Que risque un employeur qui conserve trop longtemps ses données RH ?
Réponse courte
Une sanction de la CNPD, et une exposition dont on mesure mal l'ampleur. Conserver au-delà de la finalité viole le principe de limitation de la conservation, et les manquements aux principes de l'article 5 relèvent du plafond le plus élevé du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 5).
Le risque se réalise rarement par un contrôle spontané. Il naît d'une demande d'accès ou d'une demande d'effacement : le salarié découvre des pièces anciennes, en conteste la conservation, et la réclamation devant la CNPD suit.
Un second effet, plus immédiat, est souvent oublié : ce que l'entreprise conserve, elle devra le communiquer. Des notes, des évaluations ou des échanges vieux de dix ans nourrissent la contestation bien plus qu'ils ne servent la défense.
Définition
La conservation excessive est le maintien de données au-delà de la durée nécessaire à la finalité poursuivie. Elle ne suppose aucune intention : l'oubli produit le même manquement qu'une décision.
La durée annoncée est celle que l'entreprise a inscrite au registre des traitements ou dans son information aux salariés. L'écart entre cette durée et la réalité est ce qui se constate le plus vite.
Conditions d’exercice
Le manquement s'apprécie catégorie par catégorie, et se démontre par comparaison.
| Élément vérifié | Ce qui constitue le manquement |
|---|---|
| Durée inscrite au registre des traitements | Données encore présentes après l'échéance annoncée |
| Information donnée aux salariés | Écart entre la durée communiquée et la pratique |
| Candidatures non retenues | Conservation au-delà du recrutement, sans accord du candidat |
| Données de surveillance | Dépassement de la durée annoncée dans l'information préalable |
| Dossiers d'anciens salariés | Maintien sans obligation ni action possible |
| Sauvegardes | Données subsistant après suppression dans les systèmes actifs |
Modalités pratiques
Le risque se traite par la cohérence : ce qui est annoncé doit correspondre à ce qui est fait.
| Geste | Marche à suivre |
|---|---|
| Alignement | Comparer les durées du registre à l'état réel des systèmes |
| Purge | Programmer les échéances par catégorie et documenter les destructions |
| Sauvegardes | Fixer une durée de rétention et l'articuler avec la purge |
| Demande d'effacement | Répondre dans le mois, pièce par pièce, en motivant les refus |
| Archives papier | Les inventorier : elles échappent le plus souvent aux politiques |
| Traçabilité | Conserver les procès-verbaux de destruction |
Pratiques et recommandations
La demande d'accès est le vrai déclencheur. Un salarié en conflit demande ses données, découvre des notes d'entretien de 2015 et une évaluation qu'il n'avait jamais vue : la question de la durée devient alors secondaire par rapport à celle du contenu, mais les deux se plaident ensemble devant la CNPD.
Annoncer une durée réaliste protège mieux qu'une durée courte. Inscrire trois ans au registre puis conserver dix ans crée un manquement documenté ; inscrire la durée réellement pratiquée, avec son fondement, se défend.
La conservation excessive coûte aussi en gestion pure. Les demandes d'accès deviennent longues à traiter, les purges impossibles à exécuter et les inventaires ingérables — trois effets qui pèsent avant même qu'une sanction ne soit envisagée.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 5, paragraphe 1, point e) | Conservation limitée à la durée nécessaire à la finalité |
| RGPD, article 83, paragraphe 5 | Amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial |
| RGPD, article 15 | Droit d'accès, souvent à l'origine du contentieux |
| RGPD, article 17 | Droit à l'effacement et ses exceptions |
| RGPD, article 30 | Registre des traitements mentionnant les durées prévues |
| Article 16 du Code de commerce | Obligation comptable justifiant dix ans pour les pièces concernées |
Note
La conservation excessive relève du plafond le plus élevé du RGPD, mais le risque se matérialise surtout par une demande d'accès ou d'effacement. Annoncez une durée réaliste et tenez-la : l'écart entre le registre et la pratique se constate en quelques minutes.