Durée de conservation des documents RH (CNIL)

Mis à jour le 16 octobre 2026.

En ressources humaines, aucune durée unique ne s'applique : chaque finalité a la sienne, en base active puis en archivage intermédiaire, fixée par le code du travail, le code de la sécurité sociale ou le référentiel CNIL relatif à la gestion des ressources humaines.

L'article 5.1.e du RGPD exige des données « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Le tableau ci-dessous donne, finalité par finalité, la durée d'usage courant, la durée d'archivage et le texte qui la fonde.

Aucune durée publiée ici n'a été écrite sans avoir été retrouvée dans un texte ou un référentiel de la CNIL. Les autres domaines — prospection, fiscalité, systèmes d'information, associations — relèvent du tableau général des durées de conservation.

Base active, archivage intermédiaire, point de départ du délai : les trois variables d'une durée RH

Une durée RH combine toujours trois paramètres : le temps d'usage courant, le temps d'archivage à accès restreint, et l'événement à partir duquel le décompte commence.

La fiche CNIL sur les durées de conservation, mise à jour le 2 avril 2026, décrit trois phases : base active, archivage intermédiaire, archivage définitif. Au stade intermédiaire, « une séparation avec la base active doit être opérée », physique ou logique. Un délai sans point de départ écrit n'est pas applicable : cinq ans ne tombent pas à la même date selon qu'ils courent du pourvoi du poste ou du départ du salarié.

Recrutement : 2 ans en CV-thèque, 5 ans d'archivage pour les candidatures non retenues

Un dossier de candidature non retenue se conserve cinq ans en archivage intermédiaire à compter du jour où le poste a été pourvu, à des fins probatoires en cas d'action en discrimination (article L 1134-5 du code du travail) ; une CV-thèque se limite à deux ans depuis le dernier contact.

Dossiers de candidature non retenue : 5 ans à compter du jour où le poste a été pourvu

L'article L 1134-5 du code du travail pose que « l'action en réparation du préjudice résultant d'une discrimination se prescrit par cinq ans à compter de la révélation de la discrimination ». C'est ce texte, et non le RGPD, qui fonde l'archivage probatoire des candidatures.

• Candidat retenu : conservation le temps de la procédure ; les données sont ensuite reprises par la gestion du personnel.
• Candidat non retenu : 5 ans en archivage intermédiaire, accès limité aux personnes habilitées à traiter un contentieux.
• Point de départ : le jour où le poste a été pourvu, pas la date de réception du CV.
• Intermédiaires de recrutement : même durée que l'employeur, chacun pour son traitement.

CV-thèque : 2 ans à compter du dernier contact

Le vivier de candidats relève d'une durée recommandée par la CNIL, pas d'une obligation : une recommandation s'écarte si la finalité le justifie, une obligation jamais.

• CV-thèque : jusqu'à 2 ans à compter du dernier contact, pour les seuls profils qui intéressent l'employeur, sauf opposition du candidat.
• Finalité probatoire : 5 ans en archivage intermédiaire, même point de départ que les candidatures écartées.

Gestion administrative du personnel et rémunérations : du dossier du salarié à la déclaration sociale nominative

Le registre unique du personnel se conserve cinq ans après le départ du salarié (article R 1221-26 du code du travail), le double des bulletins de paie cinq ans (article L 3243-4), et les éléments d'assiette des cotisations six ans à compter de leur établissement (article L 243-16 du code de la sécurité sociale).

Dossier du salarié et registre unique du personnel : la conservation après le départ

L'article R 1221-26 du code du travail dispose que les mentions portées sur le registre « sont conservées pendant cinq ans à compter de la date à laquelle le salarié ou le stagiaire a quitté l'établissement ». Une conservation illimitée du dossier professionnel n'a aucun fondement.

• Dossier professionnel : durée de la relation de travail en base active, sauf disposition légale contraire.
• Après la fin du contrat : archivage intermédiaire dans la limite du délai de prescription ou de forclusion applicable.
• Registre unique du personnel : présence aux effectifs, puis 5 ans après le départ.

Sur nos missions, ces arbitrages se tiennent pendant les ateliers d'inventaire : chaque finalité RH y reçoit sa durée, son archivage et son fondement, que la fiche de registre porte ensuite.

Bulletin de paie : 5 ans d'archivage, 6 ans glissants après la DSN

Les articles L 3243-4 et D 3243-8 du code du travail distinguent deux obligations : conserver le double, et garantir la disponibilité du bulletin électronique.

• Double du bulletin : 5 ans, papier ou électronique, à compter de la transmission ; mise à disposition 1 mois en base active.
• Disponibilité du bulletin électronique : soit 50 ans, soit jusqu'à l'âge mentionné au dernier alinéa de l'article L 1237-5, augmenté de six ans.
• Éléments d'identification, assiette des cotisations, DSN :6 ans à compter de l'établissement ou de la réception des pièces (article L 243-16 du code de la sécurité sociale), durée que recoupe l'article L 102 B du CGI pour les pièces soumises au délai de reprise fiscal.
• Action en paiement des salaires : 3 ans, délai qui commande la conservation des preuves de versement.

Relevés d'heures et suivi du temps de travail : 1 an, 3 ans en forfait

Le document récapitulant les heures accomplies chaque mois quitte la base active à l'émission du bulletin de paie : son usage courant est consommé, sa valeur probatoire subsiste.

• Contestation du temps de travail : 1 an en archivage intermédiaire, ou la période de référence en cas d'aménagement sur plus d'un an (art. D 3171-16 du code du travail).
• Conventions de forfait : 3 ans, alignés sur la prescription de l'action en paiement des salaires (art. L 3245-1).

Sécurité des personnes, des biens et des véhicules : des durées qui se comptent en mois

Les journaux de connexion se conservent six mois selon la CNIL, le contrôle de la messagerie professionnelle six mois à compter de l'utilisation et les traces d'accès à internet six mois, portés à un an pour une connexion Wi-Fi publique ; l'article L. 121-6 du code de la route laisse quarante-cinq jours au représentant légal pour désigner le conducteur d'un véhicule de la personne morale.

Contrôle d'accès, journaux de connexion et enregistrements téléphoniques

• Contrôle d'accès hors biométrie : identification pendant la durée de l'habilitation, journalisation 3 mois, portée à 5 ans si elle sert au suivi du temps de travail.
• Gestion des contrôles d'accès : conservée toute la durée de la relation de travail, selon le référentiel CNIL relatif aux traitements de gestion des ressources humaines.
• Messagerie et accès internet : 6 mois à compter de l'utilisation ; 1 an pour une connexion Wi-Fi publique. Six mois pour les journaux de connexion selon la CNIL, un an pour une connexion Wi-Fi publique : le détail figure dans nos durées applicables aux traces du système d'information.
• Appels enregistrés : la durée se fixe finalité par finalité au regard du principe de limitation de la conservation de l'article 5.1.e du RGPD ; l'article 2224 du code civil prévoit que les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire du droit a connu les faits lui permettant de l'exercer.

Tachygraphes, géolocalisation et désignation du conducteur

• Tachygraphes : le temps de la gestion de la paie, puis 1 an après utilisation, 3 ans en convention de forfait (règlement UE n° 165/2014, art. D 3171-16).
• Géolocalisation des véhicules : aucune durée n'est avancée ici faute de texte la fondant ; elle se détermine finalité par finalité, conformément au principe de limitation de la conservation posé par l'article 5.1.e du RGPD.
• Contraventions et ANTAI : 45 jours à compter de la réception de la contravention, 12 mois d'archivage en matière contraventionnelle (art. L 121-6 du code de la route). En désignation automatique, les traces des requêtes sont détruites après retour d'information : l'employeur ne peut ni les consolider, ni les archiver.

Mandats, alertes professionnelles et contentieux : des durées calées sur le délai de prescription en droit du travail

La nature du mandat et le syndicat d'appartenance se conservent pendant la durée du mandat augmentée de six mois, puis six ans en archivage intermédiaire en cas de contentieux (article L 2411-5 du code du travail).

• Mandat et appartenance syndicale : durée du mandat + 6 mois, ou la durée prévue par le règlement intérieur si elle est plus favorable au salarié.
• Composition du CSE affichée : toute la durée des mandats correspondants (art. R 2314-22 du code du travail).
• Congés spéciaux et heures de délégation : la durée se fixe finalité par finalité ; l'article 2224 du code civil prescrit par cinq ans les actions personnelles ou mobilières, point de repère pour l'archivage à fins probatoires.

Un contentieux en cours suspend la purge : les pièces utiles sont isolées jusqu'à l'épuisement des voies et délais de recours, le reste suit son échéance. Les contrats collectifs souscrits pour les salariés relèvent, eux, des durées propres à l'assurance et à la mutuelle.

Faire appliquer ces durées : habilitations, purge effective et prestataire de paie

Une durée ne vaut que si elle s'exécute : règle de suppression programmée, habilitations distinctes entre base active et archive, et clause de sous-traitance qui impose la même échéance au prestataire de paie.

Une durée maximale n'oblige pas à conserver jusqu'au bout : elle plafonne. Quand deux textes visent la même donnée, la durée la plus longue s'applique, sans autoriser le maintien en base active. Et la purge automatisée bute sur les copies : sauvegardes, exports, environnements de test.

Quand la paie ou le SIRH est confié à un tiers, l'employeur reste responsable de traitement. Le contrat prévu à l'article 28.3 du RGPD porte les durées finalité par finalité, les modalités de purge, la preuve de l'effacement et le sort des données en fin de prestation : restitution ou effacement, copies comprises. L'accès à l'archive se documente comme une mesure de sécurité, nominative et tracée.

Notre méthode tient en une règle : une durée qui n'est pas dans le registre n'est pas documentée. L'article 30.1 f du RGPD impose d'y indiquer les délais prévus pour l'effacement ; nous y ajoutons le point de départ et le texte qui fonde chaque délai. Sur les registres hérités, les durées sans fondement textuel sont signalées par écrit plutôt que reconduites. Depuis 2020, plus de 150 organismes ont été accompagnés jusqu'à la conformité (chiffre cumulé, arrêté à septembre 2026). Hors ressources humaines, les durées relèvent d'autres textes : nous les traitons pour les fichiers de prospection dont le délai court depuis le dernier contact comme pour les documents d'un employeur associatif. Vous pouvez cadrer ces durées avec un délégué à la protection des données, la responsabilité du traitement restant celle de l'employeur au titre de l'article 24 du RGPD.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus