« Ne vous inquiétez pas, nous sommes conformes au RGPD. Notre site est impeccable — mentions légales, bandeau cookie, politique de confidentialité. Tout y est. »
Cette phrase, nous l’entendons régulièrement lors de nos premiers échanges avec des dirigeants de TPE/PME. Et ils ont raison — sur leur site. Mais le RGPD ne s’arrête pas à la vitrine numérique de votre entreprise. Il s’applique à toutes les données personnelles que vous traitez. Y compris — et surtout — celles de vos propres salariés.
Or c’est précisément là que se nichent, dans la majorité des entreprises, les manquements les plus fréquents et les plus exposés.
Les données salariés : un périmètre bien plus large qu’on ne le croit
Dès qu’une personne postule dans votre entreprise, vous commencez à collecter des données personnelles. CV, lettre de motivation, coordonnées, diplômes, références… La relation de travail n’a pas encore débuté que vous êtes déjà responsable de traitement.
Ce périmètre s’élargit ensuite tout au long de la vie du contrat :
- Données d’identification et bancaires (RIB, numéro de sécurité sociale)
- Données de paie et d’évaluation
- Absences, arrêts maladie, congés
- Formations suivies et certifications
- Données de connexion aux outils informatiques
Chacune de ces données est soumise aux obligations du RGPD : base légale, durée de conservation, sécurisation, droits des personnes. Et c’est là que la plupart des entreprises décrochent.
Erreur n°1 : collecter sans savoir pourquoi
Un cas que nous rencontrons très fréquemment : l’entreprise constitue un dossier de recrutement sans avoir réfléchi à l’utilité réelle de chaque information demandée. Permis de conduire pour un poste sédentaire, numéro de sécurité sociale dès la phase de candidature, diplômes originaux scannés et conservés indéfiniment…
Le problème ne vient pas d’une mauvaise intention — il vient d’une absence de réflexion sur l’usage de la donnée et sa durée de conservation. Deux questions que trop peu d’entreprises se posent au moment de concevoir leurs processus RH.
Erreur n°2 : conserver sans limite et sans tri
Voici un exemple concret, tiré de notre expérience terrain. Une entreprise organise un week-end d’intégration et collecte, via un formulaire, les habitudes alimentaires de ses salariés : allergies, régimes particuliers, restrictions religieuses. Une démarche louable, pensée pour le bien-être des collaborateurs.
Problème : ces données sont conservées dans un fichier Excel partagé, « parce que c’est pratique pour la prochaine fois ».
Ce cas illustre une réalité plus large : le dossier RH de la plupart des entreprises est un agrégat de données accumulées au fil des années, sans règle de purge, sans tri, sans réflexion sur ce qui est encore utile et ce qui doit être supprimé.
Ce que vous devez mettre en place concrètement
La bonne nouvelle : se mettre en conformité sur le volet RH ne nécessite pas de tout reconstruire. Il s’agit avant tout de structurer ce qui existe déjà.
Les 4 réflexes à adopter :
- Cartographier les données RH collectées à chaque étape (recrutement, onboarding, vie du contrat, départ)
- Définir une durée de conservation pour chaque catégorie de données et la respecter
- Supprimer les données qui n’ont plus de finalité — y compris dans les anciennes boîtes mail et fichiers partagés
- Former les personnes qui manipulent ces données (RH, managers, direction) aux bons réflexes
Ces actions sont accessibles à toute entreprise, quelle que soit sa taille. Elles ne demandent pas de juriste dédié — elles demandent une méthode et un accompagnement adapté.
Et si vous faisiez le point sur votre situation ?
Votre site est peut-être impeccable. Mais vos données RH, elles, racontent peut-être une autre histoire. Le seul moyen de le savoir, c’est de regarder en face ce que vous collectez, pourquoi, et combien de temps vous le conservez.
C’est exactement ce que nous faisons lors d’un audit RGPD — et souvent, les premières surprises viennent des fichiers RH, pas du site web.
Vous voulez savoir où en sont vos données salariés ?
Échangeons sur votre situation — sans engagement.
