Données RH et RGPD : adapter les durées de conservation aux nouveaux référentiels

Lecture rapide

La CNIL, par la délibération n° 2026-054 du 5 mai 2026, modifie le référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines. L’annexe précise notamment les durées de conservation des attestations d’honorabilité collectées via le traitement « SI Honorabilité », conservées jusqu’à l’expiration des délais et voies de recours en cas de contentieux.

Analyse juridique

1. Cadre juridique des durées de conservation des données RH

1.1. La Commission nationale de l’informatique et des libertés (CNIL) a adopté la délibération n° 2026-054 du 5 mai 2026, publiée au Journal officiel de la République française du 21 mai 2026 (Texte 59 sur 101), portant modification du référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines. Cette délibération s’inscrit dans le cadre du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit règlement général sur la protection des données (RGPD), relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

1.2. La délibération se fonde également sur la loi n° 78-17 du 6 janvier 1978 modifiée, dite loi informatique et libertés, et notamment sur son article 8 (I 2° b). Ce cadre normatif impose aux responsables de traitement de définir des durées de conservation adaptées à la finalité des traitements mis en œuvre dans la gestion des ressources humaines, en cohérence avec les principes de limitation de la conservation et de minimisation des données prévus par le RGPD.

1.3. La CNIL, sur proposition de Mme Aminata Niakaté, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, a décidé, à l’article 1er de la délibération, d’adopter les modifications du référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines, telles qu’elles figurent en annexe. L’article 2 précise que la délibération est publiée au Journal officiel, ce qui lui confère une portée normative et une opposabilité renforcée pour les acteurs concernés.

2. Référentiel CNIL et gestion des ressources humaines

2.1. Le référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines constitue un outil d’orientation pour les employeurs publics et privés. Il précise, pour chaque finalité de traitement de données RH, les durées de conservation en base active et les durées de conservation en archivage intermédiaire, ainsi que les fondements juridiques et les textes de référence applicables.

2.2. La mise à jour du 5 mai 2026, datée en annexe au 05/05/2026, illustre l’adaptation continue de ce référentiel aux évolutions réglementaires et sectorielles. Elle intègre notamment des précisions relatives au recrutement et au contrôle de l’honorabilité pour certaines activités, en lien avec l’arrêté du 31 mars 2021 portant création d’un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité ».

2.3. Pour les responsables de traitement, ce référentiel n’est pas seulement un document indicatif : il sert de référence pour démontrer la conformité aux exigences du RGPD et de la loi informatique et libertés en matière de durées de conservation. Il permet de justifier, en cas de contrôle ou de contentieux, que les données à caractère personnel relatives aux ressources humaines ne sont pas conservées au-delà de ce qui est nécessaire à la finalité poursuivie.

3. Recrutement et contrôle de l’honorabilité

3.1. L’annexe de la délibération consacre une rubrique spécifique au recrutement, dans laquelle figure la finalité de contrôle de l’honorabilité pour les activités visées par l’arrêté du 31 mars 2021 portant création d’un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité ». Cette finalité vise les secteurs ou fonctions pour lesquels un contrôle d’honorabilité est exigé par des textes réglementaires, afin de vérifier que les personnes concernées remplissent les conditions légales pour exercer l’activité en question.

3.2. Le SI Honorabilité est un traitement automatisé de données à caractère personnel mis en place par l’arrêté du 31 mars 2021. Il permet de centraliser et de gérer les informations nécessaires au contrôle de l’honorabilité des candidats ou des personnels, dans le cadre de la gestion des ressources humaines. La délibération de la CNIL vient préciser, pour cette finalité, les durées de conservation applicables aux documents et données associés, en particulier l’attestation d’honorabilité.

3.3. La mention « / » dans la colonne « Détails » de l’annexe indique que la finalité est directement définie par l’arrêté du 31 mars 2021 et qu’aucun sous-détail supplémentaire n’est apporté dans le référentiel. Néanmoins, la délibération encadre précisément la durée de conservation de l’attestation d’honorabilité et les conditions de son archivage intermédiaire, en renvoyant aux textes réglementaires applicables à chaque activité.

4. Durées de conservation en base active

4.1. Pour la finalité de contrôle de l’honorabilité dans le cadre du recrutement, la délibération indique que la durée de conservation de l’attestation d’honorabilité en base active est variable selon l’activité. Cette variabilité découle du fait que chaque secteur ou profession visé par l’arrêté du 31 mars 2021 peut être régi par des règles spécifiques, fixées par des textes réglementaires applicables à chaque activité.

4.2. L’attestation d’honorabilité dont la collecte est requise par un texte est conservée en base active jusqu’à l’expiration des délais et voies de recours en cas de contentieux. Cette formulation renvoie à une logique de sécurisation juridique : tant que des contentieux relatifs au recrutement, à l’aptitude ou à l’honorabilité peuvent être engagés, l’employeur doit pouvoir produire les pièces justificatives, dont l’attestation.

4.3. En pratique, la durée de conservation en base active doit donc être alignée sur les délais de prescription et les voies de recours prévus par les textes sectoriels ou par le droit commun, selon l’activité concernée. Le référentiel ne fixe pas une durée unique, mais renvoie explicitement aux textes réglementaires applicables à chaque activité, ce qui impose aux responsables de traitement une analyse fine de leur cadre juridique propre.

5. Archivage intermédiaire et obligations réglementaires

5.1. Outre la conservation en base active, la délibération prévoit une durée de conservation en archivage intermédiaire pour l’attestation d’honorabilité. L’archivage intermédiaire correspond à une phase durant laquelle les données ne sont plus utilisées au quotidien pour la gestion courante des ressources humaines, mais restent conservées de manière sécurisée pour répondre à des obligations légales, à des besoins de preuve ou à des exigences de contrôle.

5.2. La délibération précise que, lorsque la collecte de l’attestation d’honorabilité est requise par un texte, la conservation en archivage intermédiaire se justifie par les textes réglementaires applicables à chaque activité, qui constituent le fondement juridique de cette conservation. Ces textes sont qualifiés d’obligation dans la colonne « Fondements juridiques », ce qui signifie que le responsable de traitement ne dispose pas d’une simple faculté, mais d’un devoir de conserver ces données pendant la durée nécessaire.

5.3. L’archivage intermédiaire doit être mis en œuvre avec des garanties appropriées : limitation des accès, séparation des environnements de traitement, et respect du principe de protection des données dès la conception et par défaut tel que prévu par le RGPD. La référence explicite aux textes réglementaires applicables à chaque activité implique que la durée de cet archivage peut différer d’un secteur à l’autre, en fonction des exigences de contrôle ou de traçabilité imposées par le législateur ou le régulateur sectoriel.

6. Fondements juridiques et textes de référence

6.1. La colonne « Fondements juridiques » de l’annexe mentionne, pour la finalité de contrôle de l’honorabilité, les textes réglementaires applicables à chaque activité avec la précision « (obligation) ». Cela signifie que le traitement des données à caractère personnel relatives à l’attestation d’honorabilité repose sur une obligation légale au sens du RGPD et de la loi informatique et libertés, et non sur le consentement des personnes concernées.

6.2. Les textes de référence incluent, en premier lieu, le règlement (UE) 2016/679 et la loi n° 78-17 du 6 janvier 1978 modifiée, mais aussi l’arrêté du 31 mars 2021 portant création d’un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité » et l’ensemble des textes réglementaires applicables à chaque activité concernée. Ces textes déterminent à la fois la nécessité du contrôle de l’honorabilité, les catégories de données pouvant être traitées et les durées de conservation associées.

6.3. La mention de la date de mise à jour au 05/05/2026 permet d’identifier la version du référentiel applicable. Pour les responsables de traitement, il est essentiel de se référer à cette date pour vérifier que les durées de conservation mises en œuvre dans leurs systèmes de données RH sont alignées sur la dernière version publiée par la CNIL et sur les évolutions du cadre réglementaire.

7. Enjeux de conformité pour les données RH et le RGPD

7.1. La modification du référentiel relatif aux durées de conservation pour les traitements mis en œuvre dans le cadre de la gestion des ressources humaines renforce les exigences de conformité RGPD pour les employeurs. En matière de données RH, la détermination de durées de conservation proportionnées et juridiquement fondées est un élément central du respect du principe de limitation de la conservation prévu par le règlement (UE) 2016/679.

7.2. L’intégration du contrôle de l’honorabilité et du SI Honorabilité dans le référentiel souligne l’importance croissante des traitements liés à la sécurité, à la fiabilité et à la probité des personnes dans certains secteurs d’activité. Les textes réglementaires applicables à chaque activité imposent des obligations spécifiques, que les responsables de traitement doivent traduire dans leurs politiques internes de gestion des ressources humaines et de conservation des données.

7.3. La publication de la délibération n° 2026-054 du 5 mai 2026 au Journal officiel de la République française confère à ces orientations une visibilité et une force particulières. Les acteurs de la gestion des ressources humaines sont ainsi invités à vérifier la cohérence de leurs pratiques de conservation et d’archivage intermédiaire des données à caractère personnel avec ce référentiel mis à jour, en tenant compte des fondements juridiques et des textes de référence qui encadrent leurs activités.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.