utiles, en sécurisant leur stockage et en respectant les durées de conservation, vous limitez les risques tout en gagnant en efficacité au quotidien. En plus, la digitalisation des ressources humaines rend aujourd’hui cette mise en conformité largement accessible, même pour une petite structure. Le plus dur, c’est finalement de s’y mettre.
