Données des salariés et CNDP : paie, badges, candidatures, vidéosurveillance

La gestion des ressources humaines est l’un des traitements les plus universels et les moins déclarés. Toute entreprise qui a des salariés traite leurs données personnelles ; beaucoup traitent en plus des données de candidats qui ne travailleront jamais chez elles, et des images de vidéosurveillance qui filment les deux.

Les traitements RH à distinguer

Ce sont des finalités différentes, donc des traitements différents — avec des durées et des destinataires distincts :

• Paie et administration du personnel — contrats, bulletins, congés, absences.
• Recrutement — CV, lettres, comptes rendus d’entretien, y compris les candidatures spontanées.
• Contrôle d’accès et temps de présence — badges, pointeuse, registre.
• Vidéosurveillance des locaux, qui filme des salariés au travail.
• Évaluation et carrière — objectifs, entretiens annuels, plans de formation.
• Outils numériques — journaux de connexion, messagerie professionnelle, accès distants.

Le sujet qui revient toujours : combien de temps garder ?

La règle est simple à énoncer et rarement appliquée : aussi longtemps que la finalité le justifie, plus la durée imposée par une obligation légale — et pas un jour de plus « au cas où ».

Les deux cas qui posent problème en pratique :

• Les candidatures non retenues. Presque toutes les entreprises les conservent indéfiniment, dans une boîte mail ou un dossier partagé. C’est un stock de données personnelles sans finalité active, avec un accès non contrôlé. Il faut une durée, et une suppression qui s’exécute.
• La vidéosurveillance. Les images ont une durée courte, et le point de contrôle est de savoir qui peut les visionner et si ces visionnages sont tracés — pas seulement combien de temps elles sont gardées.

Les limites du contrôle du salarié

Un traitement RH ne peut pas devenir une surveillance générale. Trois principes tiennent la plupart des situations : la proportionnalité (une caméra sur un poste de travail se justifie difficilement, à l’entrée d’un entrepôt bien plus), l’information préalable des personnes concernées, et la finalité déterminée — un dispositif installé pour la sécurité ne sert pas à mesurer le rendement.

Le consentement, ici, est une base fragile : la relation de travail rend difficile de considérer un accord comme réellement libre. Voir le guide sur le consentement.

Les sous-traitants RH

Cabinet de paie externalisé, éditeur de logiciel RH, plateforme de recrutement, prestataire de télésurveillance : tous traitent des données pour votre compte, et vous restez responsable. Il faut un engagement écrit, savoir où les données sont hébergées, et interdire la sous-traitance en chaîne sans accord.

Ce qu’un contrôle demande côté RH

La liste des traitements RH et leur base légale, le récépissé de déclaration, les durées appliquées (candidatures comprises), l’information remise aux salariés, la matrice des accès aux dossiers du personnel, et les traces de visionnage des images. Notre travail consiste à rendre cette liste produisible par le système : voir conformité CNDP et données sensibles.

Guides liés : la déclaration CNDP, loi 09-08 et RGPD.