Bases légales RGPD ressources humaines : finalités

Mis à jour le 5 octobre 2026

Le choix d'une base légale et les six fondements de l'article 6 sont détaillés dans notre article sur la notion de base légale et la façon de la choisir. Cette page ne traite que leur application aux traitements de ressources humaines, famille par famille, d'après le référentiel de la CNIL relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel (2022).

Un point d'abord, parce qu'il explique l'absence du mot « consentement » dans les tableaux qui suivent. Le consentement n'est pratiquement jamais une base légale valable en relations de travail : le G29 l'écarte dans son avis 2/2017 sur le traitement des données au travail (WP249) en raison du lien de subordination, et l'EDPB le confirme dans ses lignes directrices 05/2020 sur le consentement. L'employeur se fonde donc sur le contrat, la loi ou l'intérêt légitime. Ce travail complète les deux documents de base attendus d'une TPE-PME en protection des données.

Gestion administrative du personnel : exécution du contrat de travail ou intérêt légitime selon la finalité

La gestion administrative du personnel ne relève pas d'une base légale unique : le dossier professionnel repose sur l'exécution du contrat de travail (article 6.1.b du RGPD), tandis que les annuaires internes, organigrammes, états statistiques et dotations individuelles relèvent de l'intérêt légitime (article 6.1.f).

Données collectées dans le dossier du personnel : ce que retient le référentiel CNIL relatif à la gestion du personnel

L'article 5.1.c du RGPD impose des données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Le dossier du personnel se borne à cette règle, pas à ce que le logiciel de gestion permet de saisir.

Le référentiel retient l'identité (nom, prénom, sexe, date et lieu de naissance, nationalité, coordonnées professionnelles, situation familiale, enfants à charge), la situation professionnelle (lieu de travail, numéro d'identification interne, date d'entrée, ancienneté, emploi et coefficient, nature du contrat, taux d'invalidité, reconnaissance de la qualité de travailleur handicapé), le titre valant autorisation de travail des salariés étrangers, les personnes à prévenir en cas d'urgence, les distinctions honorifiques et le suivi administratif des visites médicales.

Deux lignes de ce dossier ne relèvent pas du seul article 6. La RQTH et l'aptitude au poste sont des données de santé, l'appartenance syndicale une donnée sensible : elles relèvent de l'article 9 du RGPD, dont le 9.2.b autorise le traitement nécessaire aux obligations et droits de l'employeur en droit du travail et de la sécurité sociale, dans la mesure permise par le droit national. Sur les durées de conservation, notre règle est fixe : aucune durée que nous n'avons pas retrouvée dans un texte, un référentiel ou une délibération n'est inscrite au registre, la case reste en attente plutôt qu'estimée. Pour la cartographie complète des finalités, voir la schématisation du référentiel RH de la CNIL.

Annuaires internes, organigrammes et dotations individuelles : des finalités fondées sur l'intérêt légitime, non sur une obligation légale

L'intérêt légitime ne se décrète pas : il suppose une mise en balance écrite avec les droits et libertés des salariés, et il ouvre au salarié un droit d'opposition au titre de l'article 21 du RGPD. C'est exactement ce que perd l'employeur qui inscrit « obligation légale » en face d'un annuaire interne.

Pourquoi l'annuaire, l'organigramme, les états statistiques ou les dotations de véhicules ne relèvent-ils pas de l'exécution du contrat ? Parce que le critère de nécessité est objectif. Les lignes directrices 2/2019 de l'EDPB sur l'article 6.1.b posent qu'un traitement n'est fondé sur le contrat que s'il est objectivement indispensable à son exécution, et non simplement utile ou prévu par une clause. Un salarié travaille sans figurer dans l'annuaire ; il ne travaille pas sans être payé.

Les dispositifs permettant un contrôle individuel de l'activité — géolocalisation des véhicules, badgeuse, vidéoprotection, exploitation des données de connexion — sortent du périmètre de ce référentiel et s'analysent un par un. L'inventaire des traitements de ressources humaines se mène en ateliers d'une à deux heures par responsable de service ; les RH sont l'un des services où la liste est la plus longue, de l'administration du personnel aux activités sociales en passant par la paie, le recrutement, la carrière et la formation. Ce n'est pas l'effectif qui fait le volume de travail, c'est le nombre de services à rencontrer. Un registre RH hérité ne se prend jamais pour acquis : il se vérifie finalité par finalité, et ce qui manque se signale par écrit.

Paie, bulletins de salaire et déclarations sociales : deux bases légales pour une même chaîne de traitement

La paie mobilise deux bases distinctes : l'exécution du contrat de travail (article 6.1.b du RGPD) pour l'établissement des rémunérations et la mise à disposition des bulletins de salaire, l'obligation légale (article 6.1.c) pour la déclaration sociale nominative.

Données de paie collectables et principe de minimisation des données RH

Les données de paie se déduisent de la finalité — régime et base de calcul de la rémunération, éléments déterminant un complément, congés et absences donnant lieu à retenue ou indemnisation, retenues légalement opérées, frais professionnels, taux de prélèvement à la source, numéros attribués par les organismes d'assurance sociale, de retraite et de prévoyance, situation familiale et enfants à charge, données transmises par la DSN.

Le numéro de sécurité sociale appelle un traitement à part. Son usage est encadré par le décret n° 2019-341 du 19 avril 2019 relatif aux traitements comportant l'usage du NIR, pris dans le cadre national fixé par la loi n° 78-17 du 6 janvier 1978 modifiée. Un NIR recopié dans un outil RH hors des cas prévus n'est pas un excès de zèle : c'est une donnée traitée sans fondement.

La remise du bulletin, ses modalités d'accès et sa conservation forment un sujet distinct de la qualification de la base légale : elles sont traitées dans notre guide pratique sur la mise à disposition des bulletins de salaire.

Recrutement, suivi de carrière, évaluation professionnelle et formation : où s'arrête l'exécution du contrat de travail

L'exécution du contrat s'arrête là où le traitement sert l'employeur au-delà du contrat : la mobilité professionnelle et les demandes de formation relèvent de l'article 6.1.b du RGPD, l'évaluation professionnelle, la gestion des compétences et la GPEC de l'intérêt légitime (article 6.1.f).

Le recrutement précède l'embauche : il se qualifie séparément, et ses finalités ne figurent pas parmi celles reprises ci-dessus. Les données collectables y sont bornées par l'article L. 1221-6 du code du travail : les informations demandées au candidat ne peuvent avoir pour finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles, et doivent présenter un lien direct et nécessaire avec cet emploi.

• Candidatures et entretiens : mesures précontractuelles prises à la demande de la personne (art. 6.1.b), dans les limites de l'article L. 1221-6.
• Conservation en vivier : intérêt légitime (art. 6.1.f), information du candidat et mise en balance écrite.
• Mobilité professionnelle : exécution du contrat (art. 6.1.b).
• Évaluation professionnelle : intérêt légitime (art. 6.1.f), sur des critères objectifs liés à l'emploi occupé.
• Compétences et GPEC : intérêt légitime (art. 6.1.f).
• Demandes et périodes de formation : exécution du contrat (art. 6.1.b).
• Sessions de formation et évaluation des connaissances : intérêt légitime (art. 6.1.f).

La frontière surprend souvent les directions des ressources humaines : l'entretien annuel, qui figure pourtant dans la plupart des conventions, n'est pas objectivement indispensable à l'exécution du contrat. Documenter cette qualification n'est pas une précaution d'école : la norme ISO/IEC 27701 demande elle aussi que la finalité et la base légale de chaque traitement soient écrites et réexaminées.

Activités sociales, élections professionnelles et instances représentatives du personnel : l'obligation légale et ses limites

Les élections professionnelles et l'organisation des réunions des instances représentatives du personnel reposent sur l'obligation légale (article 6.1.c du RGPD), tandis que l'action sociale et culturelle mise en œuvre par l'employeur relève de l'intérêt légitime (article 6.1.f).

• Élections professionnelles : obligation légale (art. 6.1.c) — listes électorales, candidatures, résultats.
• Réunions des instances : obligation légale (art. 6.1.c) — convocations, documents préparatoires, comptes rendus et procès-verbaux.
• Action sociale et culturelle : intérêt légitime (art. 6.1.f) — identité des ayants droit, revenus, prestations demandées et servies, à l'exclusion de la médecine du travail, du service social et du soutien psychologique.
• Crédit d'heures de délégation : données révélant un mandat électif ou syndical, relevant de l'article 9 du RGPD et de son 9.2.b, et non du seul article 6.

L'obligation légale s'arrête aux traitements qu'un texte impose au responsable de traitement. Elle ne couvre ni le confort de gestion, ni les tableaux de suivi que l'employeur construit autour de l'événement électoral pour son propre pilotage : ceux-là retombent sur l'intérêt légitime et sa mise en balance. Dans le secteur public, le même raisonnement se double des règles propres aux employeurs publics, détaillées dans notre analyse des obligations RGPD des collectivités territoriales, où la mission d'intérêt public remplace souvent l'intérêt légitime.

Pourquoi un même dossier du personnel superpose plusieurs bases légales, et comment les qualifier finalité par finalité au registre des traitements ressources humaines

Un dossier du personnel unique porte au moins trois bases légales, parce que la qualification s'applique à la finalité élémentaire, pas au dossier ni au logiciel qui l'héberge.

L'erreur de qualification la plus lourde consiste à inscrire « obligation légale » en face d'un traitement qui relève en réalité de l'intérêt légitime. Elle prive l'organisation de la mise en balance qu'elle aurait dû écrire, et le salarié du droit d'opposition qu'il tient de l'article 21. À l'inverse, invoquer le contrat pour l'évaluation ou l'annuaire expose à un fondement que l'EDPB écarte. Nous l'assumons : aucun de ces arbitrages n'est automatique.

1. Écrire la finalité réelle, telle qu'elle est poursuivie, pas telle qu'elle est présentée.
2. Chercher le texte qui impose le traitement à l'employeur : s'il existe et qu'il le vise, c'est l'obligation légale.
3. Tester la nécessité objective au contrat selon les lignes directrices 2/2019 : utile ne suffit pas.
4. À défaut, documenter l'intérêt légitime par une mise en balance écrite, datée et conservée avec la fiche.
5. Vérifier l'article 9 : santé, syndicat, handicap appellent une condition supplémentaire.
6. Reporter au registre finalité, base, catégories de données et durée, en laissant la durée en attente faute de source.

La méthode vaut au-delà des RH : la rédaction d'un registre chez un courtier en assurance suit la même logique, tout comme l'usage de données personnelles à des fins de recherche scientifique, qui obéit en outre à ses propres conditions.

Un registre RH juste ne se déduit pas d'un modèle : il se construit service par service, finalité par finalité, à partir de ce que font réellement la paie, le recrutement et la formation. C'est l'objet de l'inventaire mené au démarrage d'une mise en conformité, dont sortent le registre des activités de traitement, les procédures d'exercice des droits et d'information des personnes, la notice RGPD et la charte informatique. Si vos fiches RH portent toutes la même base légale, la reprise finalité par finalité est le premier chantier à ouvrir.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus