L'employeur peut-il externaliser la gestion de ses documents RH ?
Réponse courte
Oui, et rien ne s'y oppose — mais l'externalisation ne déplace aucune obligation. L'employeur reste responsable du traitement : c'est lui qui doit produire les documents à l'ITM dans les meilleurs délais (L.614-4), répondre aux demandes d'accès des salariés dans le mois, et justifier la licéité des traitements.
Le prestataire agit sur ses instructions, dans le cadre du contrat de sous-traitance exigé par l'article 28 du RGPD : objet, durée, finalités, obligations de sécurité, recours à des sous-traitants ultérieurs, sort des données en fin de mission.
Trois clauses décident de la suite : la réversibilité, c'est-à-dire la restitution des données et des journaux dans un format exploitable ; la durée pendant laquelle le prestataire conserve les historiques ; et son concours en cas de contrôle ou de demande d'accès, qui ne va pas de soi.
Définition
Le responsable du traitement détermine les finalités et les moyens ; le sous-traitant agit pour son compte. Cette qualification ne dépend pas du contrat mais de la réalité : un prestataire qui décide seul des finalités devient responsable à son tour.
La réversibilité est la faculté de récupérer les données en fin de relation. Elle ne se présume pas et n'est pas incluse par défaut dans les offres du marché.
Conditions d’exercice
Ce qui reste à la charge de l'employeur ne se négocie pas ; ce qui incombe au prestataire se contractualise.
| Obligation | Qui la supporte | Base |
|---|---|---|
| Produire les documents lors d'un contrôle | L'employeur | L.614-4 |
| Répondre à une demande d'accès du salarié | L'employeur | RGPD, article 15 |
| Justifier la licéité et les durées | L'employeur | RGPD, articles 5 et 6 |
| Sécuriser le traitement | Les deux, selon leur rôle | RGPD, article 32 |
| Agir sur instructions documentées | Le prestataire | RGPD, article 28 |
| Restituer ou supprimer les données en fin de mission | Le prestataire, selon le contrat | RGPD, article 28 |
Modalités pratiques
Le contrat se lit avant la signature sur trois points seulement, mais ils décident de tout.
| Clause | Ce qu'elle doit prévoir |
|---|---|
| Réversibilité | Restitution des données et des journaux dans un format ouvert |
| Durée de conservation chez le prestataire | Combien de temps il garde les historiques, et ce qu'il en fait ensuite |
| Concours en cas de contrôle | Délai de mise à disposition, interlocuteur, format |
| Sous-traitants ultérieurs | Autorisation préalable et information de tout changement |
| Localisation des données | Pays d'hébergement et pays d'accès, transferts encadrés |
| Fin de mission | Restitution puis suppression, avec attestation |
Pratiques et recommandations
La fin de contrat est le moment critique. Une résiliation fait disparaître l'accès aux journaux qui établissaient les pointages, les validations ou les envois — parfois sur plusieurs années. L'export périodique, archivé hors de la plateforme, est la seule parade réellement efficace.
Le concours en cas de contrôle se stipule au contrat. L'ITM fixe un délai, et l'entreprise qui doit attendre la réponse d'un prestataire situé dans un autre fuseau horaire supporte seule les conséquences du retard.
L'externalisation ne dispense pas de l'inventaire. Savoir quelles catégories de données sont détenues par quel prestataire, et pour combien de temps, est ce qui permet de répondre à une demande d'accès ou d'effacement — obligation qui reste entièrement celle de l'employeur.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 28 | Contrat de sous-traitance : instructions, sécurité, sous-traitants ultérieurs, sort des données |
| RGPD, article 24 | Responsabilité du responsable du traitement |
| RGPD, article 15 | Droit d'accès exercé auprès de l'employeur |
| RGPD, article 32 | Sécurité du traitement adaptée au risque |
| Article L.614-4 du Code du travail | Communication des documents à l'ITM dans les meilleurs délais |
| RGPD, chapitre V | Transferts hors Union européenne |
Note
L'externalisation est libre mais ne transfère aucune obligation : l'employeur reste responsable devant l'ITM et devant ses salariés. Négociez la réversibilité et exportez régulièrement : la fin d'un contrat de service fait disparaître les historiques.