L'accès aux dossiers du personnel peut-il être réservé au seul dirigeant ?
Réponse courte
Rien ne l'interdit, et c'est même la configuration la plus stricte au regard du principe de minimisation. L'article 32 du RGPD exige des mesures adaptées au risque, et limiter les accès en fait partie : un dirigeant seul habilité satisfait pleinement à cette exigence.
Le problème est ailleurs, et il est pratique. Trois obligations supposent une capacité de réponse rapide, indépendante d'une seule personne : produire les documents à l'ITM dans les meilleurs délais (L.614-4), répondre à une demande d'accès dans le mois (RGPD, article 15), et remettre les documents dus à un salarié. Une absence prolongée du seul détenteur des accès met l'entreprise en défaut.
S'y ajoute une limite absolue : la restriction ne peut jamais s'opposer au salarié lui-même, qui conserve son droit d'accès à ses propres données.
Définition
La restriction des accès est une mesure de sécurité. Elle protège les données mais ne dispense d'aucune obligation.
La continuité est l'autre face de la sécurité : l'article 32 vise expressément la capacité de rétablir la disponibilité des données, ce qu'une concentration excessive compromet.
Conditions d’exercice
La restriction est licite tant qu'elle n'empêche pas d'exécuter les obligations.
| Obligation | Contrainte | Base |
|---|---|---|
| Production à l'ITM | Dans les meilleurs délais | L.614-4 |
| Demande d'accès d'un salarié | Réponse dans le mois | RGPD, articles 12 et 15 |
| Documents de fin de contrat | À la demande ou au départ | L.125-5, L.125-6, L.125-7 |
| Registre du temps de travail | Présentation à toute demande | L.211-29 |
| Sécurité des données | Accès limité au nécessaire | RGPD, article 32 |
| Disponibilité | Capacité de rétablir l'accès | RGPD, article 32, paragraphe 1, point c) |
Modalités pratiques
Une habilitation de secours suffit à concilier restriction et continuité.
| Geste | Marche à suivre |
|---|---|
| Habilitation principale | La limiter aux personnes dont la fonction le justifie |
| Suppléance | Prévoir une habilitation de secours, nominative et journalisée |
| Registres | Les rendre accessibles indépendamment des dossiers individuels |
| Données sensibles | Cloisonner, y compris à l'égard du dirigeant si sa fonction ne l'exige pas |
| Absence prolongée | Documenter la procédure d'accès en cas d'indisponibilité |
| Journalisation | Tracer les accès de secours pour en démontrer le caractère exceptionnel |
Pratiques et recommandations
La concentration crée un risque de disponibilité que le RGPD vise expressément. L'article 32 mentionne la capacité de rétablir l'accès aux données en cas d'incident : un dispositif dépendant d'une seule personne échoue précisément sur ce point.
Le cloisonnement des registres est la solution la plus simple. Le registre du temps de travail et les pièces de paie n'ont pas la même sensibilité que les dossiers individuels : les rendre accessibles à un cercle plus large ne compromet rien et garantit la réponse aux contrôles.
La restriction ne vaut jamais contre le salarié. Il accède à ses propres données au titre de l'article 15, dans le mois, quelles que soient les habilitations internes — et un refus fondé sur l'organisation des accès n'a aucun fondement.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 32 | Sécurité, maîtrise des accès et capacité de rétablir la disponibilité |
| RGPD, article 5, paragraphe 1, point c) | Minimisation des données accessibles |
| RGPD, articles 12 et 15 | Droit d'accès du salarié et délai d'un mois |
| Article L.614-4 du Code du travail | Communication des documents à l'ITM dans les meilleurs délais |
| Article L.211-29 du Code du travail | Registre présenté à toute demande |
| Article L.125-6 du Code du travail | Certificat de travail délivré sur demande |
Note
Restreindre les accès est licite, mais la concentration compromet la disponibilité que le RGPD exige. Prévoyez une habilitation de secours journalisée, et rappelez que le salarié accède toujours à ses propres données.