Faut-il une autorisation de la CNPD pour conserver des documents RH ?
Réponse courte
Non, et ce régime n'existe plus depuis le 25 mai 2018. L'entrée en application du RGPD a supprimé les autorisations et déclarations préalables : la CNPD contrôle et sanctionne, elle n'autorise plus. La loi du 1er août 2018 organise ce nouveau cadre et a abrogé la loi du 2 août 2002, qui ne doit plus être citée comme en vigueur.
Le principe est désormais celui de la responsabilité : l'employeur détermine lui-même les finalités et les durées, les documente au registre des traitements (article 30) et doit pouvoir démontrer sa conformité à tout moment.
Une seule formalité préalable subsiste en droit du travail, et elle ne s'adresse pas à la CNPD : l'article L.261-1 impose d'informer préalablement la délégation du personnel ou, à défaut, l'ITM avant de mettre en œuvre un traitement à des fins de surveillance. La délégation peut alors saisir la CNPD dans les quinze jours, avec effet suspensif.
Définition
L'autorisation préalable était l'ancien mécanisme : certains traitements ne pouvaient débuter qu'après accord de l'autorité. Elle a disparu avec le RGPD.
L'analyse d'impact est ce qui s'en rapproche le plus aujourd'hui : elle est requise lorsque le traitement présente un risque élevé, mais elle se conduit en interne, sans autorisation, et ne donne lieu à consultation de l'autorité que si le risque résiduel reste élevé.
Conditions d’exercice
Ce qui a remplacé l'autorisation est un ensemble d'obligations documentaires.
| Obligation | Portée | Base |
|---|---|---|
| Registre des activités de traitement | Finalités, catégories, destinataires, durées | RGPD, article 30 |
| Analyse d'impact | Traitements présentant un risque élevé | RGPD, article 35 |
| Consultation préalable de la CNPD | Uniquement si le risque résiduel demeure élevé | RGPD, article 36 |
| Information préalable en matière de surveillance | Délégation du personnel ou, à défaut, ITM | L.261-1, paragraphe 2 |
| Saisine de la CNPD par la délégation | Quinze jours, effet suspensif | L.261-1 |
| Autorisation préalable de conservation | N'existe plus | RGPD, depuis le 25 mai 2018 |
Modalités pratiques
Ce qui se prépare n'est plus un dossier d'autorisation, mais une documentation permanente.
| Geste | Marche à suivre |
|---|---|
| Registre | Le tenir à jour, archives papier comprises |
| Durées | Les fixer, les annoncer et les respecter |
| Risque élevé | Conduire une analyse d'impact et la documenter |
| Surveillance | Informer préalablement la délégation ou l'ITM |
| Saisine | Attendre l'expiration du délai de quinze jours, l'effet étant suspensif |
| Contrôle | Pouvoir produire le registre et les analyses à tout moment |
Pratiques et recommandations
La référence à une autorisation de la CNPD, encore fréquente dans les documents internes, signale surtout que ceux-ci n'ont pas été révisés depuis 2018. Elle se corrige en même temps que les mentions de la loi du 2 août 2002, abrogée.
La formalité qui subsiste réellement est celle de l'article L.261-1, et elle est plus contraignante qu'on ne le croit : elle est préalable, détaillée, et ouvre à la délégation une saisine à effet suspensif. Mettre un dispositif en service pendant ce délai revient à le faire fonctionner sans fondement stabilisé.
L'analyse d'impact ne se confond pas avec une autorisation. Elle se conduit en interne et ne donne lieu à consultation de la CNPD que si le risque demeure élevé malgré les mesures envisagées — cas rare, mais dont la documentation doit exister.
Cadre juridique
| Référence | Objet |
|---|---|
| Loi du 1er août 2018 | Organisation de la CNPD et régime général de la protection des données, abrogation de la loi du 2 août 2002 |
| RGPD, article 30 | Registre des activités de traitement |
| RGPD, article 35 | Analyse d'impact pour les traitements à risque élevé |
| RGPD, article 36 | Consultation préalable de l'autorité en cas de risque résiduel élevé |
| Article L.261-1 du Code du travail | Information préalable en matière de surveillance et saisine de la CNPD |
| RGPD, article 58 | Pouvoirs d'enquête et de sanction de l'autorité |
Note
Le régime d'autorisation préalable a disparu le 25 mai 2018 : la CNPD contrôle, elle n'autorise plus. La seule formalité préalable qui subsiste est l'information de la délégation ou de l'ITM avant tout dispositif de surveillance.