5.3Données RH, RGPD & confidentialité
La RH manipule des données personnelles parmi les plus sensibles : identité, coordonnées, rémunération, évaluations, santé (arrêts), parfois données familiales. Leur traitement est encadré, en Europe notamment, par le RGPD (Règlement Général sur la Protection des Données). Les grands principes : ne collecter que le nécessaire (minimisation) pour une finalité précise et légitime, informer les personnes, sécuriser les données, en limiter l'accès à ceux qui en ont besoin, et ne les conserver que le temps utile (durées de conservation).
Concrètement, la RH doit veiller à : la confidentialité (un dossier salarié n'est pas consultable par n'importe qui), la sécurité (protection contre les fuites, notamment via le SIRH), le respect des droits des personnes (accès à leurs données, rectification), et la vigilance sur les outils (un logiciel de recrutement, un outil d'IA traitent des données personnelles). Un manquement (fuite, usage abusif, conservation illimitée) expose à des sanctions et à une perte de confiance. La protection des données n'est pas qu'une contrainte juridique : c'est une question de respect des salariés. Le RGPD s'applique en Europe ; d'autres pays ont leurs propres réglementations sur les données personnelles, qu'il faut identifier localement.
Vocabulaire de la section
- RGPD
- Règlement européen sur la protection des données personnelles, encadrant leur collecte et leur traitement.
- Donnée personnelle
- Information relative à une personne identifiée ou identifiable (identité, coordonnées, rémunération, santé…).
- Minimisation
- Principe de ne collecter que les données strictement nécessaires à une finalité précise.
- Durée de conservation
- Période pendant laquelle une donnée peut être conservée, limitée à ce qui est nécessaire/légal.
- Confidentialité
- Protection des données contre les accès non autorisés ; accès limité à ceux qui en ont besoin.
Comment gérer les données RH ?
En pratique — Gérer les données RH dans le respect du RGPD
- Ne collectez que les données nécessaires (minimisation), pour des finalités précises et légitimes, et informez les personnes.
- Limitez l'accès aux données (un dossier salarié n'est pas consultable par tous) et sécurisez-les (notamment dans le SIRH).
- Définissez des durées de conservation par type de document et archivez/supprimez au-delà.
- Respectez les droits des personnes (accès, rectification) et vérifiez la conformité des outils (recrutement, IA) ; adaptez au droit local.
Points clés à retenir
- La RH manipule des données personnelles sensibles, encadrées en Europe par le RGPD.
- Principes : minimisation, finalité précise, information, sécurité, accès limité, conservation maîtrisée.
- Veiller à la confidentialité des dossiers et à la conformité des outils (SIRH, recrutement, IA).
- Un manquement expose à des sanctions ; le RGPD s'applique en Europe, d'autres pays ont leurs propres règles.
Questions fréquentes
Le RGPD concerne-t-il vraiment la RH au quotidien ?
Oui, de façon très concrète, car la RH est l'un des services qui traite le plus de données personnelles sensibles : candidatures, contrats, rémunérations, évaluations, arrêts maladie, coordonnées familiales… Chaque geste RH est un traitement de données. Au quotidien, cela implique par exemple : ne pas conserver indéfiniment les CV des candidats non retenus, ne pas laisser un dossier salarié accessible à tout le monde, ne pas collecter d'informations inutiles (minimisation), sécuriser les fichiers et le SIRH, informer les salariés de l'usage de leurs données, et répondre à leurs demandes d'accès. Ce n'est pas une préoccupation lointaine réservée à des juristes : c'est intégré aux pratiques RH courantes. En Europe, le RGPD encadre tout cela ; ailleurs, d'autres réglementations sur les données personnelles s'appliquent, à identifier localement. Dans tous les cas, c'est une question de conformité et de respect des personnes.
Peut-on utiliser un outil d'IA pour trier les candidatures au regard des données personnelles ?
C'est possible mais cela demande de la vigilance, à double titre. D'abord sur les données personnelles : un outil de recrutement ou d'IA traite des données de candidats, donc soumis au RGPD (finalité, information, sécurité, conservation limitée, droits des personnes). Ensuite sur les biais et la transparence : un tri automatisé peut reproduire ou amplifier des discriminations présentes dans les données d'entraînement, et prendre des décisions difficiles à expliquer. Les bonnes pratiques : garder un contrôle humain sur les décisions (l'IA assiste, elle ne décide pas seule), vérifier l'absence de critères discriminatoires, informer les candidats, et s'assurer de la conformité de l'outil. Certaines réglementations encadrent spécifiquement les décisions automatisées. En résumé : l'IA peut aider au tri, mais sous supervision, avec prudence sur les biais et dans le respect des données — voir aussi la section 5.5 et le guide dédié à l'IA.