Les fichiers RH et les données personnelles : les précautions à prendre avant leur mise en place

Par Maître LELLOUCHE, Avocat Publié le 13/07/2026 à 11h55

Les entreprises utilisent de plus en plus d'outils numériques pour gérer la paie, les candidatures, les absences, les évaluations ou encore les coordonnées professionnelles des salariés. Derrière ces usages très concrets, il faut rappeler qu'un "fichier RH" n'est pas seulement un outil d'organisation : il s'agit, le plus souvent, d'un traitement de données personnelles soumis au RGPD et à la loi Informatique et Libertés.

L'enjeu ne consiste donc pas uniquement à "bien ranger" les informations utiles au service RH. Il s'agit aussi de vérifier, en amont, pourquoi certaines données sont collectées, qui peut y accéder, combien de temps elles sont conservées et dans quelles conditions elles sont protégées.

En pratique, plus un fichier contient des informations nombreuses, précises ou sensibles pour les personnes concernées, plus la vigilance doit être élevée.

L'approche la plus sûre consiste à raisonner non pas en termes de simple gestion administrative, mais en termes de finalité, de nécessité et de protection des droits des salariés et des candidats.

Avant de créer ou d'enrichir un fichier RH, l'employeur a intérêt à se demander si chaque donnée demandée est réellement utile, si l'information des personnes est suffisante et si l'outil retenu n'emporte pas, selon les cas, des risques particuliers au regard du droit des données personnelles.

I. Les règles de base applicables aux fichiers RH

Un fichier RH ne peut pas, en principe, être alimenté sans cadre clair. La première précaution consiste à définir une finalité précise : gestion des candidatures, paie, suivi administratif du personnel, annuaire interne, gestion des habilitations, par exemple. Cette finalité doit être compréhensible et légitime ; elle ne devrait pas rester vague ou évoluer librement au fil des usages.

La deuxième règle tient à la minimisation des données. En pratique, toutes les informations "utiles" au sens pratique ne sont pas nécessairement "nécessaires" au sens juridique. Les données demandées doivent présenter un lien suffisant avec l'objectif poursuivi. La CNIL rappelle ainsi, en matière de recrutement, que seules les informations permettant d'apprécier la capacité à occuper l'emploi ou les aptitudes professionnelles peuvent être utilisées ; à l'inverse, certaines demandes, sans lien direct et nécessaire avec le poste, sont interdites.

Une vigilance renforcée s'impose pour les données dites sensibles ou particulièrement intrusives. Certaines informations, comme celles qui révèlent l'état de santé, les opinions politiques, les convictions religieuses ou l'appartenance syndicale, relèvent d'un régime juridique beaucoup plus strict. Leur traitement n'est donc pas simplement "déconseillé" : il n'est envisageable que dans des hypothèses limitées et sur un fondement adapté. Même en dehors de ces catégories, des données relatives à la vie familiale, à la situation financière détaillée ou à des éléments très personnels appellent une justification sérieuse et, bien souvent, devraient être écartées.

Enfin, un fichier RH suppose des garanties concrètes : information claire des personnes concernées, accès limités aux seuls intervenants habilités, durée de conservation définie, archivage si nécessaire et mesures de sécurité adaptées. La CNIL insiste aussi sur l'information relative aux destinataires, à la durée de conservation, aux droits des personnes et, le cas échéant, à l'existence d'une prise de décision automatisée.

II. Les points de vigilance selon les usages

Les risques ne sont pas exactement les mêmes selon le type de fichier. En recrutement, l'employeur ne peut pas se contenter de collecter "tout ce qui pourrait servir". Les informations utilisées doivent rester en lien avec le poste proposé et l'évaluation des aptitudes professionnelles. La CNIL vise notamment les pratiques qui conduiraient à recueillir des données sans rapport direct avec l'emploi ou à conserver trop longtemps les candidatures non retenues ; elle indique qu'une conservation dans un vivier peut être possible, en principe pour une durée n'excédant pas deux ans à compter du dernier contact, sous réserve d'une information préalable du candidat.

S'agissant des annuaires du personnel, il faut distinguer les coordonnées professionnelles nécessaires au fonctionnement courant de l'entreprise et les éléments plus exposants, comme la photographie ou une diffusion sur internet. Sur ce point, la CNIL est explicite : un salarié peut refuser que sa photographie figure dans l'annuaire, interne ou externe, et l'employeur doit recueillir une autorisation claire, de préférence écrite. Il paraît donc plus prudent d'éviter de présenter l'opposition comme une simple faculté générale attachée à tout annuaire ; la situation doit être appréciée selon la nature des données diffusées et le support retenu.

Les outils de tri ou d'aide au recrutement fondés sur un algorithme appellent, eux aussi, de la nuance. Leur usage n'est pas nécessairement interdit, mais il ne peut pas être présenté comme neutre ou sans risque. La CNIL exige notamment une information sur l'existence d'une prise de décision automatisée lorsque c'est le cas, et une vigilance particulière s'impose si l'outil conduit à écarter un candidat sans véritable intervention humaine ou sans contrôle suffisant de la logique utilisée.

Avant de mettre en place un fichier RH, il faut au minimum vérifier sa finalité, la nécessité de chaque donnée, l'information des personnes, les habilitations d'accès, la durée de conservation, les mesures de sécurité et, lorsque l'outil est plus intrusif ou automatisé, l'opportunité d'une analyse d'impact.

Trouvez votre avocat en droit du travail

I. Les règles de base applicables aux fichiers RH

II. Les points de vigilance selon les usages