Par définition, les directions des ressources humaines manipulent et conservent les données personnelles de leurs employés et des candidats. Combien de temps peuvent-elles les garder ? Entre obligations légales, données sensibles et risques juridiques, leur durée de conservation reste un véritable casse-tête pour les entreprises.
La CNIL sort un nouveau référentiel sur la gestion des données RH
Votre ancienne entreprise a-t-elle le droit de conserver vos données personnelles ? Alors qu’en 2025, la CNIL prononçait seize sanctions contre plusieurs employeurs, notamment pour des dispositifs de vidéosurveillance non conformes, elle publie cette semaine un nouveau référentiel consacré aux durées de conservation des données RH. Sont stockés les candidatures, curriculum vitae, la gestion de l’administration et la paie, la vidéosurveillance ou encore des données moins visibles mais sensibles, comme les dispositifs d’appels ou le vote électronique.
Ce référentiel, non contraignant, vise à définir de bonnes habitudes de travail et à sécuriser les pratiques des DRH, dans un contexte où les usages varient grandement d’une entreprise à l’autre. Conserver ces données trop longtemps peut exposer à des sanctions, ne pas les conserver peut fragiliser l’entreprise en cas de contentieux. Ce référentiel entend donc remédier à un manque de repères concrets pour les entreprises, qui doivent souvent composer avec des règles dispersées et parfois floues. Il précise les durées légales lorsqu’elles existent et, à défaut, celles que recommande la CNIL, en distinguant les données utilisées au quotidien de celles archivées.
Consultée en 2025, l’AFCDP (Association française des correspondants à la protection des données) a contribué à son élaboration en faisant remonter les besoins du terrain. Un outil structurant qui incite désormais les DRH à revoir, harmoniser et documenter leurs pratiques.
Lisa Combe
