Faut-il informer les salariés de la durée de conservation des données RH ?

Réponse courte

Oui, l'information des salariés sur la durée de conservation de leurs données personnelles est une obligation expressément prévue par l'article 13 du RGPD. Elle doit être fournie dès la collecte des données, de manière claire, concise et accessible, sous la forme d'une notice d'information distincte ou intégrée au contrat de travail.

Pour chaque catégorie de données (contrat, paie, évaluation, santé, disciplinaire), l'employeur doit indiquer la durée précise ou, à défaut, les critères permettant de la déterminer (durée du contrat + délais de prescription). L'absence d'information constitue un manquement autonome sanctionnable par la CNPD et peut fonder une plainte du salarié, même en l'absence de préjudice.

Définition

La durée de conservation des données RH correspond au temps pendant lequel l'employeur conserve les données personnelles d'un salarié ou d'un candidat. Elle varie selon la nature des données et les obligations légales (Code du travail, Code de la sécurité sociale, prescriptions civiles). Le RGPD impose le principe de limitation de la conservation : les données ne doivent pas être conservées sous une forme permettant l'identification plus longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées.

Conditions d’exercice

L'article 13 RGPD impose une information écrite lors de la collecte, indiquant une durée précise ou les critères de détermination par catégorie de données, et actualisée à chaque changement de finalité.

Condition	Détail
Moment de l'information	Lors de la collecte des données
Forme	Notice écrite, claire et accessible
Contenu	Durée précise ou critères de détermination
Catégorisation	Durée distincte par type de données
Actualisation	Mise à jour en cas de changement des finalités
Accessibilité	Conservation et mise à disposition permanente

Modalités pratiques

Une notice RGPD rédigée en langue compréhensible est remise à l'embauche, mise à disposition en permanence sur l'intranet, alignée sur le registre des traitements (art. 30) et appuie la réponse aux demandes d'accès sous un mois.

Étape	Détail
Rédaction notice	Rédaction en langue compréhensible
Remise initiale	Avec le contrat de travail ou à l'embauche
Mise à disposition	Intranet, livret d'accueil, espace RH
Mise à jour	À chaque évolution des durées
Registre	Cohérence avec le registre des traitements
Réponse aux demandes	Traitement des demandes d'accès sous un mois

Pratiques et recommandations

Rédiger une notice d'information RGPD spécifique aux données RH, en distinguant clairement les catégories de données et leur durée de conservation respective.

Intégrer la notice dans le parcours d'onboarding afin qu'elle soit remise et commentée dès l'embauche, avec traçabilité de la remise.

Aligner les durées annoncées avec celles inscrites dans le registre des traitements, pour éviter toute discordance susceptible d'être relevée lors d'un contrôle.

Mettre à jour la notice à chaque évolution organisationnelle ou réglementaire et informer les salariés des changements significatifs par un canal approprié.

Former les RH à répondre aux demandes des salariés sur leurs données, conformément aux droits d'accès et d'information prévus par le RGPD.

Cadre juridique

Les obligations applicables reposent principalement sur le RGPD.

Référence	Objet
Art. 5.1.e RGPD	Limitation de la conservation
Art. 13 RGPD	Information lors de la collecte
Art. 14 RGPD	Information en cas de collecte indirecte
Art. 15 RGPD	Droit d'accès des personnes concernées
Art. 30 RGPD	Registre des activités de traitement
Loi du 1er août 2018	Régime national et CNPD

Note

L'absence d'information sur les durées de conservation est l'un des manquements les plus fréquemment relevés par la CNPD lors de contrôles. Une notice claire et à jour constitue une mesure de conformité simple et efficace, qui protège l'employeur en cas de réclamation.