La CNIL a publié, le 2 avril 2026, un référentiel relatif aux durées de conservation des données à caractère personnel dans le domaine de la gestion des ressources humaines[1]. Cet outil opérationnel, destiné aux responsables de traitement employant des travailleurs, articule deux catégories de durées : les durées obligatoires imposées par la réglementation et les durées recommandées par la Commission, qui constituent des points de repère sans caractère contraignant.

Le référentiel s’inscrit dans le cadre du principe de limitation de la conservation posé à l’article 5, paragraphe 1, sous e) du RGPD[2]. Sa vocation est pratique : il guide les organismes dans la détermination des durées pertinentes pour chaque catégorie de traitement RH, en renvoyant aux textes applicables — principalement le Code du travail, le Code de la sécurité sociale et le Code général des impôts — ou aux recommandations antérieures de la CNIL. Un code couleur distingue, pour chaque entrée, les durées imposées (en bleu) des durées recommandées (en gris).

Sur le plan structurel, le document distingue la durée de conservation en base active — période pendant laquelle les données sont directement accessibles aux services opérationnels — et la durée d’archivage intermédiaire[3]. Cette seconde phase, justifiée par un intérêt administratif résiduel ou une obligation légale, suppose une séparation physique ou logique effective avec la base active et un accès restreint à des personnes spécifiquement habilitées.

Le référentiel couvre neuf domaines : recrutement, gestion administrative du personnel, rémunérations, sécurisation des personnes et des biens, gestion des véhicules professionnels, écoute et enregistrement des conversations téléphoniques, relations collectives de travail, accidents du travail, contentieux et alertes professionnelles. Pour chaque domaine, des durées précises sont associées aux textes qui les fondent[4]. À titre d’illustration : les dossiers de candidature des candidats non retenus doivent être conservés cinq ans en archivage intermédiaire à des fins probatoires en matière de discrimination[5] ; les gabarits biométriques ne peuvent excéder la durée de l’habilitation de la personne concernée ; les images de vidéosurveillance sont limitées à un mois à compter de leur captation.

Ce référentiel constitue un point d’appui utile pour la mise à jour du registre des activités de traitement et la conduite d’audits de conformité RGPD. Il convient toutefois de l’utiliser avec discernement : d’une part, les durées recommandées ne sauraient se substituer à une analyse propre du responsable de traitement au regard de ses obligations sectorielles spécifiques ; d’autre part, le document exclut expressément les durées applicables aux dossiers individuels des agents publics[6]. La détermination de la durée de conservation demeure un acte de responsabilité du responsable de traitement, que ce référentiel est destiné à éclairer sans s’y substituer.

_____

[1] CNIL, Référentiel « Les durées de conservation des données à caractère personnel – Gestion des ressources humaines », 2 avril 2026

[2] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, article 5, paragraphe 1, sous e) : principe de « limitation de la conservation ».

[3] Le référentiel précise que la séparation peut être physique (base d’archivage dédiée) ou logique (limitation des habilitations d’accès).

[4] Notamment : article R. 1221-26 du Code du travail (registre unique du personnel : 5 ans après le départ) ; articles D. 3171-16 et L. 3245-1 du Code du travail (temps de travail) ; articles L. 3243-4 et D. 3243-8 du Code du travail (bulletins de paie) ; article L. 102 B du Code général des impôts et article L. 243-16 du Code de la sécurité sociale (éléments de paie : 6 ans glissants).

[5] Article L. 1134-5 du Code du travail : prescription de l’action en discrimination fixée à 5 ans à compter de la date à laquelle le poste a été pourvu.

[6] Le référentiel exclut expressément les dossiers individuels des agents publics visés par l’arrêté du 21 décembre 2012 relatif à la composition du dossier individuel des agents publics géré sur support électronique.