Droit à l'effacement du RGPD pour les dossiers RH : comment supprimer les données des salariés et le prouver

Une demande d’effacement émanant d’un ancien salarié et une obligation légale de conservation vont généralement en sens contraire. Vous devez résoudre ce conflit enregistrement par enregistrement, et vous devez pouvoir justifier votre raisonnement par la suite.

Le RGPD donne aux personnes le droit d’obtenir l’effacement de leurs données personnelles. Les RH détiennent certaines des données personnelles les plus sensibles de toute organisation, et aussi certaines des plus réglementées. Lorsqu’un ancien salarié envoie une demande de suppression, la réponse est rarement un simple oui ou non. Une partie du dossier doit disparaître. Une autre doit rester. Et il vous faut une trace de ce qui relevait de l’une ou de l’autre.

La réponse courte

Vous devez effacer les données d’un salarié lorsque la raison pour laquelle vous les déteniez ne s’applique plus, sauf si un fondement juridique précis vous impose de les conserver. Les dossiers de paie, fiscaux et de sécurité sociale relèvent presque toujours d’une obligation de conservation qui prime sur la demande d’effacement. Le dossier de recrutement d’un candidat non retenu, en général non. Le travail consiste à décider, catégorie par catégorie, quelle règle l’emporte, et à garder la preuve de cette décision.

Ce que dit réellement le droit à l’effacement

Le droit à l’effacement figure à l’article 17 du RGPD. Il donne à la personne concernée le droit d’obtenir l’effacement de ses données personnelles dans les meilleurs délais lorsque l’une de plusieurs conditions est remplie. Les deux qui comptent le plus pour les RH sont :

• Les données ne sont plus nécessaires au regard de la finalité pour laquelle elles ont été collectées.
• Les données ont été traitées sur la base du consentement, et ce consentement a été retiré.

Une relation de travail ne repose généralement pas sur le consentement. Elle repose sur le contrat de travail et sur des obligations légales. Cette distinction compte, car elle détermine quels motifs d’effacement s’appliquent et sur quelles exceptions vous pouvez vous appuyer.

Quand vous devez refuser la demande

L’article 17(3) énumère les exceptions. Celle qui domine en RH est l’exception relative au respect d’une obligation légale. Si une loi nationale vous impose de conserver un document, le droit à l’effacement ne vous oblige pas à le supprimer de manière anticipée.

Les catégories soumises à une obligation de conservation sont les habituelles : dossiers de paie et de retenue d’impôt sur les salaires, contrats de travail et avenants, et dossiers de santé et de sécurité au travail. Les dossiers de paie et fiscaux sont le cas le plus clair : ils sont conservés pendant des années en vertu du droit fiscal national, et vous ne pouvez donc pas les supprimer sur demande. La durée exacte pour chaque catégorie est détaillée dans les durées de conservation des données RH dans l’UE.

Lorsqu’une exception s’applique, vous ne supprimez pas. Mais vous n’ignorez pas non plus simplement la demande. Vous répondez, vous expliquez le fondement juridique de la conservation des données, et vous consignez que vous l’avez fait. Un refus que vous ne pouvez pas expliquer plus tard est un refus qui ressemble à un manquement.

Quand vous devez supprimer

Lorsqu’aucune obligation de conservation ni aucune autre exception ne s’applique, les données doivent disparaître. Catégories RH courantes qui doivent généralement être effacées une fois leur finalité atteinte :

• Données de recrutement des candidats non retenus. Une fois le poste pourvu et passé un éventuel bref délai de conservation lié aux recours pour discrimination, il ne reste plus de finalité. Sans consentement, ce délai est court : environ quatre semaines selon les recommandations néerlandaises. Avec le consentement du candidat, une conservation allant jusqu’à un an est courante, afin de pouvoir le recontacter pour un futur poste.
• Données de candidature que vous étiez autorisé à conserver avec consentement, une fois que le candidat a retiré ce consentement.
• Notes d’évaluation et correspondance RH interne qui ont survécu à leur finalité et ne font pas partie d’un dossier que vous êtes tenu de conserver.
• Identifiants d’accès, journaux de badges et données de comptes informatiques, une fois le départ du salarié finalisé et toute période d’examen de sécurité close.

La limitation de la conservation n’est pas seulement réactive. L’article 5(1)(e) exige d’emblée que vous ne conserviez pas les données personnelles plus longtemps que nécessaire. C’est un principe distinct de la minimisation des données de l’article 5(1)(c), qui limite la quantité de données que vous collectez. Une demande de suppression est souvent simplement le moment où vous découvrez que vous déteniez des données que vous auriez déjà dû supprimer.

Ce que la plupart des équipes font mal : la preuve

Supprimer les données, c’est la moitié de l’obligation. Pouvoir démontrer que vous les avez supprimées en est l’autre moitié, et c’est celle qui fait défaut lors d’un audit.

L’article 5(2) énonce le principe de responsabilité. Vous devez être en mesure de démontrer la conformité, pas seulement de l’affirmer. Pour l’effacement, cela signifie que vous devez pouvoir montrer, pour une demande donnée :

1. Ce qui a été demandé, et quand.
2. Quelles catégories vous avez effacées et lesquelles vous avez conservées.
3. Le fondement juridique de tout ce que vous avez gardé.
4. Quand l’effacement a effectivement eu lieu.
5. Que les données effacées ont réellement disparu et ne dorment pas dans une sauvegarde qui les restaure discrètement.

Une autorité de contrôle comme l’Autoriteit Persoonsgegevens néerlandaise ou la CNIL française, saisie d’une plainte de l’ancien salarié, demandera exactement cela. “Nous l’avons supprimé” n’est pas une réponse. Un enregistrement daté de la décision et de l’action, dont toute altération est détectable, en est une.

Le problème des sauvegardes

C’est dans les sauvegardes que les affirmations d’effacement s’effondrent. Si vous supprimez un enregistrement de votre système de production mais qu’une sauvegarde nocturne le restaure trois semaines plus tard, vous n’avez rien effacé. Les régulateurs admettent qu’une suppression immédiate dans chaque sauvegarde n’est pas toujours techniquement faisable, mais ils attendent une approche documentée : les données sont mises hors d’usage, exclues des restaurations et purgées lors de la rotation de sauvegarde suivante. Ce qu’ils n’acceptent pas, c’est le silence. Si vous ne pouvez pas décrire votre processus de suppression dans les sauvegardes, vous ne pouvez pas démontrer l’effacement.

Informez les autres

L’effacement ne s’arrête pas à vos propres systèmes. L’article 19 vous impose de notifier l’effacement à chaque destinataire auquel les données ont été communiquées, à moins que cela ne se révèle impossible ou n’exige des efforts disproportionnés. En RH, cela signifie généralement votre prestataire de paie, votre gestionnaire de retraite et tout sous-traitant ayant reçu le dossier. Supprimer votre copie alors qu’un sous-traitant conserve la sienne n’est pas un effacement. C’est une faille, et c’est une faille que vous devez combler et documenter.

Un processus d’effacement RH défendable

Un processus qui résiste à l’examen ressemble à ceci :

1. Enregistrez la demande avec un horodatage dès son arrivée.
2. Classez le dossier par catégorie. Séparez les parties soumises à une obligation de conservation de celles qui doivent être effacées.
3. Consignez la décision par catégorie, y compris le fondement juridique de tout ce qui est conservé.
4. Exécutez la suppression sur les catégories qui doivent disparaître, y compris le traitement des sauvegardes.
5. Capturez la preuve que la suppression a eu lieu : ce qui a été supprimé, quand, et par quel processus.
6. Répondez à la personne dans le délai d’un mois, prolongeable de deux mois pour les demandes complexes.

Le résultat d’un bon processus n’est pas seulement des données supprimées. C’est un dossier défendable qui montre, des mois ou des années plus tard, que vous avez fait ce qu’il fallait, pour la bonne raison. C’est l’idée qui sous-tend la suppression défendable : une destruction qui s’accompagne de sa propre preuve.

Comment SealDoc soutient l’effacement RH

SealDoc attribue à chaque document une catégorie de conservation lors de sa création et enregistre son cycle de vie dans une piste d’audit chaînée par hachage, de sorte que toute modification a posteriori de la séquence est détectable. L’API de SealDoc refuse d’effacer un document pendant sa période de conservation.

Via l’API, SealDoc efface les données d’un document sur demande dès que sa période de conservation le permet, et consigne l’effacement dans la piste d’audit. L’enregistrement est capturé au moment même de l’effacement, c’est-à-dire exactement quand la responsabilité au titre de l’article 5(2) est la plus facile à satisfaire et la plus difficile à reconstituer après coup.

Les données résident sur une infrastructure située dans l’UE, sans hyperscaler américain sur le trajet, de sorte que l’enregistrement de l’effacement lui-même ne crée pas de nouveau problème de transfert.