Quelles données un employeur peut-il collecter sur ses salariés ?

Seules les informations utiles aux finalités de la gestion du personnel : gestion administrative, organisation du travail, action sociale, obligations légales. Les commentaires doivent rester pertinents et non excessifs.

Un salarié peut-il demander les données que l'employeur détient sur lui ?

Oui. Selon la CNIL, il obtient sur simple demande, sans justification, une copie de ses données : recrutement, carrière, évaluations, dossier disciplinaire.

Combien de temps conserver les données des salariés ?

Pendant la présence du salarié, puis certaines données sont archivées. La CNIL a publié le 02/04/2026 un référentiel des durées de conservation des données de gestion du personnel.

Données des salariés et RGPD : les règles de la CNIL

Le règlement général sur la protection des données (RGPD) s'applique aux données des salariés comme à celles des clients. La Commission nationale de l'informatique et des libertés (CNIL) le décline pour la gestion du personnel : ne collecter que ce qui sert une finalité précise, en limiter l'accès, informer les salariés, respecter leur droit d'accès et des durées de conservation. Un assistant de ressources humaines (RH) ajoute une question : que deviennent les questions que les salariés lui posent ?

Les règles de base selon la CNIL

La CNIL a adopté un référentiel pour les traitements de gestion des ressources humaines, applicable à l'ensemble des employeurs privés et publics. Sa page « Les règles pour la gestion du personnel » en donne l'essentiel.

Des finalités précises. Gestion administrative (le type de permis détenu, les personnes à prévenir en cas d'urgence), organisation du travail (une photo facultative pour l'annuaire), action sociale prise en charge par l'employeur, obligations légales. Seules les informations utiles à ces finalités peuvent être collectées ; les zones de commentaires ne contiennent que des appréciations pertinentes et non excessives.

Un accès limité. Seules les personnes chargées de la gestion du personnel consultent les dossiers. Les supérieurs hiérarchiques n'accèdent qu'aux données nécessaires à leurs fonctions. Les accès sont journalisés : qui se connecte, quand, pour quelle action.

Une information préalable. Les représentants du personnel sont informés avant la mise en place d'un fichier de gestion. Les salariés connaissent le responsable du fichier, la finalité, la base légale, le caractère obligatoire ou facultatif des réponses, les destinataires, la durée de conservation, leurs droits et la possibilité de saisir la CNIL. Aucune donnée ne peut être collectée par un dispositif qui ne leur a pas été communiqué.

Le droit d'accès. Sur simple demande, sans justification, le salarié obtient une copie de ses données : recrutement, carrière, évaluations, dossier disciplinaire.

La documentation. Les fichiers figurent au registre des activités de traitement ; le délégué à la protection des données (DPO), s'il existe, est associé à leur mise en œuvre.

Les durées de conservation

Les données sont conservées pendant la présence du salarié, puis certaines sont archivées. Le 02/04/2026, la CNIL a publié un référentiel dédié aux durées de conservation des données de gestion du personnel, élaboré avec des réseaux professionnels. C'est du « droit souple » : il n'est pas obligatoire, sauf pour les durées imposées par un texte. Les durées détaillées figurent dans le document PDF du référentiel, organisé par activité de traitement.

Le Code du travail ajoute l'information du CSE

L'article L2312-38 prévoit l'information du comité social et économique (CSE) avant l'introduction de traitements automatisés de gestion du personnel, et son information-consultation avant la mise en œuvre de moyens permettant de contrôler l'activité des salariés. Voir l'information-consultation du CSE.

Appliqué à un assistant RH : trois zones à séparer

Un assistant qui répond à partir des textes de l'entreprise traite des données à deux endroits : dans sa base de documents et dans les conversations.

Zone	Ce qu'on y met	Règle pratique
Base de documents	Textes collectifs : règlement intérieur, convention, accords, livret, procédures	Aucun dossier individuel, aucune évaluation, aucun document disciplinaire
Conversations	Les questions des salariés, qui peuvent révéler une naissance, un décès, une maladie	Décider à l'avance ce qui est conservé, combien de temps, et qui peut le lire
Statistiques d'usage	Nombre de questions, thèmes fréquents, questions sans réponse	Agréger, ne pas suivre les personnes : sinon la question du contrôle de l'activité se pose

La liste des points à vérifier

La finalité de l'assistant est écrite : répondre aux questions générales sur les textes de l'entreprise.
La base ne contient que des textes collectifs.
Les consignes interdisent de demander des données personnelles inutiles.
La durée de conservation des conversations est fixée, et les salariés en sont informés.
Les personnes qui peuvent lire les conversations sont nommées, et leurs accès tracés.
Le traitement est inscrit au registre ; le DPO, s'il existe, a été associé.
Le CSE a été informé, et consulté si l'outil permet de contrôler l'activité.
Le fournisseur de l'outil a répondu par écrit sur l'hébergement et la réutilisation des données. Pour ALMA comme pour toute autre solution, ces points sont à vérifier avec l'éditeur avant de vous engager ; pour ALMA, c'est IArche, qui publie sa politique de confidentialité sur son site.

Cette page résume des recommandations lues sur le site de la CNIL le 15/11/2026. Elle ne vaut pas avis juridique : pour votre cas, interrogez votre DPO, votre conseil ou la CNIL.