Qui peut consulter les dossiers du personnel dans l'entreprise ?
Réponse courte
Ceux dont les fonctions le justifient, et personne d'autre. Aucun texte ne dresse la liste des habilitations : elle découle du principe de minimisation et de l'obligation de sécurité de l'article 32 du RGPD, qui impose des mesures adaptées au risque — l'accès en fait partie.
En pratique, trois cercles se distinguent. Le service du personnel, qui gère la relation de travail. Le responsable hiérarchique, pour les seuls éléments nécessaires à l'exercice de ses fonctions — un manager n'a pas à consulter les certificats médicaux ni les pièces de paie. Et les tiers, prestataire de paie ou hébergeur, dont l'accès suppose un contrat de sous-traitance au sens de l'article 28.
Deux acteurs sont souvent mal situés : la délégation du personnel, qui n'a pas accès aux dossiers individuels, et le salarié lui-même, qui y a droit au titre de l'article 15.
Définition
L'habilitation est le droit d'accéder à une catégorie de données, attaché à une fonction et non à une personne. Elle se révise lorsque la fonction change, ce que peu d'organisations font.
La journalisation enregistre les consultations. Aucun texte ne l'impose en tant que telle : elle constitue la mesure la plus simple pour démontrer que les accès étaient maîtrisés.
Conditions d’exercice
Chaque catégorie de données appelle un cercle d'accès différent : c'est la granularité, non le principe, qui fait défaut dans la plupart des organisations.
| Acteur | Accès | Limite |
|---|---|---|
| Service du personnel | Aux pièces nécessaires à la gestion de la relation | Minimisation par fonction |
| Responsable hiérarchique | Aux éléments utiles à l'encadrement | Ni données de santé, ni pièces de paie |
| Direction | Aux éléments nécessaires à une décision déterminée | Pas d'accès général permanent |
| Prestataire de paie ou hébergeur | Selon les instructions du responsable de traitement | Contrat de sous-traitance (RGPD, article 28) |
| Délégation du personnel | Pas d'accès aux dossiers individuels | Sauf mandat exprès du salarié |
| Salarié concerné | Accès à ses propres données | RGPD, article 15, réponse dans le mois |
Modalités pratiques
Les habilitations se définissent par fonction et se révisent aux mouvements de personnel, d'où proviennent la plupart des dérives.
| Geste | Marche à suivre |
|---|---|
| Définition | Établir une matrice fonction / catégorie de données |
| Données sensibles | Séparer physiquement ou logiquement les certificats médicaux |
| Mouvements internes | Retirer les accès au changement de fonction, non au départ seulement |
| Prestataires | Contractualiser et limiter les accès à ce qui est nécessaire |
| Journalisation | Enregistrer les consultations sur les données sensibles |
| Revue périodique | Contrôler une fois par an la liste des personnes habilitées |
Pratiques et recommandations
L'accès du manager est le point le plus fréquemment mal réglé. Un responsable a besoin de connaître les absences et leurs dates, non leur cause ; les objectifs et l'évaluation, non la rémunération de l'ensemble de l'équipe. Une matrice qui distingue ces catégories vaut mieux qu'un accès global assorti d'une consigne de discrétion.
Les accès résiduels s'accumulent silencieusement. Une personne qui a changé de fonction conserve souvent ses droits antérieurs, faute de procédure de retrait : la revue annuelle est la mesure la plus rentable de toute politique de sécurité.
Le droit d'accès du salarié se prépare. Il porte sur l'ensemble des données le concernant, notes internes comprises, et se traite dans le mois. Une organisation qui ignore où se trouvent ces données ne pourra pas répondre — et l'inventaire nécessaire est le même que celui d'une politique de conservation.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 32 | Sécurité du traitement adaptée au risque, dont la maîtrise des accès |
| RGPD, article 5, paragraphe 1, point c) | Minimisation des données traitées |
| RGPD, article 28 | Contrat de sous-traitance encadrant les prestataires |
| RGPD, article 15 | Droit d'accès du salarié à ses propres données |
| RGPD, article 9 | Interdiction de principe du traitement des données de santé |
| Article L.414-1 du Code du travail | Information de la délégation, distincte d'un accès aux dossiers individuels |
Note
Aucune liste légale n'existe : l'accès se règle par la minimisation et la sécurité, fonction par fonction. Le manager n'a pas à consulter les données de santé ni les pièces de paie, et la délégation n'accède pas aux dossiers individuels.