RGPD et RH : guide sur les durées de conservation des données personnelles

 

 

La CNIL contrôle, les salariés demandent l’accès à leur dossier, et les services RH découvrent qu’ils conservent encore les CV de candidatures reçues il y a huit ans, les badgeages de 2019 et les comptes utilisateurs de salariés partis depuis longtemps. Dans notre pratique, la question de la durée de conservation arrive rarement seule : elle surgit à l’occasion d’un contentieux prud’homal, d’une demande de droit d’accès déposée par un salarié licencié, ou d’un audit de conformité imposé par un donneur d’ordre. Le RGPD ne fixe pourtant aucun délai chiffré : il impose une méthode, que le code du travail, le code de la sécurité sociale et les référentiels de la CNIL viennent remplir au cas par cas. Ce guide détaille, traitement par traitement, les durées applicables aux données du personnel, les fondements juridiques qui les justifient, et la manière de bâtir une politique de conservation qui tienne devant un contrôle comme devant un conseil de prud’hommes.

Par Margaux COLLERY et Marylaure MEOLANS

Pourquoi la durée de conservation est le point faible des dossiers RH

L’article 5.1 e) du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) pose le principe de limitation de la conservation :

Les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Aucun chiffre, donc. La difficulté tient à ce que ce principe se combine avec l’article 5.2, qui impose à l’employeur, en qualité de responsable de traitement, d’être en mesure de démontrer le respect de cette règle. Autrement dit, la charge de la preuve pèse sur l’entreprise : il ne suffit pas d’avoir purgé, il faut pouvoir expliquer pourquoi tel délai a été retenu, où il est documenté (registre des activités de traitement de l’article 30), et comment la purge est techniquement exécutée.

C’est précisément sur ce terrain que les contrôles achoppent. La CNIL a sanctionné en novembre 2020 une grande enseigne de distribution, notamment pour avoir conservé des données de clients et de prospects bien au-delà de la durée nécessaire, avec une amende de plusieurs millions d’euros rendue publique. Le raisonnement est transposable aux traitements RH : une durée excessive constitue un manquement autonome, indépendamment de tout détournement de finalité, et expose aux sanctions de l’article 83 du RGPD (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves).

L’inverse est tout aussi dangereux, et c’est un point que les DRH sous-estiment. Purger trop tôt, c’est se priver de preuves. Devant le conseil de prud’hommes, l’employeur qui ne produit aucun élément de décompte du temps de travail s’expose à voir les heures supplémentaires réclamées par le salarié retenues, le juge formant sa conviction au vu des éléments fournis par chacune des parties en application de l’article L.3171-4 du code du travail. La politique de conservation n’est donc pas un exercice de conformité administrative : c’est un arbitrage entre risque RGPD et risque probatoire.

Les trois états de la donnée : base active, archivage intermédiaire, archivage définitif

La CNIL raisonne depuis longtemps en cycle de vie, et c’est la grille la plus utile pour les Ressources Humaines. Confondre « durée de conservation » et « durée d’utilisation courante » est l’erreur la plus fréquente.

La base active correspond aux données utilisées au quotidien par les gestionnaires RH : le SIRH, le logiciel de paie, les outils de gestion des absences. L’accès y est ouvert aux personnes habilitées dans l’exercice de leurs fonctions.

L’archivage intermédiaire concerne les données qui ne servent plus à la gestion courante mais que l’entreprise doit ou peut conserver pour satisfaire une obligation légale ou préconstituer une preuve en cas de contentieux. Techniquement, cela suppose soit une base d’archives séparée, soit un verrouillage logique avec traçabilité des accès. Juridiquement, cela suppose un accès restreint à un nombre limité de personnes, en pratique le service juridique, le DRH et le délégué à la protection des données (DPO). Conserver le dossier d’un ancien salarié dans l’arborescence partagée du service RH, accessible à tous les gestionnaires, n’est pas un archivage intermédiaire.

L’archivage définitif ne concerne, en entreprise, qu’un nombre marginal de documents présentant un intérêt historique ou patrimonial.

Il faut enfin distinguer la suppression et l’anonymisation. Supprimer, c’est effacer la donnée de la base active et des sauvegardes selon un calendrier documenté. Anonymiser, c’est rendre la réidentification impossible par des moyens raisonnables, ce qui fait sortir la donnée du champ du RGPD et permet de conserver indéfiniment des statistiques de masse salariale, de turnover ou d’absentéisme. La pseudonymisation, elle, ne fait pas sortir du RGPD : une base où le nom est remplacé par un matricule reste une base de données personnelles.

Durée obligatoire, durée recommandée, durée justifiée : savoir d’où vient le chiffre

Le référentiel de la CNIL consacré aux durées de conservation en matière de ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026, opère une distinction qui structure tout le travail de mise en conformité : certaines durées sont imposées par un texte, d’autres sont recommandées par l’autorité, d’autres enfin doivent être justifiées par l’employeur au regard de la finalité poursuivie. Ce référentiel complète la délibération n° 2019-160 du 21 novembre 2019 portant référentiel relatif aux traitements de données mis en œuvre aux fins de gestion du personnel.

La conséquence pratique est simple. Lorsqu’un texte fixe un délai, l’entreprise n’a aucune marge : elle ne peut ni raccourcir, ni allonger sans justification spécifique. Lorsque la CNIL recommande une durée, l’employeur peut s’en écarter, mais il doit alors documenter précisément son raisonnement dans le registre des traitements, car il sera le premier interrogé en cas de contrôle. Lorsqu’aucune durée n’est fixée, le raisonnement se construit en deux temps : durée de la finalité première, puis durée d’archivage calée sur le délai de prescription de l’action susceptible d’être engagée.

Les délais de prescription à garder en tête pour les traitements RH sont les suivants :

• deux ans pour les actions portant sur l’exécution du contrat de travail (article L.1471-1 du code du travail)
• douze mois pour les actions portant sur la rupture du contrat de travail (même article)
• trois ans pour les actions en paiement ou en répétition du salaire (article L.3245-1 du code du travail)
• cinq ans pour l’action en réparation du préjudice résultant d’une discrimination, à compter de la révélation de celle-ci (article L.1134-5 du code du travail)
• dix ans pour l’action en réparation d’un dommage corporel (article 2226 du code civil), délai pertinent en matière de harcèlement moral avec répercussions sur la santé

Le recrutement : candidats non retenus, CVthèque et tests

Le recrutement est le traitement RH le plus exposé, parce qu’il concerne des personnes qui n’ont aucun lien contractuel avec l’entreprise et qui ignorent le plus souvent que leurs données sont conservées.

Pour un candidat non retenu, la durée pertinente est de cinq ans après le pourvoi du poste, par référence à l’article L.1134-5 du code du travail. La logique n’est pas de garder le CV « au cas où », mais de pouvoir se défendre si une action en discrimination à l’embauche est engagée. Or, se défendre suppose de produire les éléments objectifs ayant fondé le choix : grille d’évaluation, comptes rendus d’entretien, critères de sélection. Un employeur qui a tout détruit six mois après la clôture du poste se trouve démuni face au mécanisme de preuve partagée applicable en matière de discrimination, où il lui revient de démontrer que sa décision repose sur des éléments étrangers à toute discrimination.

En pratique, l’articulation se fait ainsi : conservation en base active pendant la durée de la campagne de recrutement, puis bascule en archivage intermédiaire à accès restreint jusqu’à l’expiration du délai de cinq ans.

La CVthèque, c’est-à-dire le vivier de candidatures spontanées ou de profils sourcés, obéit à une autre logique. La CNIL retient deux ans après le dernier contact avec le candidat, durée reprise dans son guide pratique du recrutement. Le point de départ est le dernier contact, non la réception du CV : une relance acceptée par le candidat fait courir un nouveau délai. L’information du candidat sur cette conservation et sur son droit d’opposition doit figurer dans la mention d’information délivrée au titre des articles 13 et 14 du RGPD.

Les données issues de tests psychotechniques, d’entretiens vidéo différés ou d’outils d’aide à la décision algorithmique appellent une vigilance renforcée. Leur conservation doit être limitée au strict temps du processus, sauf à vouloir conserver l’élément de preuve du caractère objectif des critères retenus.

Le dossier du salarié en poste : registre, paie, temps de travail, cotisations

Registre unique du personnel

L’article R.1221-26 du code du travail impose que les mentions portées sur le registre unique du personnel soient conservées pendant cinq ans à compter de la date à laquelle le salarié a quitté l’établissement. Durée obligatoire, non négociable, et vérifiée par l’inspection du travail autant que par la CNIL.

Bulletins de paie

L’employeur conserve un double des bulletins de paie pendant cinq ans en application de l’article L.3243-4 du code du travail. Le bulletin de paie électronique obéit à un régime distinct : l’article D.3243-8 prévoit que l’employeur, ou le prestataire agissant pour son compte, garantit la disponibilité du bulletin pendant cinquante ans ou jusqu’aux soixante-quinze ans du salarié. Ces deux durées ne se contredisent pas : la première correspond à l’obligation de conservation pesant sur l’employeur, la seconde à une obligation de mise à disposition dans un coffre-fort numérique au bénéfice du salarié. Contractualiser clairement ce point avec le prestataire de paie évite de découvrir, au moment de changer d’outil, que personne n’assume l’obligation de disponibilité.

Décompte du temps de travail

L’article D.3171-16 du code du travail fixe une conservation d’un an des documents permettant de comptabiliser le temps de travail, ou de la période de référence applicable. Pour les salariés soumis à une convention de forfait en jours, la durée pertinente s’aligne sur la prescription triennale de l’article L.3245-1, puisque le contentieux porte sur des créances salariales. C’est ici que l’arbitrage probatoire évoqué plus haut prend tout son sens : une purge à douze mois stricte, techniquement irréprochable au regard du RGPD, fragilise la défense de l’employeur dans un contentieux d’heures supplémentaires portant sur trois années.

Éléments de calcul des cotisations et DSN

Les pièces nécessaires à l’établissement de l’assiette des cotisations et la déclaration sociale nominative se conservent six ans, par application de l’article L.102 B du livre des procédures fiscales, l’article L.243-16 du code de la sécurité sociale autorisant par ailleurs une conservation sur support électronique. Ce délai de six ans est celui qui s’impose aux contrôles URSSAF et fiscaux, et il prime sur toute politique interne plus courte.

Les traitements de contrôle et de sécurité : badges, vidéo, géolocalisation, journaux

Ce sont les traitements les plus contrôlés par la CNIL, parce qu’ils portent une atteinte directe à la vie privée du salarié et qu’ils relèvent de l’obligation d’information et de consultation préalable du comité social et économique prévue à l’article L.2312-38 du code du travail, avant toute mise en œuvre de moyens ou techniques permettant un contrôle de l’activité.

Deux précisions méritent d’être soulignées. D’abord, la durée d’un mois en vidéosurveillance est un plafond pratique, pas un droit acquis : si les images ne sont jamais visionnées, la CNIL considère qu’une durée plus courte, de l’ordre de quelques jours, suffit. Ensuite, lorsqu’un incident justifie l’extraction d’une séquence vidéo ou d’un journal d’accès, l’extrait sort du cycle normal de conservation et devient une pièce de procédure : il est conservé dans un dossier distinct, pour la durée de la procédure disciplinaire ou judiciaire, et son extraction doit être tracée.

La géolocalisation appelle un rappel spécifique : les données ne peuvent en aucun cas être collectées en dehors du temps de travail, ni servir à contrôler le respect des limitations de vitesse, et le salarié doit disposer d’un moyen de désactivation pendant ses temps de pause.

Santé, discipline, représentants du personnel et alertes : les régimes particuliers

Les données de santé relèvent de l’article 9 du RGPD et ne peuvent en principe être détenues par l’employeur. Le dossier médical en santé au travail est constitué et conservé par le médecin du travail, sous le régime propre du code du travail, avec des durées très longues pour les salariés exposés à des agents cancérogènes, mutagènes ou toxiques pour la reproduction. L’employeur ne conserve que l’avis d’aptitude ou les préconisations d’aménagement de poste, à l’exclusion de toute donnée médicale, et pour la durée du contrat augmentée du délai de prescription applicable.

Les déclarations d’accident du travail et les documents relatifs à la santé et à la sécurité se conservent cinq ans, l’article D.4711-3 du code du travail imposant une conservation minimale de cette durée pour les documents de vérification et de contrôle.

En matière disciplinaire, l’article L.1332-5 du code du travail interdit d’invoquer une sanction datant de plus de trois ans pour fonder une nouvelle sanction. La CNIL en tire une recommandation de purge des éléments du dossier disciplinaire à l’expiration de ce délai, sauf contentieux en cours. L’avertissement de 2018 conservé dans le dossier d’un salarié en 2026 n’a plus de base légale.

Les données relatives aux mandats des représentants du personnel révèlent une appartenance syndicale et relèvent donc également de l’article 9 du RGPD. Elles sont conservées pour la durée du mandat augmentée de six mois, par cohérence avec la période de protection post-mandat organisée par l’article L.2411-5 du code du travail pour les membres élus de la délégation du personnel du CSE.

Enfin, le traitement des alertes professionnelles, encadré par la loi n° 2016-1691 du 9 décembre 2016 dite Sapin II, modifiée par la loi n° 2022-401 du 21 mars 2022 et son décret d’application n° 2022-1284 du 3 octobre 2022, obéit au référentiel de la CNIL issu de la délibération n° 2019-139 du 18 juillet 2019. La règle est stricte : lorsque l’alerte n’entre pas dans le champ du dispositif ou n’est pas étayée, les données sont détruites ou anonymisées sans délai. Lorsqu’elle donne lieu à des suites, elles sont conservées jusqu’au terme de la procédure, puis archivées ou anonymisées. Le nom de l’auteur du signalement fait l’objet d’une protection renforcée et ne peut être divulgué sans son consentement.

Construire une politique de conservation RH qui tienne devant un contrôle

La méthode que nous recommandons en pratique tient en cinq étapes, à mener avec le DPO et la direction des systèmes d’information.

1. Cartographier les traitements RH réellement en vigueur, et pas seulement ceux qui figurent au registre. Les tableurs de suivi des entretiens annuels, les boîtes mail partagées du service recrutement et les dossiers sur serveur local sont des traitements à part entière.
2. Rattacher chaque traitement à une durée et à son fondement, en identifiant s’il s’agit d’une durée obligatoire, recommandée ou justifiée. Un registre qui mentionne « durée légale » sans référence de texte ne vaut rien en contrôle.
3. Définir le point de départ du délai, qui est la principale source d’erreurs : date de départ du salarié, date de pourvoi du poste, date du dernier contact, date de clôture de la procédure. Une durée exacte avec un point de départ erroné produit une non-conformité.
4. Automatiser la purge et documenter son exécution. Une politique écrite jamais exécutée aggrave la situation, puisqu’elle établit que l’employeur connaissait la règle.
5. Prévoir une procédure de gel en cas de contentieux ou de contrôle annoncé. Dès qu’une procédure prud’homale est engagée, la purge automatique des données concernées doit être suspendue pour les pièces utiles au litige, et cette suspension doit être tracée et limitée au périmètre concerné.

Reste la question des sauvegardes. La CNIL admet que les données supprimées de la base active puissent subsister temporairement dans les sauvegardes techniques, à condition que celles-ci soient soumises à une rotation documentée et que les données ne soient restaurées qu’en cas d’incident, jamais pour une consultation courante.

Conclusion

La durée de conservation est le seul principe du RGPD qui se vérifie en quelques clics lors d’un contrôle : il suffit d’ouvrir la base et de trier par date. C’est aussi celui qui se retourne le plus vite contre l’employeur devant le juge prud’homal, dans les deux sens, excès de conservation comme destruction prématurée. Notre position est qu’une politique de conservation RH ne doit jamais être construite par le seul prisme de la conformité : elle doit être arbitrée conjointement par le DPO et par le conseil habituel en droit social, traitement par traitement, en confrontant la durée recommandée par la CNIL au délai de prescription de l’action que l’entreprise pourrait avoir à affronter.

Concrètement, avant tout déploiement d’une purge automatisée dans votre SIRH, faites relire votre tableau des durées par un avocat en droit social : vérifiez que les éléments de preuve du temps de travail, les comptes rendus d’entretien de recrutement et les pièces des procédures disciplinaires couvrent bien les délais de prescription applicables, et que votre procédure de gel contentieux est opérationnelle. Une purge trop zélée coûte parfois plus cher qu’une conservation excessive.

Questions fréquentes

Combien de temps peut-on conserver le CV d’un candidat non retenu ? Deux durées coexistent. Pour la gestion courante du vivier de candidatures, la CNIL recommande deux ans à compter du dernier contact avec le candidat, durée reprise dans son guide pratique du recrutement. Pour se défendre d’une action en discrimination à l’embauche, l’employeur peut conserver le dossier de candidature en archivage intermédiaire pendant cinq ans après le pourvoi du poste, par référence au délai de l’article L.1134-5 du code du travail. Dans les deux cas, le candidat doit être informé de cette conservation et de ses droits.

Que doit-on faire du dossier d’un salarié qui quitte l’entreprise ? Il ne se détruit pas au solde de tout compte. Les mentions du registre unique du personnel se conservent cinq ans après le départ (article R.1221-26 du code du travail), les doubles de bulletins de paie cinq ans (article L.3243-4), les éléments de calcul des cotisations six ans (article L.102 B du livre des procédures fiscales). Le reste du dossier bascule en archivage intermédiaire à accès restreint, pour la durée des prescriptions applicables, avant purge documentée.

Un salarié peut-il exiger l’effacement immédiat de ses données RH ? Non, pas pour les données couvertes par une obligation légale de conservation. L’article 17.3 b) du RGPD écarte le droit à l’effacement lorsque le traitement est nécessaire pour respecter une obligation légale, ce qui est le cas de la paie, du registre du personnel ou des cotisations sociales. En revanche, le salarié conserve son droit d’accès (article 15) et son droit de rectification, et l’employeur doit lui répondre dans un délai d’un mois. Les données non couvertes par une obligation légale, par exemple des appréciations conservées au-delà du nécessaire, doivent être effacées.

Combien de temps garder les images de vidéosurveillance des locaux ? Un mois constitue le plafond admis par la CNIL, par analogie avec l’article L.252-5 du code de la sécurité intérieure applicable à la voie publique. Lorsque les images ne font l’objet d’aucune exploitation, une durée de quelques jours est généralement suffisante et plus facile à justifier. Si une séquence est extraite à la suite d’un incident, elle sort du cycle normal et peut être conservée le temps de la procédure disciplinaire ou judiciaire, avec traçabilité de l’extraction.

Faut-il consulter le CSE avant de mettre en place une politique de conservation ? La politique de conservation en elle-même ne déclenche pas d’obligation spécifique, mais les traitements qu’elle encadre, oui. L’article L.2312-38 du code du travail impose l’information et la consultation du comité social et économique avant la mise en œuvre de tout moyen ou technique permettant un contrôle de l’activité des salariés : badgeuse, vidéosurveillance, géolocalisation, outils de journalisation. Documenter cette consultation est un élément de preuve attendu en cas de contrôle de la CNIL comme en cas de contestation d’une sanction fondée sur ces dispositifs.

Que risque concrètement une entreprise qui conserve trop longtemps les données de ses salariés ? Les suites d’un contrôle CNIL vont de la mise en demeure, le plus souvent assortie d’un délai de mise en conformité, à l’amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial selon l’article 83 du RGPD. La CNIL publie régulièrement des sanctions fondées en tout ou partie sur des durées de conservation excessives. S’y ajoute un risque civil : un salarié peut invoquer ce manquement à l’appui d’une demande de dommages et intérêts, à charge pour lui de démontrer son préjudice.

Les sauvegardes informatiques doivent-elles aussi être purgées ? La CNIL admet que les données effacées de la base active subsistent temporairement dans les sauvegardes, à condition que celles-ci répondent à une finalité de sécurité et de restauration après incident, qu’elles fassent l’objet d’une rotation documentée avec écrasement périodique, et qu’elles ne soient jamais utilisées pour consulter ou réexploiter des données déjà purgées. La politique de sauvegarde doit donc être formalisée et cohérente avec le tableau des durées de conservation.

Victoire Avocats vous accompagne

Vous rencontrez des difficultés dans la mise en oeuvre ou la rupture de vos contrats de travail ? Vous envisagez un licenciement pour motif économique ?

Nous pouvons vous aider à gérer la situation.

Contactez-nous !