Le salarié peut-il exiger la destruction de ses preuves RH au titre du RGPD, même en présence d'une obligation légale de conservation ?
Réponse courte
Non, le salarié ne peut pas exiger la destruction de ses preuves RH au titre du RGPD quand il existe une obligation légale de conservation. L'article 17(3)(b) du RGPD exclut expressément le droit à l'effacement lorsque le traitement est nécessaire au respect d'une obligation légale. Les délais de prescription, obligations comptables (10 ans) et exigences de contrôle (ITM) priment sur le droit à l'effacement. Cependant, passé ces délais légaux, le droit à l'effacement redevient applicable.
Définition
Le conflit RGPD/conservation légale naît de la tension entre le droit à l'effacement (article 17 RGPD) qui permet aux personnes d'obtenir la suppression de leurs données personnelles, et les obligations légales qui imposent aux employeurs de conserver certains documents pendant des durées minimales. Cette tension se résout par l'application des exceptions prévues au RGPD qui neutralisent le droit à l'effacement en présence de bases légales impératives.
Conditions d’exercice
L'arbitrage entre droits RGPD et obligations légales suit une hiérarchie claire :
Exceptions au droit à l'effacement (art. 17(3) RGPD) :
- Obligation légale : conservation imposée par la loi (bulletins de paie 10 ans)
- Intérêt public : archives d'intérêt historique ou statistique
- Constatation des droits : preuves nécessaires à l'exercice/défense de droits en justice
- Liberté d'expression : documents à vocation journalistique ou académique
Obligations légales primant sur l'effacement :
- Conservation comptable 10 ans (Code de commerce art. 16)
- Délais de prescription des créances (5 ans généralement)
- Contrôles ITM : accessibilité permanente des registres
- Obligations sociales et fiscales : déclarations et justificatifs
Modalités pratiques
La gestion opérationnelle implique :
Réponse aux demandes d'effacement :
- Examiner la base légale de conservation de chaque document
- Répondre dans le délai d'un mois (extensible à 3 mois)
- Motiver le refus par référence aux exceptions RGPD
- Proposer des mesures alternatives (pseudonymisation, restriction)
Documentation de la conformité :
- Cartographier les bases légales de conservation par type de document
- Tenir un registre des demandes d'effacement et des réponses
- Programmer la destruction automatique à l'expiration des délais légaux
- Former les équipes RH aux exceptions au droit à l'effacement
Pratiques et recommandations
Pour une gestion équilibrée :
Politique de conservation :
- Définir des durées de conservation précises par catégorie de document
- Distinguer les obligations légales des pratiques d'entreprise
- Automatiser la destruction post-délais légaux
- Informer les salariés des durées de conservation et leurs fondements
Gestion des demandes :
- Traiter chaque demande individuellement et précisément
- Éviter les refus globaux sans analyse des documents concernés
- Proposer la pseudonymisation quand elle suffit à protéger la vie privée
- Anticiper les recours devant la CNPD
Cadre juridique
- Article 17 du Règlement (UE) 2016/679 (droit à l'effacement - "droit à l'oubli")
- Article 17(3)(b) RGPD (exception - respect d'une obligation légale)
- Article 16 du Code de commerce (conservation documents comptables 10 ans)
- Articles 1315-1316 du Code civil (délais de prescription)
- Articles L.311-1 et suivants Code du travail (contrôles ITM)
- Lignes directrices EDPB 05/2019 sur l'effacement
Note
La pratique luxembourgeoise montre que les demandes d'effacement de salariés restent rares et concernent surtout les anciens salariés souhaitant faire "table rase" de leur passé professionnel. Les entreprises développent des outils automatisés de purge respectant à la fois les délais légaux minimaux et le droit à l'effacement post-délais, créant un équilibre dynamique entre obligations contradictoires.