Que faire lorsque des documents RH ont été détruits par erreur ?
Réponse courte
Trois actions, dans cet ordre. Constater : dater le constat, décrire le périmètre exact et l'origine de la destruction, car c'est cette chronologie qui distinguera l'accident du comportement opportun. Reconstituer : rechercher les doubles auprès de la comptabilité, du prestataire de paie, des messageries et du salarié lui-même. Qualifier : si des données personnelles sont concernées, la destruction constitue une violation de données au sens du RGPD.
Cette dernière étape est la plus souvent manquée. L'article 33 impose de notifier la violation à la CNPD dans les 72 heures après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les personnes ; l'article 34 impose d'informer les personnes concernées lorsque le risque est élevé.
Le délai court de la prise de connaissance, non de la destruction elle-même.
Définition
La violation de données ne se limite pas à la fuite : le RGPD vise la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés. Une suppression accidentelle en fait partie.
La reconstitution est la recherche des éléments permettant d'établir le contenu perdu. Elle n'efface pas la violation, mais elle limite les conséquences et démontre la diligence.
Conditions d’exercice
La qualification dépend de ce qui a été détruit et du risque qui en résulte pour les personnes.
| Situation | Obligation | Base |
|---|---|---|
| Destruction de données personnelles | Notification à la CNPD sous 72 heures, sauf absence de risque | RGPD, article 33 |
| Risque élevé pour les personnes | Information des personnes concernées | RGPD, article 34 |
| Documentation interne | Registre des violations, quelle que soit la notification | RGPD, article 33, paragraphe 5 |
| Pièces comptables détruites | Manquement à l'obligation de conservation de dix ans | Article 16 du Code de commerce |
| Registres du Code du travail | Manquement constatable lors d'un contrôle | L.211-29 et L.614-4 |
| Litige en cours sur le périmètre | Situation aggravée, appréciée par le juge | Appréciation souveraine |
Modalités pratiques
Les premières heures comptent : le délai de notification est court et se compte à partir de la prise de connaissance.
| Étape | Marche à suivre |
|---|---|
| Constat | Dater, décrire le périmètre, identifier l'origine |
| Confinement | Arrêter la cause : purge automatique, migration, manipulation |
| Restauration | Tenter la restauration depuis les sauvegardes avant toute autre démarche |
| Qualification | Évaluer le risque pour les personnes concernées |
| Notification | Saisir la CNPD sous 72 heures si un risque existe |
| Registre des violations | Documenter l'incident, même en l'absence de notification |
Pratiques et recommandations
Le registre interne des violations est obligatoire indépendamment de la notification. Il documente les incidents, les effets et les mesures prises, et c'est la première pièce demandée lorsque la CNPD s'intéresse à un événement — y compris un événement jugé non notifiable.
La restauration depuis les sauvegardes doit être tentée avant tout. Beaucoup de destructions accidentelles se rattrapent intégralement, ce qui change la qualification du risque et, souvent, dispense de la notification aux personnes.
La transparence à l'égard d'un salarié concerné est presque toujours préférable. Découvrir une destruction en cours de procédure, alors que l'employeur la connaissait, produit un effet bien plus dommageable que l'annonce spontanée accompagnée des démarches de reconstitution.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 33 | Notification d'une violation à l'autorité de contrôle dans les 72 heures |
| RGPD, article 33, paragraphe 5 | Documentation interne de toute violation |
| RGPD, article 34 | Information des personnes concernées en cas de risque élevé |
| RGPD, article 32 | Sécurité, dont la capacité de rétablir la disponibilité des données |
| Article 16 du Code de commerce | Conservation des pièces comptables pendant dix ans |
| Article L.124-11, paragraphe (3) du Code du travail | Charge de la preuve pesant sur l'employeur, affectée par la perte |
Note
Une destruction accidentelle de données personnelles est une violation au sens du RGPD : la notification à la CNPD se compte en 72 heures à partir de la prise de connaissance. Tentez la restauration d'abord, documentez toujours, même sans notification.