Logiciel RH et RGPD : ce qu'un SIRH doit garantir

Un logiciel de gestion des ressources humaines concentre ce que l'entreprise sait de ses salariés : rémunération, numéro de sécurité sociale, arrêts de travail, entretiens annuels, temps de travail. Choisir un logiciel RH RGPD compatible ne se résume pas à lire la page « sécurité » de l'éditeur : l'employeur reste responsable de traitement, et l'outil doit lui permettre de tenir les obligations du référentiel de la CNIL relatif à la gestion du personnel. Cet article se limite aux points propres à un SIRH ; les obligations RH générales sont traitées dans le guide RGPD et ressources humaines du site.

Quelles données un logiciel RH concentre-t-il ?

Un logiciel RH regroupe des données d'identification, de rémunération, une donnée à protection renforcée (le NIR) et des données de santé au sens de l'article 9 du RGPD : arrêts de travail, visites médicales, reconnaissance de la qualité de travailleur handicapé. Chaque catégorie appelle une vigilance propre.

Le référentiel CNIL rappelle que les données de santé, en principe interdites par l'article 9.1 du RGPD, ne sont admises pour l'employeur qu'au titre du droit du travail et de la sécurité sociale : accidents du travail, arrêts, suivi administratif des visites médicales. Le NIR ne se collecte que pour la paie et la DSN, jamais avant la validation définitive d'une candidature.

Quelle base légale et quelles durées pour chaque finalité ?

Le référentiel CNIL associe une base légale à chaque finalité courante : exécution du contrat pour le dossier professionnel et les bulletins, obligation légale pour la DSN, intérêt légitime pour les annuaires internes ou l'évaluation professionnelle. Le consentement du salarié reste exceptionnel, le lien de subordination le privant de la liberté de refuser.

Le référentiel CNIL des durées de conservation RH, publié le 2 avril 2026, distingue base active et archive intermédiaire : le double des bulletins de paie se conserve cinq ans au titre de l'article L3243-4 du code du travail, les décomptes du temps de travail jusqu'à l'édition du bulletin puis un an en archive, les journaux d'une badgeuse non biométrique trois mois (recommandation). Un logiciel RH RGPD doit offrir des durées réglables par type de donnée et une purge effective, pas un simple statut « archivé ».

Qui accède à quoi : les habilitations par rôle

Le référentiel exige que seules les personnes habilitées, selon leurs missions, accèdent aux données, que ces habilitations soient documentées et que les accès soient tracés. Cela suppose des profils distincts, revus chaque année, et une journalisation des accès que l'éditeur doit pouvoir exporter.

• Manager : planning, congés et entretiens de son équipe ; ni le salaire, ni le motif d'absence.
• Service RH : dossier administratif complet, hors paie si la fonction est séparée.
• Service paie : NIR, rémunération, saisies, flux vers la DSN.
• Salarié en libre-service : ses propres données et bulletins, rien sur ses collègues.

Informer les salariés et consulter le CSE avant le déploiement

L'article L2312-38 du code du travail impose, dans les entreprises d'au moins cinquante salariés, d'informer le CSE avant l'introduction d'un traitement automatisé de gestion du personnel, et de l'informer puis de le consulter avant tout moyen de contrôle de l'activité des salariés. Un SIRH relève du premier cas ; sa badgeuse ou son suivi d'activité relèvent du second.

Côté salariés, l'article L1222-4 interdit de collecter une information les concernant par un dispositif qui ne leur a pas été présenté au préalable. L'information prévue à l'article 13 du RGPD (finalités, base légale, destinataires, durées, droits) se donne par écrit : note de service, charte informatique, écran à la première connexion. C'est un point souvent négligé lors d'un changement de logiciel RH RGPD.

Hébergement, transferts hors UE et interconnexions

L'éditeur est un sous-traitant au sens de l'article 28 du RGPD : un contrat écrit fixe l'objet, la durée, les instructions, la confidentialité, les sous-traitants ultérieurs, la sécurité, l'audit et le sort des données en fin de prestation. Si l'hébergement ou le support se situent hors de l'Union, chaque transfert hors UE repose sur une décision d'adéquation ou des clauses contractuelles types. Avec un éditeur américain, vérifiez que l'entité contractante est certifiée au titre du cadre de transfert en vigueur et que ce périmètre couvre vos données RH ; la liste des pays couverts par une décision d'adéquation évolue, et le contrat doit prévoir ce qui se passe si une base de transfert disparaît.

Les interconnexions appellent le même examen : chaque flux vers la paie, la mutuelle, le service de santé au travail ou les organismes sociaux désigne un destinataire à inscrire au registre, limité aux données nécessaires à sa mission.

Faut-il une AIPD pour un logiciel RH ?

Pas pour un SIRH classique dans un organisme de moins de 250 personnes. Le référentiel CNIL indique qu'une AIPD n'est pas requise pour la paie, la formation, les frais, les entretiens annuels ou la messagerie, sans profilage ni biométrie, dans ces organismes ; au-delà de ce seuil, l'analyse se fait au cas par cas. Elle devient obligatoire dès que l'outil établit des profils de salariés (notation, détection des hauts potentiels, prédiction des départs), surveille leur activité de manière constante ou gère des alertes professionnelles : ces trois cas figurent sur la liste CNIL des traitements soumis à AIPD. Hors de cette liste, elle s'impose dès que deux des neuf critères du CEPD sont réunis, les salariés étant considérés comme vulnérables : un module de recrutement algorithmique ou une badgeuse biométrique font basculer un logiciel RH RGPD ordinaire dans ce périmètre.

Anticiper la fin du contrat : restitution et suppression

L'article 28 du RGPD impose au sous-traitant, au choix du responsable de traitement, de supprimer ou de restituer toutes les données en fin de prestation et d'en détruire les copies. Vérifiez avant de signer le format d'export (lisible sans le logiciel, bulletins compris), le délai de réversibilité et la remise d'une attestation de suppression.

À retenir

• Un logiciel RH manipule du NIR et des données de santé : leur cloisonnement par rôle est le premier critère.
• Bases légales et durées se paramètrent finalité par finalité, d'après les deux référentiels RH de la CNIL.
• Dès 50 salariés, le CSE est informé avant tout traitement automatisé de gestion du personnel, consulté si l'outil contrôle l'activité.
• L'éditeur est un sous-traitant : contrat article 28, transferts hors UE et réversibilité se vérifient avant de signer pour un logiciel RH RGPD.
• Sous 250 personnes, un SIRH courant est dispensé d'AIPD ; profilage, surveillance constante, alertes professionnelles ou biométrie la rendent nécessaire.