Quelles sont les obligations de conservation des données RH et leurs durées au Luxembourg ?

Réponse courte

L’employeur au Luxembourg doit conserver les données RH uniquement pour la durée strictement nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, conformément à la loi du 1er août 2018 et au Code du travail. Les principales durées légales sont : 5 ans pour le dossier individuel du salarié et le registre du personnel après la fin de la relation de travail, 10 ans pour les bulletins de paie, documents de rémunération, sécurité sociale et santé/sécurité, 2 ans pour les données des candidats non retenus, 3 ans pour les documents disciplinaires, et 5 ans pour les documents de formation.

À l’expiration de ces délais, les données doivent être supprimées ou anonymisées de façon irréversible, sauf obligation légale contraire ou nécessité de conservation pour la défense de droits en justice. L’employeur doit tenir un registre des traitements, informer les salariés des durées de conservation, et mettre en place un processus documenté de purge régulière des données arrivées à échéance.

Définition

Les données RH regroupent l’ensemble des informations à caractère personnel collectées, traitées et conservées par l’employeur dans le cadre de la gestion du personnel. Cela inclut les données d’identification, de carrière, de rémunération, de santé, de formation, de discipline, d’absences et de fin de contrat. La conservation de ces données est strictement encadrée par la législation luxembourgeoise, notamment la loi du 1er août 2018 sur la protection des données et le Code du travail.

Conditions d’exercice

L’employeur doit respecter le principe de limitation de la durée de conservation, en ne conservant les données RH que pour la durée strictement nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées. Les durées de conservation sont déterminées par la nature des données et les obligations légales spécifiques, telles que la gestion du contrat de travail, la paie, la sécurité sociale, la fiscalité ou la prévention des litiges. L’égalité de traitement, la traçabilité des opérations et l’encadrement humain des traitements automatisés doivent être garantis à chaque étape.

Modalités pratiques

Les principales durées de conservation applicables sont les suivantes :

Dossier individuel du salarié : 5 ans à compter de la fin de la relation de travail (prescription des actions relatives au contrat de travail).
Bulletins de paie et documents relatifs à la rémunération : 10 ans à compter de la date de paiement (obligations fiscales et sociales).
Documents relatifs à la sécurité sociale (déclarations, affiliations, attestations) : 10 ans à compter de la fin de l’exercice concerné.
Registre du personnel : 5 ans après le départ du salarié.
Documents relatifs à la santé et sécurité (accidents du travail, visites médicales) : 10 ans à compter de la fin de l’exercice concerné.
Données relatives au recrutement des candidats non retenus : 2 ans après le dernier contact avec le candidat, sauf consentement exprès pour une conservation plus longue.
Documents disciplinaires : 3 ans à compter de la notification de la sanction, sauf en cas de contentieux.
Documents relatifs à la formation professionnelle : 5 ans à compter de la fin de la relation de travail.

À l’expiration des délais légaux, les données doivent être supprimées ou anonymisées de manière irréversible, sauf obligation légale contraire ou nécessité de conservation pour la constatation, l’exercice ou la défense de droits en justice. Un registre des traitements doit être tenu à jour, et les salariés informés des durées de conservation lors de la collecte des données.

Pratiques et recommandations

Il est recommandé de :

Tenir un registre des traitements de données RH, précisant pour chaque catégorie la durée de conservation et la justification légale.
Informer systématiquement les salariés des durées de conservation applicables, conformément à l’article 13 de la loi du 1er août 2018.
Mettre en place un processus documenté de purge régulière des données arrivées à échéance, avec traçabilité des opérations.
Justifier toute conservation excédant les délais légaux par un intérêt légitime et proportionné, et réaliser une analyse d’impact si nécessaire.
Veiller à l’égalité de traitement entre salariés et à l’encadrement humain des traitements automatisés, notamment en cas d’utilisation d’outils numériques ou d’IA.

Cadre juridique

Loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel (articles 5, 13, 17).
Code du travail luxembourgeois, notamment articles L.261-1 à L.261-4 (gestion du personnel, conservation des documents).
Code civil, article 2277 (prescription quinquennale des actions relatives aux salaires et au contrat de travail).
Code de la sécurité sociale, articles 400 et suivants (obligations de conservation).
Code fiscal, articles 157 et suivants (obligations de conservation des documents comptables et fiscaux).
Jurisprudence nationale sur la proportionnalité et la limitation de la durée de conservation des données RH.

Note

La conservation excessive ou injustifiée de données RH expose l’employeur à des sanctions administratives et civiles. Il est impératif de procéder à une revue régulière des pratiques de conservation et de destruction des données, en tenant compte de l’évolution de la législation et de la jurisprudence luxembourgeoises. Toute opération doit être traçable et encadrée par une intervention humaine, en particulier lors de traitements automatisés.