Quels sont les impacts du RGPD sur la conservation des documents RH ?
Réponse courte
Le RGPD impose aux employeurs de ne conserver les documents RH contenant des données personnelles que pour une durée strictement nécessaire à la finalité du traitement, en respectant les délais légaux spécifiques à chaque type de document (par exemple, cinq ans pour les contrats de travail et bulletins de paie, six mois pour les données de recrutement sans consentement prolongé). Toute conservation au-delà de ces délais doit être justifiée par une obligation légale, contractuelle ou un intérêt légitime documenté.
L’employeur doit garantir la sécurité, la traçabilité et la limitation des accès aux documents RH, tenir un registre des traitements, et mettre en place des procédures de suppression ou d’anonymisation dès que la conservation n’est plus justifiée. Il doit également informer les salariés et candidats de leurs droits et des durées de conservation, et former les personnes habilitées à la gestion de ces données.
Le non-respect de ces obligations expose l’employeur à des sanctions administratives de la CNPD et à des actions en responsabilité. Une politique interne claire, un calendrier de purge automatique et une documentation rigoureuse des actions sont recommandés pour assurer la conformité.
Définition
Le Règlement général sur la protection des données (RGPD), applicable au Luxembourg depuis le 25 mai 2018, encadre strictement le traitement des données à caractère personnel, y compris celles relatives aux salariés, candidats et anciens salariés. Dans le domaine des ressources humaines, la conservation des documents implique la gestion, l’archivage, la suppression ou l’anonymisation des dossiers contenant des informations personnelles. Le RGPD impose des obligations spécifiques concernant la durée de conservation, la sécurité, la finalité, la traçabilité et l’accès à ces documents.
La conservation des documents RH doit également respecter les principes d’égalité de traitement, de transparence et d’encadrement humain dans la gestion des données, conformément aux exigences du droit luxembourgeois.
Conditions d’exercice
La conservation des documents RH est soumise au principe de limitation de la conservation, selon lequel les données ne peuvent être conservées que pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées. La durée de conservation varie selon la nature du document et l’obligation légale ou contractuelle applicable.
Par exemple :
- Les contrats de travail et avenants doivent être conservés pendant cinq ans à compter de la fin de la relation de travail (article L.261-1 du Code du travail).
- Les bulletins de paie doivent être conservés pendant cinq ans (article L.261-1 du Code du travail).
- Les documents relatifs à la sécurité sociale ou à la fiscalité peuvent être soumis à des délais plus longs, notamment en vertu de l’article 132 du Code des assurances sociales et de l’article 167 du Code général des impôts.
- Les données collectées à des fins de recrutement doivent être supprimées ou anonymisées dans un délai maximum de six mois après la clôture du processus, sauf consentement exprès du candidat pour une conservation plus longue.
L’employeur doit également garantir l’égalité de traitement dans la gestion des dossiers et assurer la traçabilité des accès et des suppressions.
Modalités pratiques
L’employeur doit établir et tenir à jour un registre des activités de traitement recensant les catégories de documents RH conservés, leur durée de conservation, leur finalité, les mesures de sécurité et les modalités d’accès. Ce registre doit être conforme à l’article 30 du RGPD et à l’article 12 de la loi modifiée du 1er août 2018.
La suppression ou l’anonymisation des données doit intervenir dès que la conservation n’est plus justifiée par une obligation légale, contractuelle ou un intérêt légitime documenté et proportionné. Les accès aux documents RH doivent être strictement limités aux personnes habilitées, avec une traçabilité des consultations et des modifications.
En cas de contrôle par la Commission nationale pour la protection des données (CNPD), l’employeur doit pouvoir démontrer la conformité de ses pratiques, notamment par la production du registre, des politiques internes et des preuves de formation du personnel habilité.
Pratiques et recommandations
Il est recommandé de mettre en place une politique interne de gestion documentaire précisant les durées de conservation applicables à chaque catégorie de document RH, en conformité avec les obligations légales et les recommandations de la CNPD.
Un calendrier de purge automatique doit être instauré pour garantir la suppression régulière des données arrivées à échéance. Les salariés et candidats doivent être informés, lors de la collecte de leurs données, des durées de conservation applicables et de leurs droits d’accès, de rectification et d’effacement.
En cas de contentieux, la conservation des documents doit être adaptée à la prescription applicable (par exemple, trois ans pour les actions en paiement de salaire, article L.221-1 du Code du travail). Toute conservation excessive ou injustifiée expose l’employeur à des sanctions administratives de la CNPD et à des actions en responsabilité.
Il est également conseillé de former régulièrement les personnes habilitées à la gestion des données personnelles et de documenter toutes les actions relatives à la conservation, la suppression ou l’accès aux documents RH.
Cadre juridique
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment articles 5, 6, 9, 17, 30 et 32
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, notamment articles 12, 13 et 14
- Code du travail luxembourgeois, notamment articles L.261-1, L.221-1 et suivants
- Code des assurances sociales, article 132
- Code général des impôts, article 167
- Recommandations et décisions de la CNPD
- Jurisprudence luxembourgeoise relative à la proportionnalité et à la justification des durées de conservation
Note
Veillez à actualiser régulièrement votre politique de conservation des documents RH en fonction des évolutions législatives, des recommandations de la CNPD et de la jurisprudence. Assurez-vous que toute conservation, suppression ou accès aux documents soit traçable et encadré par une intervention humaine qualifiée.