Quelles obligations le RGPD ajoute-t-il à la conservation des documents RH ?
Réponse courte
Quatre, et aucune ne se confond avec une durée. La première est de documenter : l'article 30 impose un registre des activités de traitement, où figurent la finalité, les catégories de données, les destinataires et les durées prévues. Un archivage sans registre est invisible, donc indéfendable.
La deuxième est la sécurité adaptée au risque (article 32), qui vaut pour les archives comme pour les systèmes actifs — un carton dans un couloir n'y satisfait pas davantage qu'un serveur ouvert.
La troisième est de répondre aux droits des personnes : accès, rectification, effacement, limitation, dans un délai d'un mois. La quatrième est de purger : au-delà de la finalité, la conservation cesse d'être licite, et la durée annoncée dans le registre devient la règle que l'employeur s'est imposée.
Définition
Le registre des activités de traitement recense ce que l'entreprise fait des données : pourquoi, sur quelle base, combien de temps, avec qui. C'est le document que la CNPD demande en premier.
La finalité est ce qui justifie chaque conservation. Elle se formule par traitement, non par document : la même pièce peut relever de deux finalités, avec deux durées différentes.
Conditions d’exercice
Le RGPD ne fixe aucune durée : il impose de les fixer, de les justifier et de s'y tenir.
| Obligation | Portée sur les archives RH | Base |
|---|---|---|
| Registre des traitements | Finalités, catégories de données, destinataires, durées prévues | RGPD, article 30 |
| Limitation de la conservation | Purge à l'expiration de la durée annoncée | RGPD, article 5, paragraphe 1, point e) |
| Minimisation | Ne conserver que les données adéquates, pertinentes et non excessives | RGPD, article 5, paragraphe 1, point c) |
| Sécurité | Mesures adaptées au risque, y compris pour les archives physiques | RGPD, article 32 |
| Droits des personnes | Accès, rectification, effacement, limitation, dans le mois | RGPD, articles 15 à 18 |
| Sous-traitance et transferts | Contrat écrit, encadrement des transferts hors Union | RGPD, article 28 et chapitre V |
Modalités pratiques
Une politique de conservation utile se lit en une page et se rattache au registre des traitements.
| Geste | Marche à suivre |
|---|---|
| Inventaire | Lister les catégories de pièces conservées, y compris les archives papier |
| Finalités | Rattacher chaque catégorie à une finalité et à un fondement |
| Durées | Annoncer une durée par catégorie, et la reprendre au registre |
| Purge | Programmer l'échéance et documenter les destructions |
| Suspension | Prévoir l'arrêt de la purge dès qu'un litige naît |
| Contrôle | Tenir le registre à jour : c'est la première pièce demandée |
Pratiques et recommandations
La durée annoncée est celle qui engage. Beaucoup d'entreprises inscrivent au registre des durées théoriques, plus courtes que la réalité de leurs archives : l'écart se constate en quelques minutes lors d'un contrôle et transforme un manquement mineur en manquement documenté.
Les archives papier sont le point aveugle le plus fréquent. Le registre décrit les applications et oublie les cartons, alors que ce sont eux qui contiennent les dossiers les plus anciens, souvent sans inventaire ni durée. Les faire entrer dans la politique de conservation est l'action la plus rentable.
Le RGPD ne s'oppose pas aux obligations de conservation : il les articule. L'obligation légale et la défense d'un droit en justice sont deux exceptions expresses au droit à l'effacement mais l'employeur doit dire, pièce par pièce, laquelle s'applique.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 5, paragraphe 1, points c) et e) | Minimisation et limitation de la conservation |
| RGPD, article 30 | Registre des activités de traitement |
| RGPD, article 32 | Sécurité du traitement adaptée au risque |
| RGPD, articles 15 à 18 | Droits d'accès, de rectification, d'effacement et de limitation |
| RGPD, article 17, paragraphe 3 | Exceptions tenant à l'obligation légale et à la défense d'un droit en justice |
| Article 16 du Code de commerce | Obligation comptable de dix ans, articulée avec la limitation du RGPD |
Note
Le RGPD n'impose aucune durée : il impose de la fixer, de l'inscrire au registre des traitements et de s'y tenir. Les archives papier doivent y figurer comme les applications, sous peine d'être le seul angle mort du dispositif.