Le 2 avril 2026, la CNIL a publié un référentiel de durées de conservation consacré aux traitements de données personnelles mis en œuvre dans le cadre de la gestion des ressources humaines (« RH »).

L’objectif est clair : aider les organismes à identifier, pour leurs principaux traitements RH, une durée de conservation pertinente, en distinguant ce qui relève d’une obligation légale et ce qui relève d’une recommandation.

Cette publication s’inscrit dans le programme de travail annoncé par la CNIL, qui prévoyait l’adoption de référentiels « durées de conservation » pour les activités commerciales/marketing et les ressources humaines. Elle offre aux employeurs un cadre concret pour revoir leurs politiques d’archivage et de purge, dans une logique de mise en conformité et de maîtrise du risque contentieux.

Un référentiel opérationnel pour encadrer les durées de conservation des données RH

Ce référentiel se veut être un outil opérationnel destiné aux acteurs qui traitent des données personnelles de travailleurs. L’objectif est de guider les organismes dans l’identification et la détermination des durées de conservation pertinentes pour les traitements mis en œuvre dans le cadre de la gestion de leurs personnels.

Le document a été élaboré avec l’appui de réseaux et d’association professionnelles issus des secteurs publics et privé.

Le référentiel couvre les traitements RH les plus fréquents notamment :

• le recrutement,
• la gestion administrative du personnel,
• la gestion des rémunérations,
• la sécurisation des biens et des personnes,
• la gestion des véhicules professionnels,
• l’écoute et l’enregistrement des conversations téléphoniques sur le lieu de travail,
• la gestion des relations collective de travail,
• la gestion des accidents du travail,
• la gestion du contentieux et du précontentieux ainsi que
• la gestion des alertes professionnelles.

Un texte de référence pour les employeurs soumis au droit du travail français

Ce référentiel s’adresse à tous les organismes-employeurs, publics ou privés, quelle que doit leur forme juridique, dès lors que les personnels concernés sont soumis au droit du travail français.

Il ne couvre pas en revanche, les durées applicables aux pièces du dossier individuel des agents publics, qui relève d’un cadre distinct.

Le référentiel présente un intérêt particulier pour les délégués à la protection des données (DPO), les référents RGPD, les services RH et les directions des systèmes d’information confirmant le caractère transversal des enjeux liés à la maîtrise des durées de conservation.

Un instrument de droit souple, mais à forte portée pratique

Le référentiel relève du droit souple : son respect n’a donc pas, en lui-même, de caractère obligatoire. Il constitue un outil d’aide à la décision destiné à orienter les responsables de traitements vers les durées pertinentes. 

Cette souplesse ne doit toutefois pas être surestimée. Le référentiel recense également de nombreuses durées de conservation obligatoires, définies par des textes législatifs ou réglementaires, auxquelles le responsable de traitement ne peut déroger.

En outre, la CNIL rappelle que le document n’est pas exhaustif et que d’autres règles sectorielles peuvent s’appliquer selon l’activité concernée. Elle invite donc à vérifier systématiquement le fondement juridique mentionné afin de s’assurer de son adéquation à la situation concrète.

Base active et archivage intermédiaire : une distinction structurante

Le référentiel apporte une clarification utile sur la distinction entre base active et archivage intermédiaire.

La base active correspond à la durée nécessaire à la finalité initiale du traitement, pendant laquelle les données restent facilement accessibles aux services opérationnels.

L’archivage intermédiaire concerne les données qui ne sont plus nécessaires à l’objectif principal mais qui doivent être conservées en raison d’une obligation légale ou d’un intérêt administratif – notamment en cas de contentieux.

Dans ce cas, une séparation – physique et logique – doit être mise en place, avec un accès limité aux seules personnes habilitées.

Recrutement, paie, sécurité, contentieux : des repères clarifiés

Recrutement

Le référentiel distingue utilement plusieurs situations :

• pour un candidat retenu : conservation pendant le temps de la procédure de recrutement, puis réutilisation dans le cadre de la gestion du personnel ;
• pour un candidat non retenu : conservation possible pendant 5 ans à des fins probatoires pour les éventuelles actions en discrimination, à compter de la date de pourvoi du poste ;
• pour les CV-thèques : conservation recommandée jusqu’à 2 ans à compter du dernier contact avec le candidat non retenu.

Rémunération et paie

Les éléments nécessaires à la gestion et à l’édition des bulletins de paie sont conservés pendant la présence du salarié dans les effectifs, puis pendant 6 ans glissants après la déclaration sociale nominative.

Pour la mise à disposition des bulletins de salaire :

• Ils doivent être mis à disposition pendant 1 mois après leur transmission ;
• Ils doivent être conservés pendant 5 ans pour les bulletins papier ou électroniques
• En cas de dématérialisation, l’employeur doit garantir leur disponibilité pendant 50 ans ou jusqu’à l’âge de la retraite du salarié augmenté de 6 ans.

Sécurité des biens et des personnes

Les images de vidéosurveillance sont conservées pendant 1 mois. En pratique, la CNIL rappelle que quelques jours suffisent souvent. En cas de procédure disciplinaire ou pénale, les images doivent alors être extraites et conservées dans un traitement distinct pour la durée de la procédure.

Contentieux et accidents du travail

Les déclarations d’accident du travail doivent être conservées pendant 5 ans. Les dossiers disciplinaires et prud’homaux peuvent être conservés jusqu’à épuisement des voies de recours.

Un outil structurant pour la mise en conformité des pratiques RH

En pratique, ce référentiel implique une cartographie plus fine des traitements RH et une révision des pratiques existantes.  

La parution de ce référentiel est particulièrement utile pour :

• mettre à jour les registres de traitements ;
• revoir les politiques d’archivages et de purge ;
• sécuriser les durées de conservation en cas de contrôle ou de contentieux ;
• ajuster les habilitations et les accès aux données.

En structurant son approche par activités de traitement, la CNIL met à disposition des employeurs un outil directement exploitable, qui devrait rapidement s’imposer comme un standard de référence.

FAQ

Faut-il mettre à jour son registre des traitements après la publication du référentiel ?

Oui, dans la plupart des cas. Le référentiel constitue une base de travail pour vérifier que les durées de conservation mentionnées dans le registre sont conformes aux exigences légales et cohérentes avec les recommandations de la CNIL. Une mise à jour est fortement recommandée, en particulier pour les traitements RH les plus sensibles.

Faut-il mettre à jour son registre des traitements après la publication du référentiel ?

La durée légale s’impose. En l’absence d’obligation légale, les durées recommandées par la CNIL constituent un standard de référence. S’en écarter est possible, mais doit être justifié et documenté.

Peut-on harmoniser les durées de conservation pour simplifier la gestion ?

Une harmonisation est possible, mais elle doit rester compatible avec les obligations légales et les finalités des traitements. Une approche trop uniforme peut conduire à conserver certaines données trop longtemps ou, à l’inverse, à les supprimer trop tôt.

Peut-on conserver les données RH plus longtemps « par précaution » ?

Non, en principe. Le référentiel s’inscrit dans le principe de limitation de la conservation :les données ne doivent être conservées que pendant la durée nécessaire à la finalité du traitement, puis, le cas échéant en archivage intermédiaire si une obligation légale ou un besoin probatoire le justifie.

Comment mettre en œuvre concrètement la distinction entre base active et archivage intermédiaire ?

Cette distinction suppose généralement une adaptation des outils (SIRH…) afin d’isoler les données archivées, soit physiquement, soit via des restrictions d’accès. Elle implique également de définir des habilitations spécifiques et des règles de consultation encadrées.

Faut-il mettre en place des procédures de purge automatisée ?

Oui, c’est fortement recommandé. L’automatisation des suppressions permet de garantir le respect des durées de conservation et de limiter les risques liés à une conservation excessive des données.

Quels sont les risques en cas de durées de conservation inadaptées ?

Des durées excessives ou insuffisantes peuvent exposer l’organisme à des risques juridiques (sanctions, contentieux) et opérationnels (difficulté à produire des preuves, non-conformité RGPD). La durée de conservation est un point fréquemment contrôlé par la CNIL.

Le référentiel est-il opposable en cas de contrôle de la CNIL ?

Non directement, mais il constitue un référentiel de référence. S’y conformer permet de démontrer une démarche de conformité. À l’inverse, s’en écarter nécessite d’être en mesure de justifier ses choix.

Qu’est-ce que le droit souple ?

Le droit souple désigne des instruments non contraignants, comme les référentiels, recommandations ou lignes directrices, qui n’imposent pas d’obligations juridiques par eux-mêmes, mais visent à orienter les pratiques.

En matière de protection des données, ces outils — notamment ceux de la CNIL — constituent des repères opérationnels importants. S’y conformer permet généralement de démontrer une démarche de conformité, tandis que s’en écarter suppose d’être en mesure de justifier ses choix.

referentiel_durees_de_conservation_gestion_des_ressources_humaines