Référentiel CNIL : traitements ressources humaines
Mis à jour le 14 octobre 2026.
Réponse rapide Le référentiel relatif aux traitements de gestion du personnel, adopté par la CNIL le 21 novembre 2019 (délibération n° 2019-160) et publié au Journal officiel le 15 avril 2020, a pris la suite de la norme simplifiée NS-46. Il propose une base légale indicative pour chaque finalité RH et liste les données pertinentes. Les durées de conservation sont détaillées dans un référentiel distinct, publié par la CNIL le 2 avril 2026. |
Un employeur qui ouvre ce document cherche rarement une lecture : il cherche une ligne à reporter dans son registre. La publication du référentiel relatif à la gestion des ressources humaines par la CNIL a pris le relais de la norme simplifiée NS-46, dont le régime déclaratif avait disparu avec l'entrée en application du règlement (UE) 2016/679 le 25 mai 2018. Depuis, c'est l'employeur qui démontre sa conformité au titre de l'article 24, sans déclaration préalable.
Le référentiel est la lecture que la CNIL fait du RGPD pour la gestion du personnel, dans le secteur privé comme dans le secteur public ; il n'autorise rien par lui-même. Cette page transcrit ses finalités en tableaux à colonnes constantes, afin qu'elles alimentent le registre des activités de traitement prévu à l'article 30. Les bases légales mobilisables pour les finalités RH — l'obligation légale, le contrat et l'intérêt légitime figurent parmi les six bases de l'article 6 du RGPD — sont détaillées sur notre page consacrée aux bases légales applicables aux finalités de ressources humaines.
|
Les familles de traitements du référentiel gestion des ressources humaines CNIL : finalité, base légale, durée
Le référentiel du 21 novembre 2019 énumère onze finalités, de a) à k) : recrutement, gestion administrative, rémunérations, mise à disposition d'outils professionnels, organisation du travail, suivi des carrières et de la mobilité, formation, registres obligatoires et relations avec les instances représentatives du personnel, communication interne, aides sociales, audits et contentieux. Il propose une base légale indicative pour les plus courantes et liste les données pertinentes.
Règle appliquée dans les tableaux ci-dessous : chaque base légale reprend le choix indicatif du référentiel de 2019, ou du guide recrutement de 2023 quand il l'a fait évoluer. Chaque durée reprend le référentiel des durées de conservation RH de la CNIL avec son texte de référence. Une durée marquée « obligation » est imposée par un texte : l'employeur ne peut pas y déroger. Une durée marquée « recommandation » est un repère de la CNIL dont il peut s'écarter en le justifiant. Quand aucun référentiel ne fixe de durée, le tableau le dit.
Recrutement : données collectées, candidatures non retenues et guide CNIL postérieur
Le recrutement collecte des données pour apprécier une aptitude professionnelle, et rien d'autre. Le référentiel du 21 novembre 2019 traite la gestion des candidatures et la constitution d'une CV-thèque. Le guide de la CNIL consacré au recrutement, publié le 30 janvier 2023, l'a précisé et a fait évoluer la base légale recommandée pour le vivier de candidats.
| Finalité | Données concernées | Base légale mobilisable | Durée de conservation |
|---|---|---|---|
| Gestion des candidatures et des entretiens | Identité, coordonnées, parcours scolaire et professionnel, compétences, appréciations de l'évaluateur | Mesures précontractuelles (art. 6.1.b) ; intérêt légitime (art. 6.1.f) pour une évaluation qui va au-delà de la lecture des CV | Le temps de la procédure, jusqu'au résultat. Candidat retenu : les données passent dans la gestion du personnel. Candidat non retenu : archivage intermédiaire de 5 ans à compter de la date où le poste est pourvu, à titre probatoire (art. L. 1134-5 du code du travail, obligation) |
| Constitution d'un vivier de candidatures non retenues | Mêmes catégories, conservées après clôture du poste | Consentement (art. 6.1.a), recommandé par le guide recrutement de 2023 ; à défaut, intérêt légitime (art. 6.1.f), si le candidat est informé et peut s'opposer simplement | 2 ans au plus à compter du dernier contact avec le candidat (recommandation) |
Sur le vivier de candidats, le guide de la CNIL consacré au recrutement remplace la recommandation du référentiel de 2019, qui retenait l'intérêt légitime. Une CV-thèque fondée sur l'intérêt légitime n'est pas irrégulière pour autant, mais elle impose d'informer chaque candidat et de lui laisser un moyen simple de s'y opposer.
Gestion administrative du personnel et traitement de paie : dossier, absences, formalités déclaratives
Le dossier du personnel repose sur l'exécution du contrat de travail, article 6.1.b du RGPD. Pour la paie, le référentiel distingue deux fondements. L'établissement des rémunérations et la remise des bulletins relèvent du contrat ; la déclaration sociale nominative (DSN) relève de l'obligation légale, article 6.1.c. Les mentions imposées par la loi ne s'effacent pas à la demande du salarié.
| Finalité | Données concernées | Base légale mobilisable | Durée de conservation |
|---|---|---|---|
| Tenue du dossier administratif | État civil, coordonnées, situation familiale, contrat et avenants, absences et congés | Exécution du contrat (art. 6.1.b) ; obligation légale (art. 6.1.c) pour les élections professionnelles et les réunions des instances représentatives du personnel | Durée de la relation de travail, sauf texte contraire, puis archivage intermédiaire seulement en cas d'obligation ou de besoin de preuve, dans la limite de la prescription applicable (recommandation). Mentions du registre unique du personnel : 5 ans après le départ du salarié (art. R. 1221-26 du code du travail, obligation) |
| Paie et formalités déclaratives | Éléments de rémunération, coordonnées bancaires, NIR dont l'usage en paie est encadré | Exécution du contrat (art. 6.1.b) pour l'établissement des rémunérations et la mise à disposition des bulletins ; obligation légale (art. 6.1.c) pour la DSN | Bulletins : 1 mois en base active après transmission, puis 5 ans (art. L. 3243-4 du code du travail) ; bulletins électroniques disponibles 50 ans ou jusqu'à l'âge de la retraite augmenté de 6 ans (art. D. 3243-8). Éléments de calcul des cotisations et DSN : 6 ans (art. L. 243-16 du code de la sécurité sociale). Ordres de virement : 10 ans après la clôture de l'exercice (art. L. 123-22 du code de commerce). Toutes obligatoires |
La remise dématérialisée des fiches de paie obéit à ses propres règles, détaillées dans notre guide pratique sur la mise à disposition des bulletins de salaire.
Gestion de la formation professionnelle, suivi des carrières et mobilité interne
La formation et la gestion des carrières produisent les données les plus sensibles socialement : évaluations, souhaits de mobilité, potentiels identifiés. Le référentiel rattache les demandes de formation et la mobilité professionnelle à l'exécution du contrat, article 6.1.b du RGPD. L'organisation des sessions de formation, l'évaluation professionnelle, la gestion des compétences et la gestion prévisionnelle des emplois et des compétences (GPEC) relèvent de l'intérêt légitime, article 6.1.f.
| Finalité | Données concernées | Base légale mobilisable | Durée de conservation |
|---|---|---|---|
| Gestion de la formation professionnelle | Demandes et actions de formation, diplômes, certifications, évaluations de fin de stage | Exécution du contrat (art. 6.1.b) pour les demandes et périodes de formation ; intérêt légitime (art. 6.1.f) pour l'organisation des sessions et l'évaluation des connaissances | Aucune durée propre dans les référentiels de la CNIL. Repère : la règle du dossier professionnel, soit la durée de la relation de travail, puis archivage intermédiaire seulement en cas d'obligation ou de besoin de preuve |
| Suivi des carrières et mobilité interne | Entretiens annuels, appréciations professionnelles, souhaits et refus de mobilité | Intérêt légitime (art. 6.1.f) pour l'évaluation professionnelle, la gestion des compétences et la GPEC ; exécution du contrat (art. 6.1.b) pour la mobilité professionnelle | Aucune durée propre dans les référentiels de la CNIL. Repère : la règle du dossier professionnel, soit la durée de la relation de travail, puis archivage intermédiaire seulement en cas d'obligation ou de besoin de preuve |
Organisation du travail, action sociale et mise à disposition d'outils informatiques aux salariés
L'action sociale touche fréquemment des données protégées par l'article 9 du RGPD : santé, appartenance syndicale, situation sociale. Le référentiel en exclut la médecine du travail, le service social et le soutien psychologique, et ferme ces données aux supérieurs hiérarchiques. Les outils informatiques reposent sur l'intérêt légitime de l'employeur, article 6.1.f, et non sur le consentement du salarié, que le lien de subordination rend rarement libre.
| Finalité | Données concernées | Base légale mobilisable | Durée de conservation |
|---|---|---|---|
| Organisation du travail | Agendas, plannings et répartition des tâches, décompte du temps de travail | Intérêt légitime (art. 6.1.f) pour les agendas et la répartition des tâches ; obligation légale (art. 6.1.c) pour le décompte du temps de travail exigé par le code du travail | Décompte des heures : jusqu'à l'émission du bulletin de paie, puis 1 an, ou la durée de la période de référence si le temps de travail est aménagé sur plus d'un an ; 3 ans pour les salariés en convention de forfait (art. D. 3171-16 et L. 3245-1 du code du travail, obligation) |
| Gestion des aides et de l'action sociale | Situation familiale, éléments de ressources, et le cas échéant données de l'article 9 | Intérêt légitime (art. 6.1.f) ; pour les données de l'article 9, une exception de l'article 9.2 en plus | Aucune durée fixée par les référentiels de la CNIL : à déterminer selon la prestation servie (art. 5.1.e du RGPD) et à documenter au registre |
| Mise à disposition d'outils informatiques | Comptes et annuaire interne, droits d'accès, journaux de connexion | Intérêt légitime de l'employeur (art. 6.1.f) | Journaux de connexion : 6 mois à 1 an à compter de la connexion (délibération CNIL n° 2021-122, recommandation). Comptes et droits d'accès : pas de durée chiffrée ; le référentiel demande de supprimer les permissions obsolètes et de revoir les habilitations chaque année |
L'avis 2/2017 sur le traitement des données au travail (WP249) écarte le consentement du salarié en raison du lien de subordination, position confirmée par les lignes directrices 05/2020 de l'EDPB sur le consentement. Le référentiel recommande une charte informatique dotée d'une force contraignante pour encadrer ces outils : nous la produisons avec la procédure d'information des personnes et celle d'exercice des droits.
Ce que le référentiel RH ne couvre pas : biométrie, vidéosurveillance, analyse algorithmique de la productivité
Le référentiel du 21 novembre 2019 écarte, en raison de leur sensibilité, les outils innovants (psychométrie, traitements algorithmiques de profilage, « Big Data ») et les traitements qui ont pour objet ou pour effet le contrôle individuel de l'activité des salariés. Il ne s'applique pas non plus aux traitements des organisations syndicales, des instances représentatives du personnel ni de la médecine du travail.
- Contrôle d'accès biométrique : l'article 9 du RGPD pose une interdiction de principe du traitement des données biométriques, sauf exceptions qu'il énumère, et la CNIL encadre ces dispositifs par un règlement type dédié. Le recours à la biométrie plutôt qu'à un badge doit donc être justifié.
- Vidéosurveillance des salariés : dispositif de contrôle de l'activité, soumis à un test de proportionnalité documenté selon l'avis 2/2017 du G29. La CNIL inscrit la vidéosurveillance des employés qui manipulent de l'argent parmi les traitements qui exigent une analyse d'impact, et recommande de ne pas conserver les images plus d'un mois.
- Analyse algorithmique du comportement ou de la productivité : le profilage est exclu du référentiel, et les traitements qui établissent des profils à des fins RH figurent dans la liste de la CNIL des traitements soumis à analyse d'impact.
La géolocalisation des véhicules professionnels relève d'un encadrement distinct, exposé dans notre page consacrée aux limites légales du suivi des véhicules d'entreprise. Avant de cadrer une mission RH, nous demandons la nature des données manipulées, classiques ou sensibles, et l'usage éventuel de l'intelligence artificielle : c'est la criticité des traitements qui les fait sortir du référentiel, pas la taille de l'organisation.
Durée de conservation des données RH quand plusieurs bases légales se superposent sur un même dossier du personnel
Un dossier du personnel n'a pas une durée de conservation, mais autant de durées que de fondements juridiques : l'article 5.1.e du RGPD impose de raisonner pièce par pièce, et non dossier par dossier.
Le référentiel des durées de conservation RH publié par la CNIL le 2 avril 2026, mis à jour le 20 mai 2026, donne pour chaque pièce la durée en base active, la durée d'archivage intermédiaire et le texte de référence. Il ne couvre pas le dossier individuel des agents publics, régi par l'arrêté du 21 décembre 2012.
| Élément du dossier | Base légale mobilisable | Ce qui fixe la durée |
|---|---|---|
| Contrat de travail et avenants | Exécution du contrat (art. 6.1.b) | La durée de la relation de travail, puis la prescription applicable si l'employeur a une obligation de conservation ou un besoin de preuve (recommandation) |
| Bulletins de paie et déclarations sociales | Exécution du contrat (art. 6.1.b) ; obligation légale (art. 6.1.c) pour la DSN | Les textes : 5 ans pour les bulletins après leur transmission (art. L. 3243-4 du code du travail), 6 ans pour les éléments de cotisations et la DSN (art. L. 243-16 du code de la sécurité sociale) |
| Déclarations d'accident du travail | Exception de l'article 9.2.b (droit du travail et de la sécurité sociale) | Le texte : 5 ans à compter de la déclaration (art. D. 4711-3 du code du travail) |
| Données de santé ou d'appartenance syndicale | Exception applicable de l'article 9.2 | Strictement la durée du droit ou de l'obligation qui les justifie |
Un registre RH hérité se vérifie finalité par finalité : sa reprise et sa rationalisation font partie de nos livrables, et ce qui manque se signale par écrit plutôt que de se combler par une estimation. Vous pouvez aligner les traitements RH sur le référentiel avec un accompagnement.
Du référentiel du 21 novembre 2019 au registre des traitements RH : la démarche de reprise
Le référentiel donne le cadre, il ne tient pas le registre à la place de l'employeur : la reprise suit quatre étapes qui partent du terrain, pas du document de la CNIL.
- Inventorier service par service : sur nos missions, le recensement se conduit en ateliers d'une à deux heures par responsable, et les ressources humaines sont l'un des services où la liste des traitements est la plus longue.
- Rapprocher chaque finalité : confronter ligne à ligne les traitements réellement pratiqués aux finalités du référentiel du 21 novembre 2019.
- Inscrire au registre : reporter données, base légale et durée dans le registre de l'article 30, y compris pour les traitements locaux absents du référentiel.
- Documenter les écarts : marquer les traitements hors périmètre, ceux qui appellent une analyse d'impact, et justifier par écrit tout choix divergent.
Le référentiel ne dispense d'aucune inscription au registre. Il propose une base légale indicative par finalité et liste les données pertinentes ; le référentiel des durées de 2026 fixe les durées de conservation. Le registre des activités de traitement prévu à l'article 30 du RGPD reste à la charge de l'employeur.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Le référentiel RH de la CNIL est-il opposable à un employeur ?
Un référentiel n'est pas un texte contraignant : il exprime la lecture que la CNIL fait du RGPD pour les traitements de gestion du personnel. Un employeur peut s'en écarter, mais il doit alors pouvoir justifier ce choix, au titre de la responsabilité qui lui incombe (article 24 du RGPD). En pratique, s'aligner sur le référentiel et documenter les écarts coûte moins d'efforts que de reconstruire une analyse finalité par finalité.
Une collectivité ou un établissement public peut-il s'appuyer sur ce référentiel ?
Oui : le référentiel vise les employeurs privés comme publics. La différence porte sur les bases légales mobilisées. Là où une entreprise s'appuie souvent sur le contrat de travail ou l'obligation légale, un employeur public mobilise fréquemment l'obligation légale et la mission d'intérêt public, et le cadre statutaire remplace le cadre conventionnel. Les finalités et les catégories de données restent les mêmes ; c'est la colonne « base légale » de votre registre qui change.
Peut-on recopier les finalités du référentiel dans son registre des traitements ?
Non, pas telles quelles. Le référentiel sert de trame de contrôle, pas de registre prérempli. Le registre doit décrire les traitements réellement mis en œuvre : une finalité listée par la CNIL mais que vous ne pratiquez pas n'y figure pas, et un traitement local absent du référentiel (badgeuse, annuaire interne, outil de reporting) doit y être ajouté. La méthode fiable reste l'inventaire service par service, puis la confrontation ligne à ligne au référentiel.
Suivre le référentiel dispense-t-il de réaliser une analyse d'impact sur les traitements RH ?
Non. Le référentiel aide à cadrer des traitements courants, il ne vaut pas exemption d'analyse d'impact. Dès qu'un traitement sort de son périmètre ou présente un risque élevé pour les droits des salariés, le besoin d'AIPD s'apprécie séparément, avant la mise en service. Le réflexe utile : marquer dans le registre, pour chaque traitement RH, s'il relève ou non du référentiel, et traiter à part ceux qui n'en relèvent pas.
Notre SIRH est exploité par un prestataire : qu'exiger de lui au titre du référentiel ?
Le prestataire qui traite vos données RH pour votre compte agit comme sous-traitant : le contrat doit comporter les mentions de l'article 28 du RGPD — finalités et durée du traitement, instructions documentées, confidentialité du personnel, mesures de sécurité, recours à des sous-traitants ultérieurs, assistance en cas de violation ou de demande de droits, sort des données en fin de contrat. Exigez aussi la localisation d'hébergement et les durées de purge paramétrées dans l'outil.
Le guide recrutement publié depuis par la CNIL remplace-t-il la partie recrutement du référentiel ?
Il ne l'annule pas : le référentiel de gestion du personnel reste le cadre général, le guide consacré au recrutement le précise sur un périmètre plus étroit (sourcing, tests, prise de notes des évaluateurs, information des candidats). En cas de divergence de formulation, le document le plus récent et le plus spécifique fait foi pour le recrutement. Vérifiez la date de la version que vous citez dans vos procédures internes avant de la diffuser.
Aucun traitement RH n'est documenté chez nous : par quoi commencer concrètement ?
Par un état des lieux, pas par la rédaction de procédures. L'ordre qui tient : atelier de démarrage avec la DRH et la paie, inventaire des traitements service par service, constitution du registre, repérage des besoins d'analyse d'impact, puis rapport et plan d'action priorisé. Les durées de conservation et les mentions d'information se corrigent ensuite, une fois le périmètre connu. Un accompagnement se chiffre en volume de jours sur cette séquence, jamais en lots achetés séparément.
