Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Comment traiter légalement les données personnelles des employés en vertu du GDPR — bases légales, conservation, droits, sécurité et transferts internationaux.
Les données RH sont des données à haut risque
Les fonctions RH traitent certaines des données personnelles les plus sensibles dans toute organisation : coordonnées, salaire, renseignements bancaires, dossiers de rendement, renseignements sur la santé et, parfois, vérifications de casier judiciaire. En vertu du General Data Protection Regulation (GDPR) et de ses mises en œuvre nationales — la Irish Data Protection Act 2018 et le UK GDPR / Data Protection Act 2018 — ces données doivent être traitées légalement, équitablement et de manière transparente.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Choisir une base légale
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Les données de catégorie particulière — y compris les renseignements sur la santé utilisés pour un congé de maladie ou pour des besoins de santé au travail — nécessitent une condition additionnelle en vertu de Article 9, souvent liée au droit du travail, à la sécurité sociale et à la protection sociale. Cartographiez chaque type de traitement RH selon sa base et sa condition, puis consignez le raisonnement.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Conservation, minimisation et sécurité
Ne gardez pas les données plus longtemps que nécessaire. Mettez en place un calendrier de conservation qui reflète à la fois les exigences légales (dossiers de paie et d’impôt, relevés du temps de travail, documents de santé et sécurité) et un véritable besoin d’affaires, puis supprimez-les ou anonymisez-les au-delà de ces périodes. Ne collectez que ce que vous utilisez vraiment — la minimisation des données est un principe, pas un petit plus.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Transferts internationaux et fournisseurs
Si votre logiciel RH ou votre fournisseur de paie stocke des données à l’extérieur de l’Espace économique européen, vous devez garantir un mécanisme de transfert adéquat — une décision d’adéquation, des clauses contractuelles types ou des garanties équivalentes. Depuis le Brexit, les transferts entre l’UE et le Royaume-Uni sont couverts par le statut d’adéquation du Royaume-Uni, mais il faut le surveiller, car il est sujet à révision.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
