Les données RH

Le service RH détient les données les plus sensibles de l’entreprise. Pas seulement des noms : des états de santé, des situations familiales, des rémunérations, des sanctions, parfois des signalements.

Introduire un outil dans ce périmètre déclenche des obligations que la RH porte, souvent avec le délégué à la protection des données quand il existe.

Cette fiche est un aide-mémoire opérationnel. Elle ne remplace pas ce délégué, et la référence reste la CNIL (cnil.fr), qui publie des guides dédiés au recrutement et à la gestion du personnel.

Les quatre choses à tenir

Le registre des traitements. Tout traitement de données personnelles y figure, avec sa finalité, les données concernées, qui y accède, combien de temps elles sont conservées. Un nouvel outil de recrutement est un nouveau traitement, ou une modification substantielle d’un traitement existant.

C’est la formalité la plus oubliée au moment d’adopter un outil, et la plus simple à faire au bon moment.

Les durées de conservation. Elles doivent être définies et appliquées. Les données des candidats non retenus ne se gardent pas indéfiniment ; la CNIL donne des repères, exprimés en années après le dernier contact. Les dossiers du personnel obéissent à d’autres durées selon les documents.

Le point qui coince en pratique : la purge n’est presque jamais outillée. Un vivier de candidatures de 2017 encore consultable est un manquement banal et facile à corriger.

L’analyse d’impact. Quand un traitement est susceptible d’engendrer un risque élevé pour les personnes, une analyse d’impact préalable est requise. L’évaluation systématique de personnes et le traitement à grande échelle de données sensibles en font partie.

Un outil de présélection de candidatures ou d’évaluation de performance mérite donc l’examen de la question, avant déploiement, avec votre délégué à la protection des données.

Les sous-traitants. L’éditeur de l’outil traite vos données pour votre compte. Il faut un contrat qui l’encadre, savoir où les données sont hébergées, qui y accède, ce qui se passe en cas de violation, et ce que vous récupérez à la fin.

Ce qui vaut pour la RH en particulier

Deux principes qui reviennent tout le temps dans ce métier.

La pertinence. Les informations demandées à un candidat ou à un salarié doivent avoir un lien direct et nécessaire avec l’emploi ou avec la gestion de la relation de travail. Ce principe s’applique aussi à ce qu’un outil collecte : si le système capte plus que nécessaire, la question se pose même si vous ne regardez pas le surplus.

L’accès des personnes. Un candidat, un salarié, un ancien salarié peut demander à savoir ce que vous détenez sur lui, et en obtenir copie. C’est un droit exercé de plus en plus souvent, notamment dans les situations conflictuelles.

Ce droit change la manière d’écrire, et c’est le meilleur test à donner à un manager : est-ce que j’écrirais ça si la personne pouvait le lire ? Parce qu’elle le peut.

La liste rouge du service

Ce qui ne se colle dans aucun outil grand public, quelle que soit l’urgence.

Jamais	Pourquoi
Dossier individuel nommé, fiche de paie	Données personnelles de tiers, parfois sensibles
Arrêt de travail, aménagement, inaptitude	Données de santé
Dossier disciplinaire, procédure en cours	Contentieux potentiel, confidentialité
Signalement, enquête interne, harcèlement	Confidentialité, protection des personnes
Comptes rendus d’entretien individuels	Évaluation, données conservées et opposables
Éléments de rémunération individuelle	Confidentialité, égalité de traitement
Numéros de sécurité sociale, coordonnées bancaires	Aucun usage légitime dans un assistant
CV et candidatures	Données de tiers, usage de sélection

Pour tout le reste, les étiquettes : LE SALARIÉ, LE SERVICE, LE MONTANT, LA DATE. Ou la description de la situation sans le document, qui est presque toujours suffisante et qui ne fait rien sortir.

La violation de données

Un incident se traite vite, et le service RH est souvent celui qui le détecte.

Trois gestes, dans l’ordre. Signaler immédiatement en interne, au délégué à la protection des données ou à la direction. Documenter ce qui est sorti, quand, et combien de personnes sont concernées. Et laisser la décision de notifier à l’autorité de contrôle à qui de droit : les délais sont courts, et ce n’est pas une décision individuelle.

Ce qu’il ne faut pas faire : attendre de voir, ou régler discrètement. Un incident signalé se traite ; le même incident découvert six mois plus tard par quelqu’un d’autre devient un tout autre problème.

Et dis-le clairement à tes équipes : signaler ne sera pas sanctionné. Sans cette assurance, personne ne signale.

Les outils qui arrivent sans que vous le sachiez

Un phénomène qui prend de l’ampleur, et qui concerne directement ce module.

Des fonctions d’IA sont ajoutées à des logiciels que vous utilisez déjà : messagerie, visioconférence, suite bureautique, logiciel de paie, outil de gestion des candidatures. Elles s’activent parfois par défaut, à l’occasion d’une mise à jour.

Deux exemples fréquents : la transcription et le résumé automatiques de réunions, activés sans que les participants en aient été informés ; et les fonctions de synthèse dans un outil de recrutement, qui peuvent basculer un usage ordinaire en usage de sélection.

Le réflexe à installer : à chaque mise à jour majeure d’un outil qui touche des données RH, demander au service informatique ce qui a changé et ce qui est activé par défaut. Puis vérifier si ça modifie ce que vous avez déclaré, informé et consulté.

Vérifie ta compréhension

Question : votre logiciel de visioconférence propose désormais un résumé automatique des réunions, activé par défaut. Vous l’utilisez pour les entretiens de recrutement à distance. Que fais-tu ?

Réponse : tu le désactives, puis tu traites la question dans le bon ordre. Un résumé automatique suppose une transcription, donc un traitement de la parole des candidats, sans qu’ils en aient été informés et sans qu’ils aient pu refuser. Ça touche aussi à l’obligation d’information préalable sur les méthodes de recrutement. Si la fonction est utile, elle se remet en service après : information des candidats, vérification de l’hébergement et de la durée de conservation, mention au registre, et information des représentants du personnel si l’usage s’étend aux réunions internes.

Dernière fiche : écrire la règle, et la faire vivre.