Comment appliquer le RGPD à la gestion des salariés ?

Un cadre à deux étages

La gestion du personnel combine le RGPD, dont l'article 88 permet aux États membres de prévoir des règles plus spécifiques dans le contexte de l'emploi, et le Code du travail, qui contient depuis longtemps des garanties propres. Trois articles du Code du travail résument l'esprit du dispositif : les informations demandées à un candidat ou à un salarié ne peuvent avoir pour finalité que d'apprécier sa capacité à occuper l'emploi et doivent présenter un lien direct et nécessaire avec celui-ci (article L. 1221-6) ; aucune information le concernant personnellement ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L. 1222-4) ; les restrictions aux droits et libertés doivent être justifiées par la nature de la tâche et proportionnées au but recherché (article L. 1121-1). La CNIL a publié un référentiel relatif à la gestion du personnel qui sert de grille de lecture.

Le recrutement

Le recruteur ne peut demander que des informations en lien avec le poste : diplômes, expériences, compétences. Les questions sur la situation familiale, la santé, les opinions ou les projets de grossesse sont interdites. Les candidats doivent être informés des méthodes et techniques d'aide au recrutement utilisées, qui doivent être pertinentes (article L. 1221-8). Les dossiers des candidats non retenus peuvent être conservés deux ans au plus après le dernier contact, à condition de les en informer ; au-delà, ou s'ils s'y opposent, ils doivent être supprimés. Les outils de tri automatique de candidatures relèvent de l'article 22 du RGPD et, souvent, de la catégorie des systèmes d'intelligence artificielle à haut risque.

Le dossier du salarié et la paie

Une fois embauché, le salarié fait l'objet de traitements fondés sur le contrat et sur les obligations légales : déclaration préalable à l'embauche, registre unique du personnel, paie et déclarations sociales nominatives, suivi des congés et absences, formation, entretiens professionnels. L'accès à ces données doit être limité aux personnes qui en ont besoin : service RH, paie, manager direct pour ce qui le concerne. Les données de santé (arrêts, aptitude, handicap) sont particulièrement sensibles ; le motif médical d'un arrêt n'a pas à être connu de l'employeur. Le numéro de sécurité sociale ne peut être utilisé que pour les finalités autorisées, comme la paie.

Les dispositifs de contrôle

Badgeuse, vidéosurveillance, géolocalisation des véhicules, contrôle des connexions internet, enregistrement des appels, logiciels de suivi de l'activité : chaque dispositif doit répondre à une finalité légitime, être proportionné, faire l'objet d'une information individuelle préalable des salariés et d'une information-consultation du comité social et économique lorsque l'entreprise en est dotée (article L. 2312-38). Une surveillance permanente et généralisée est en principe disproportionnée. La CNIL a sanctionné Amazon France Logistique en décembre 2023 d'une amende de 32 millions d'euros, notamment pour un système de suivi trop intrusif de l'activité des salariés, montant ramené à 15 millions d'euros par le Conseil d'État le 23 décembre 2025.

La messagerie professionnelle

Les courriels envoyés ou reçus depuis la messagerie professionnelle sont présumés professionnels, et l'employeur peut y accéder, sauf s'ils sont identifiés comme personnels (par exemple « personnel » ou « privé » dans l'objet) : il ne peut alors les ouvrir qu'en présence du salarié ou après l'avoir appelé, sauf risque ou événement particulier. Au départ du salarié, la boîte doit être fermée après un délai raisonnable, avec un message automatique de redirection, et le salarié doit pouvoir récupérer ses messages personnels.

Le télétravail

Le télétravail ne justifie pas une surveillance renforcée : l'employeur peut contrôler l'activité selon les mêmes principes de proportionnalité qu'au bureau, mais il ne peut imposer une caméra allumée en permanence ni des captures d'écran régulières. Il doit en revanche organiser la sécurité : matériel fourni ou règles pour l'équipement personnel, réseau privé virtuel, double authentification, consignes sur les documents papier et les appels. Le sujet est développé dans l'article du blog sur le télétravail et le RGPD.

Les droits des salariés

Les salariés disposent des mêmes droits que toute personne : accès à leur dossier, à leurs évaluations, aux données issues des dispositifs de contrôle ; rectification ; opposition dans certains cas. La CNIL relève que le droit d'accès est fréquemment exercé dans un contexte de conflit, ce qui ne permet pas de le refuser. L'employeur peut toutefois masquer les données de tiers, comme les noms de collègues ayant témoigné dans une enquête interne. Les durées de conservation doivent être définies, en distinguant les données utiles pendant la relation de travail et celles à archiver après le départ selon les délais de prescription.

Le consentement, une base à éviter

Le CEPD considère que les salariés sont rarement en mesure de donner un consentement libre à leur employeur, compte tenu du lien de subordination. Les traitements RH doivent donc reposer sur le contrat, l'obligation légale ou l'intérêt légitime. Le consentement reste envisageable pour des usages réellement facultatifs, sans conséquence en cas de refus : publication de la photo du salarié sur le site, participation à une vidéo promotionnelle, comme l'explique l'article du blog sur les photos de salariés sur un site internet.

Les référentiels de la CNIL pour les RH

La CNIL a adopté en 2019 un référentiel relatif aux traitements mis en œuvre aux fins de gestion du personnel, qui sert de guide aux employeurs privés et publics. Il précise les finalités admises, comme le recrutement, la gestion administrative, la rémunération, la gestion des carrières, la formation, l'organisation du travail, l'action sociale, les relations avec les représentants du personnel et la communication interne. Il détaille les données pouvant être collectées pour chaque finalité, les destinataires et les durées de conservation, et rappelle les données interdites, comme les opinions politiques ou l'appartenance syndicale, sauf exceptions. Un employeur qui respecte ce référentiel dispose d'une base solide pour sa conformité. La CNIL a aussi publié des guides sur le recrutement, le télétravail, la vidéosurveillance et la géolocalisation au travail.

Les données interdites ou encadrées

Certaines données ne peuvent pas être collectées par l'employeur, ou seulement dans des conditions strictes. Les opinions politiques, les convictions religieuses et l'appartenance syndicale sont interdites, sauf obligations légales liées aux mandats de représentants du personnel. Les données de santé relèvent du médecin du travail ; l'employeur n'en connaît que les conséquences, comme l'aptitude ou les restrictions. Le numéro de sécurité sociale ne peut être utilisé que pour la paie et les déclarations sociales. Le casier judiciaire ne peut être demandé que pour les postes pour lesquels la loi le prévoit, comme ceux en contact avec des mineurs. La situation familiale ne peut être collectée que pour la gestion des droits sociaux. Le Code du travail interdit par ailleurs de demander à un candidat des informations sans lien direct et nécessaire avec l'emploi proposé ou l'évaluation de ses aptitudes professionnelles.

Le recrutement en détail

Le recrutement est l'un des traitements les plus encadrés. Les informations demandées aux candidats doivent avoir un lien direct et nécessaire avec l'emploi, en application de l'article L. 1221-6 du Code du travail. Les méthodes et techniques d'aide au recrutement doivent être pertinentes et portées à la connaissance du candidat avant leur mise en œuvre. Les vérifications sur les réseaux sociaux doivent se limiter aux réseaux professionnels et aux informations en rapport avec l'emploi ; la consultation du profil personnel d'un candidat sur un réseau social grand public est déconseillée par la CNIL. Les prises de références auprès d'anciens employeurs supposent d'en informer le candidat. À l'issue de la procédure, les données des candidats non retenus sont supprimées, ou conservées au plus deux ans avec leur accord, pour d'éventuels postes futurs.

La géolocalisation des véhicules

La géolocalisation des véhicules de service est admise pour certaines finalités : suivi et facturation d'une prestation de transport, sécurité du salarié ou des marchandises, meilleure allocation des moyens pour des interventions, contrôle du respect des règles d'utilisation du véhicule, et, à titre accessoire, suivi du temps de travail lorsque ce suivi ne peut pas être réalisé par un autre moyen. Elle ne doit pas servir à contrôler en permanence les salariés, notamment les commerciaux ou les représentants du personnel dans l'exercice de leur mandat, ni à contrôler les limitations de vitesse. Le salarié doit pouvoir désactiver le dispositif en dehors du temps de travail lorsqu'il est autorisé à utiliser le véhicule à titre personnel. Les données ne sont en principe conservées que deux mois, ou un an lorsqu'elles servent à optimiser les tournées ou à apporter la preuve d'interventions, et cinq ans lorsqu'elles servent au suivi du temps de travail.

Les logiciels de surveillance de l'activité

Le développement du télétravail a favorisé l'usage de logiciels qui enregistrent l'activité des salariés : captures d'écran régulières, enregistrement des frappes au clavier, suivi des applications utilisées, mesure du temps d'inactivité, activation de la webcam. La CNIL considère que ces dispositifs de surveillance permanente sont en principe disproportionnés. Les enregistreurs de frappe, qui captent tout ce que tape le salarié, sont interdits sauf impératif de sécurité exceptionnel. La CNIL a sanctionné fin 2023 Amazon France Logistique pour un système de mesure de l'activité des préparateurs jugé excessivement intrusif, notamment un indicateur signalant les interruptions de plus de dix minutes, ainsi qu'une petite entreprise du secteur immobilier qui faisait capturer régulièrement les écrans des salariés en télétravail. L'employeur peut contrôler le travail, mais par des moyens proportionnés, comme des objectifs, des comptes rendus ou des points réguliers.

Les dispositifs d'alerte professionnelle

Les entreprises d'au moins cinquante salariés doivent mettre en place une procédure interne de recueil et de traitement des signalements, en application de la loi Sapin II modifiée par la loi Waserman du 21 mars 2022. Ce dispositif traite des données particulièrement sensibles, sur l'auteur du signalement, les personnes visées et les témoins. La CNIL a adopté en 2023 un référentiel relatif aux dispositifs d'alerte, qui impose notamment la confidentialité de l'identité du lanceur d'alerte, la limitation des accès aux personnes chargées du traitement, des durées de conservation strictes et l'information des personnes visées dans un délai adapté, sauf risque de destruction des preuves. Le dispositif d'alerte figure dans la liste des traitements nécessitant une analyse d'impact.

La vidéosurveillance au travail

Les caméras sont admises sur les lieux de travail pour assurer la sécurité des biens et des personnes, à titre dissuasif ou pour identifier les auteurs de vols, de dégradations ou d'agressions. Elles ne doivent pas filmer les salariés sur leur poste de travail de manière permanente, sauf circonstances particulières, comme un employé manipulant des sommes importantes, ni les zones de pause, les toilettes ou les locaux syndicaux. Le comité social et économique doit être consulté, les salariés informés individuellement et par des panneaux, et les images conservées au maximum un mois. La CNIL sanctionne régulièrement des employeurs, souvent de petites structures, qui filment en permanence le poste de leurs salariés ou écoutent leurs conversations par des caméras équipées de micros.

Les élections professionnelles et les représentants du personnel

L'organisation des élections professionnelles et les relations avec les représentants du personnel impliquent des traitements spécifiques. Les listes électorales, les candidatures et, le cas échéant, le vote électronique doivent respecter les règles de confidentialité et de sincérité du scrutin. La CNIL a adopté une recommandation sur la sécurité des systèmes de vote électronique, qui fixe des niveaux de sécurité selon les risques. Les représentants du personnel disposent de droits d'accès à certaines informations, notamment par la base de données économiques, sociales et environnementales, et sont tenus à une obligation de discrétion. L'employeur ne peut pas utiliser les informations relatives aux mandats pour défavoriser les salariés concernés.

Le dossier du salarié : ce qu'il peut contenir

Le dossier individuel du salarié rassemble les informations nécessaires à la gestion de la relation de travail : identité, coordonnées, numéro de sécurité sociale, coordonnées bancaires pour le versement du salaire, contrat de travail et avenants, diplômes et qualifications utiles au poste, évaluations, formations suivies, sanctions disciplinaires dans la limite de leur durée de prise en compte, arrêts de travail sans indication du motif médical, titre de séjour pour les salariés étrangers. Il ne doit pas contenir d'informations sans lien avec le travail, comme des appréciations sur la vie privée, des copies de documents médicaux ou des notes personnelles d'un manager. L'accès au dossier est limité aux personnes habilitées, comme le service des ressources humaines et le supérieur hiérarchique pour certaines informations. Le salarié peut y accéder à tout moment par son droit d'accès.

La messagerie et les fichiers du salarié

Les courriels et fichiers créés par le salarié avec les outils mis à sa disposition sont présumés professionnels, et l'employeur peut y accéder hors de la présence du salarié, sauf s'ils sont identifiés comme personnels, par exemple par la mention « personnel » ou « privé » dans l'objet ou le nom du dossier. Cette jurisprudence constante de la Cour de cassation protège la vie privée du salarié sur son lieu de travail. Les messages identifiés comme personnels ne peuvent être ouverts qu'en présence du salarié ou après l'avoir dûment appelé, ou en cas de risque ou d'événement particulier. L'employeur ne peut jamais accéder à la messagerie personnelle du salarié, même consultée depuis un ordinateur professionnel. Une charte informatique, annexée au règlement intérieur, précise ces règles et doit être portée à la connaissance des salariés.

Le départ du salarié

Au départ d'un salarié, l'employeur doit organiser la fin des traitements le concernant. Les accès aux outils sont désactivés le jour du départ. La messagerie est fermée, avec un message automatique indiquant un nouveau contact pendant une période limitée, puis supprimée ; l'employeur ne peut pas maintenir le compte actif pour lire les messages entrants pendant des mois. Les fichiers professionnels sont récupérés, les fichiers personnels restitués au salarié ou supprimés avec son accord. Le dossier administratif est archivé pour la durée des obligations légales et des délais de prescription. Les données publiées, comme la fiche dans l'annuaire ou la photo sur l'intranet, sont retirées. Le salarié peut demander l'accès à ses données et l'effacement de celles qui ne sont plus nécessaires.

Le télétravail : les points d'attention

Le télétravail a fait évoluer les traitements de données des salariés. L'employeur doit assurer la sécurité du travail à distance, avec des connexions sécurisées, des postes chiffrés et à jour et une sensibilisation aux risques spécifiques, comme l'hameçonnage ou l'usage de réseaux Wi-Fi publics. Il peut contrôler l'activité, mais de manière proportionnée, sans surveillance permanente par webcam ou captures d'écran. Il doit respecter le droit à la déconnexion, prévu par le Code du travail, et ne pas imposer d'activer la caméra en permanence lors des réunions, la CNIL considérant qu'une telle obligation est en principe excessive. Les outils de visioconférence et de travail collaboratif doivent être choisis avec attention, notamment au regard des transferts hors de l'Union.