RGPD et Ressources Humaines : les 5 erreurs qui coûtent cher aux entreprises
Les Ressources Humaines sont en première ligne du RGPD : recrutement, paie, formation, santé au travail… chaque étape expose les données personnelles des salariés. Conservation excessive, envois d’emails erronés ou contrats incomplets : ces erreurs coûtent cher. Adopter les bons réflexes permet aux RH d’assurer la conformité et de renforcer la confiance des collaborateurs.
Le RGPD (Règlement Général sur la Protection des Données) ne concerne pas uniquement les juristes ou le DPO. Les Ressources Humaines sont en première ligne : recrutement, paie, formation, santé au travail, gestion administrative.
À chaque étape, les données personnelles des salariés circulent et s’exposent à des risques. Un simple oubli peut déclencher une violation de données, une perte de confiance des collaborateurs ou une sanction de la CNIL.
Alors, quelles sont les erreurs les plus fréquentes des RH en matière de RGPD et comment les éviter ?
Conserver trop longtemps les CV des candidats
C’est l’un des pièges les plus répandus. De nombreuses entreprises gardent les CV et lettres de motivation pendant des années, pensant qu’ils pourront « resservir » plus tard.
Erreur : le RGPD impose une durée maximale de 2 ans après le dernier contact avec le candidat.
Exemple : en 2020, une entreprise a été sanctionnée par la CNIL pour avoir conservé des candidatures pendant plus de 5 ans.
- Bon réflexe : mettre en place un système automatique d’effacement ou d’anonymisation des CV arrivés à échéance.
Envoyer par erreur des données sensibles
Un email mal adressé, une fiche de paie envoyée au mauvais salarié, un fichier de salaires partagé à toute une équipe… Ces erreurs sont courantes et constituent des violations de données.
La CNIL considère ce type d’incident comme un manquement grave à la confidentialité.
- Bon réflexe : sécuriser les envois avec un portail RH dédié, chiffrer les documents sensibles et limiter les partages par email.
Oublier d’informer les salariés de leurs droits
Le RGPD impose d’informer chaque salarié de ses droits : accès, rectification, suppression, opposition. Trop d’entreprises oublient d’intégrer cette information dans leurs documents internes.
Résultat : en cas de contrôle, l’absence de transparence est sanctionnée.
- Bon réflexe : ajouter une note d’information RGPD dans le règlement intérieur, le livret d’accueil ou l’intranet RH.
Partager les dossiers RH sans restriction d’accès
Répertoires ouverts à toute l’entreprise, dossiers partagés sans habilitation, pièces d’identité stockées sur un serveur accessible : des failles de sécurité classiques dans les services RH.
Ces pratiques exposent directement les données personnelles des salariés.
- Bon réflexe : mettre en place une gestion stricte des habilitations, contrôler régulièrement les droits d’accès et réaliser des audits internes.
Négliger les clauses RGPD dans les contrats de sous-traitance
Les RH s’appuient souvent sur des prestataires externes : logiciels de paie, cabinets de recrutement, médecine du travail.
Erreur fréquente : signer un contrat sans clauses RGPD précises. Or, en cas de fuite, l’employeur reste responsable devant la CNIL.
Exemple : en 2022, une entreprise a été sanctionnée parce que son prestataire de paie avait mal sécurisé les données de centaines de salariés.
- Bon réflexe : vérifier que chaque contrat inclut des obligations claires en matière de sécurité, confidentialité et durée de conservation.
FAQ – RGPD et Ressources Humaines
Quelles données RH sont concernées par le RGPD ?
Toutes les données personnelles liées aux salariés et candidats : identité, coordonnées bancaires, bulletins de paie, évaluations, données de santé, informations familiales.
Quels sont les risques pour les RH en cas de non-conformité ?
Des sanctions financières pouvant aller jusqu’à 4 % du chiffre d’affaires mondial et une perte de confiance des collaborateurs.
Combien de temps conserver un CV selon le RGPD ?
Un CV doit être supprimé au plus tard deux ans après le dernier contact avec le candidat.
Comment sécuriser les données RH au quotidien ?
Limiter les accès aux dossiers du personnel, utiliser des mots de passe forts, chiffrer les documents sensibles et encadrer les sous-traitants.
Conclusion
Les erreurs RH en matière de RGPD ne sont pas anodines. Elles coûtent cher, à la fois financièrement et en termes d’image employeur.
En évitant ces 5 pièges – conservation excessive, erreurs d’envoi, manque de transparence, accès non maîtrisés et contrats incomplets – les Ressources Humaines protègent l’entreprise, renforcent la confiance des salariés et deviennent un pilier central de la gouvernance des données.
La conformité RGPD des RH n’est pas une option. C’est une stratégie indispensable pour sécuriser les données personnelles et garantir la pérennité de l’organisation.
