Le service RH traite parmi les données personnelles les plus sensibles de l’entreprise : identité, coordonnées bancaires, données de santé, évaluations professionnelles. Un exemple de registre RGPD ressources humaines permet de visualiser concrètement comment structurer chaque fiche de traitement, du recrutement jusqu’au départ du salarié. Ce guide vous propose des modèles commentés, prêts à adapter à votre organisation.
À retenir
- Chaque processus RH (recrutement, paie, formation) forme une fiche de traitement distincte.
- La fiche doit préciser finalité, données, destinataires et durée de conservation.
- Les données de santé et bancaires exigent une sécurité renforcée.
- Le registre RH doit être mis à jour à chaque évolution d’outil ou de process.
- Le DPO ou le responsable RH pilote la tenue du registre au quotidien.
Pourquoi le service RH doit-il tenir un registre RGPD ?
Le service des ressources humaines gère le cycle de vie complet des données du personnel : candidature, contrat, paie, évaluation, formation, sortie. Chaque étape constitue un traitement de données personnelles au sens du RGPD, et doit donc apparaître dans le registre des traitements de l’entreprise. L’article 30 du règlement impose cette traçabilité à toute organisation, quelle que soit sa taille, dès lors qu’elle traite des données de manière non occasionnelle.
Un registre RH bien tenu sert aussi de preuve de conformité en cas de contrôle de la CNIL. Il démontre que l’entreprise maîtrise les flux de données de ses salariés et candidats. Notre modèle commenté de fiche de registre RGPD vous aide à comprendre la logique de chaque champ avant de vous lancer.
Quelles fiches de traitement RH intégrer dans le registre ?
Le registre RH ne se limite pas à une seule fiche générique. Chaque processus RH distinct doit faire l’objet d’une fiche séparée, car les finalités, les données et les durées de conservation diffèrent. Voici les traitements RH les plus courants à recenser :
- Recrutement et gestion des candidatures
- Gestion administrative du personnel (contrats, dossiers salariés)
- Paie et éléments variables de rémunération
- Gestion des temps, des absences et des congés
- Formation professionnelle et suivi des compétences
- Entretiens annuels et évaluation de la performance
- Gestion des instances représentatives du personnel
- Contrôle d’accès et badgeage des locaux
Exemple de fiche de registre RGPD pour le recrutement
La fiche de traitement « recrutement » couvre toutes les données collectées via CV, lettres de motivation, entretiens et tests éventuels. La finalité est précise : sélectionner un candidat pour un poste donné, ce qui exclut toute réutilisation des CV au-delà de la durée légale sans accord du candidat. Les données concernées incluent l’identité, le parcours professionnel, les diplômes et parfois les résultats de tests de personnalité.
La durée de conservation habituelle est de deux ans après le dernier contact, sauf constitution d’une CVthèque avec information claire du candidat. Pour bâtir cette fiche pas à pas, consultez notre article sur comment lire et construire un registre RGPD adapté à votre activité.
Exemple de fiche de registre RGPD pour la gestion de la paie
Le traitement « paie » regroupe des données particulièrement sensibles : coordonnées bancaires, numéro de sécurité sociale, situation familiale, éventuelles saisies sur salaire. Ce traitement repose sur une base légale d’obligation légale, puisque l’employeur doit déclarer et verser les cotisations sociales. Les destinataires typiques sont le service comptable, l’expert-comptable externe et l’organisme de protection sociale.
La conservation des bulletins de paie et des données associées suit des durées légales strictes, souvent supérieures à cinq ans. Notre article présentant des fiches types de registre des traitements RGPD rempli détaille des exemples concrets pour ce type de traitement sensible.
Exemple de fiche de registre RGPD pour la gestion des temps et des congés
Le pointage, le badgeage et le suivi des congés génèrent des données comportementales sur les salariés. Ce traitement doit rester strictement proportionné au besoin de gestion administrative, sans dérive vers une surveillance excessive de l’activité individuelle. La fiche doit mentionner l’outil utilisé (logiciel SIRH, badgeuse) et son éventuel sous-traitant technique.
Les données de badgeage sont généralement conservées entre un et trois ans, sauf contentieux en cours nécessitant une conservation prolongée.
Exemple de fiche de registre RGPD pour la formation professionnelle
Le suivi des formations suivies par chaque salarié constitue un traitement à part entière, souvent oublié dans les registres RH. Il recense les besoins de formation, les sessions suivies et parfois les évaluations de compétences associées. Ce traitement peut impliquer un organisme de formation externe en tant que destinataire des données.
La durée de conservation correspond généralement à la durée du contrat de travail, complétée par les obligations de traçabilité liées au compte personnel de formation.
Quelles données personnelles RH nécessitent une vigilance renforcée ?
Certaines catégories de données RH exigent des mesures de sécurité supplémentaires. Les données de santé, les informations syndicales et les données bancaires appartiennent aux catégories les plus sensibles du registre RH. Elles imposent un accès restreint, un chiffrement renforcé et une justification précise de la finalité.
- Données de santé (arrêts maladie, visites médicales, handicap)
- Appartenance syndicale ou mandats représentatifs
- Coordonnées bancaires et données fiscales
- Numéro de sécurité sociale
- Casier judiciaire pour certains postes réglementés
Quelle durée de conservation appliquer aux données RH ?
La durée de conservation varie selon la nature du traitement et les obligations légales associées. Un dossier de candidat non retenu se conserve deux ans maximum, tandis qu’un dossier salarié se conserve pendant toute la durée du contrat, complétée par les délais de prescription applicables. Ces durées doivent figurer explicitement dans chaque fiche du registre.
Pour structurer ces durées de façon cohérente sur l’ensemble de vos traitements, appuyez-vous sur notre guide complet pour créer et tenir un registre de traitement à jour.
Qui est responsable de la tenue du registre RGPD RH ?
La responsabilité juridique du registre incombe au responsable de traitement, généralement le dirigeant de l’entreprise. En pratique, le DPO ou le responsable RH pilote la mise à jour opérationnelle du registre, en lien direct avec les équipes paie et recrutement. Cette répartition des rôles doit être formalisée pour éviter tout oubli lors d’un changement d’outil RH.
Notre guide complet pour créer et tenir votre registre RGPD en 2026 détaille les rôles et responsabilités à répartir dans votre organisation.
Quelles erreurs éviter dans le registre RH ?
Plusieurs erreurs reviennent fréquemment dans les registres RH des PME. La plus fréquente consiste à créer une fiche unique « ressources humaines » au lieu de détailler chaque traitement séparément, ce qui rend le registre inexploitable en cas de contrôle. D’autres erreurs classiques concernent l’oubli des sous-traitants (SIRH, logiciel de paie, mutuelle) ou l’absence de mise à jour après un changement d’outil.
- Fiche RH trop générique, non détaillée par processus
- Sous-traitants non identifiés (éditeur SIRH, hébergeur)
- Durées de conservation absentes ou approximatives
- Registre non mis à jour après un nouvel outil RH
- Absence de mesures de sécurité décrites pour les données sensibles
Testez vos connaissances
- Combien de fiches de traitement le service RH doit-il créer au minimum ?
Réponse : une fiche par processus distinct (recrutement, paie, formation, temps de travail), et non une fiche unique générique. - Quelle est la durée de conservation habituelle d’un CV non retenu ?
Réponse : deux ans maximum après le dernier contact avec le candidat, sauf accord explicite pour une CVthèque. - Qui pilote la mise à jour opérationnelle du registre RH ?
Réponse : le DPO ou le responsable RH, en lien avec les équipes paie et recrutement, sous la responsabilité juridique du dirigeant.
Questions fréquentes
Le registre RGPD ressources humaines est-il obligatoire pour toutes les entreprises ?
Oui, dès lors que l’entreprise traite des données RH de manière non occasionnelle, ce qui est le cas pour tout employeur ayant des salariés. La taille de l’entreprise n’exempte pas de cette obligation dès qu’un traitement régulier de données personnelles existe.
Faut-il un registre distinct pour chaque filiale d’un groupe ?
Cela dépend de l’organisation des traitements. Si chaque filiale gère son propre SIRH et ses propres finalités, un registre distinct est recommandé. Si les traitements sont centralisés, un registre unique avec des fiches différenciées par entité peut suffire.
Le registre RH doit-il mentionner les stagiaires et alternants ?
Oui, les stagiaires et alternants génèrent des données personnelles traitées au même titre que les salariés. Leur traitement doit apparaître dans une fiche dédiée ou intégrée au traitement de gestion administrative du personnel.
Quel format utiliser pour tenir le registre RGPD RH ?
Aucun format n’est imposé par le RGPD. Un tableur structuré convient pour les petites structures, tandis qu’un logiciel dédié facilite la mise à jour et le suivi pour les entreprises avec de nombreux traitements RH.
Que risque une entreprise sans registre RH conforme ?
En cas de contrôle CNIL, l’absence de registre ou un registre incomplet expose à une mise en demeure, voire à une sanction financière. Le registre reste l’un des premiers documents demandés lors d’un contrôle.