Annuaires internes : choisir les données visibles

Un annuaire interne peut afficher le nom, la fonction, le service et les coordonnées professionnelles nécessaires pour joindre les bonnes personnes. Il ne doit pas reproduire le dossier RH. Le domicile, le téléphone privé ou le motif d’une absence ne deviennent pas utiles à tous parce qu’ils existent déjà dans le logiciel de gestion du personnel.

La bonne méthode consiste à définir les recherches attendues, puis les champs et les publics correspondants. Ce guide concerne un annuaire de travail dans une entreprise privée. Il propose une spécification remplie, réutilisable pour préparer un outil ou revoir une synchronisation existante, sans imposer un logiciel particulier.

Partir de l’usage, puis choisir la base juridique

« Trouver le responsable des commandes de l’agence de Nantes » est une finalité suffisamment concrète pour décider quelles informations afficher. « Améliorer la connaissance des collaborateurs » est trop vague pour justifier la publication des anniversaires, loisirs, évaluations ou coordonnées de leurs proches.

La CNIL envisage l’intérêt légitime pour les annuaires internes et organigrammes, sous réserve d’une analyse adaptée à l’organisme. Son référentiel mentionne notamment l’identité, la fonction et les coordonnées professionnelles, avec une photographie facultative. Ce cadre n’autorise pas à publier tous les champs disponibles. Délibération CNIL n° 2019-160, points 4 et 5.

Pour les coordonnées nécessaires à l’organisation, l’employeur peut documenter trois éléments : son intérêt à permettre les échanges de travail, la nécessité des champs retenus et la balance avec les droits des salariés. La restriction des destinataires et l’absence de coordonnées privées réduisent l’exposition. Elles ne dispensent pas d’examiner une situation individuelle présentant un risque particulier. RGPD, Art. 6(1)(f).

Faire signer « j’accepte l’annuaire » à chaque embauche ne remplace pas cette analyse. Si les coordonnées sont nécessaires, un prétendu choix libre suivi d’une obligation de remplir la fiche crée une contradiction. Le choix de la photo se traite séparément.

Spécification remplie : l’annuaire de l’entreprise A25

Dans cet exemple fictif, A25 compte 86 salariés sur deux sites. Les équipes doivent identifier leurs interlocuteurs et joindre un service. Les prestataires intervenant ponctuellement n’ont pas besoin de consulter toutes les fiches. L’annuaire reste accessible aux comptes internes autorisés ; aucun accès public n’est prévu.

Ce tableau représente des décisions pour A25, pas une liste légale de champs obligatoires. Une entreprise organisée autrement peut retenir une boîte fonctionnelle plutôt qu’une adresse individuelle, ou ne pas publier le site si cette information n’aide pas à joindre le bon interlocuteur.

La fiche de Camille, chargée des commandes à Rennes, affiche donc son identité professionnelle, sa fonction, le service, son courriel de travail et l’extension fournie par l’entreprise. Elle ne comporte ni son portable privé, pourtant connu des RH, ni une mention relative à son enfant. Camille n’ayant pas choisi de photo, un pictogramme neutre est affiché. La fiche remplit sa fonction sans ces informations supplémentaires.

Cette sélection applique la minimisation et la limitation des finalités. Le responsable conserve la spécification avec les paramètres retenus afin de pouvoir expliquer ses choix. RGPD, Art. 5(1)(b), 5(1)(c) et 5(2).

Traiter la photographie comme un véritable choix

Pour l’annuaire du personnel, interne comme externe, la CNIL exige une autorisation claire et recommande un écrit permettant d’en établir la preuve et l’étendue. Il ne suffit pas que l’employeur possède déjà une photographie pour un badge ou un dossier administratif. CNIL, photographie dans l’annuaire du personnel.

Dans A25, le traitement de la photo repose sur un consentement distinct de l’organisation des coordonnées professionnelles. Ce choix suppose qu’un refus ou un retrait soit sans conséquence défavorable et que la fiche fonctionne normalement sans portrait. Une pression du manager ou une exclusion des outils de travail détruirait cette liberté. La preuve du choix, son caractère spécifique et la facilité du retrait doivent être assurés. RGPD, Art. 6(1)(a) et 7(1) à 7(4).

La proposition suivante constitue un extrait à associer à l’information complète, pas une autorisation couvrant toutes les communications de l’entreprise :

« Je choisis d’ajouter cette photographie à ma fiche de l’annuaire interne A25, visible uniquement par les utilisateurs internes autorisés. Ce choix est facultatif. Je peux retirer la photo depuis ma fiche ou demander son retrait au service RH, sans conséquence sur mon emploi ni mon accès aux outils. Cette autorisation ne couvre ni le site public ni les réseaux sociaux. »

La case reste décochée. Le responsable conserve la date, le texte présenté et l’image concernée. Une photo acceptée pour l’annuaire ne passe pas automatiquement sur une brochure ; le nouveau support et sa finalité nécessitent leur propre examen.

Vérifier les destinataires derrière le mot « interne »

L’authentification ne prouve pas, à elle seule, que tous les champs sont appropriés pour tous les comptes. Distinguez les salariés, les stagiaires selon leurs missions, les invités et les utilisateurs appartenant à d’autres sociétés. Un portail de groupe peut diffuser les fiches bien au-delà de l’employeur qui les a créées.

Dans A25, les invités d’un espace projet voient les contacts nécessaires à ce projet, sans obtenir l’annuaire complet. Si une autre société du groupe demande un accès, le responsable précise le besoin, les données, les destinataires et les rôles des organismes avant de l’ouvrir. Une marque commune ne règle pas la qualification des responsabilités. RGPD, Art. 25(2) et, en cas de décisions conjointes, Art. 26(1).

La vérification doit porter sur les vues réelles : session ordinaire, compte invité, lien ouvert sans connexion, recherche et document exporté. Le responsable demande notamment si une image reste accessible par son adresse directe après déconnexion. Il consigne les résultats effectivement observés ; aucune vérification réelle n’est revendiquée dans cet exemple.

Une fiche destinée à Internet relève d’un annuaire professionnel public. Elle ne doit pas résulter d’un simple changement de visibilité du répertoire interne.

Maîtriser les sources, les copies et les changements

La synchronisation doit sélectionner des champs explicitement autorisés. Un champ générique « téléphone » utilisé à la fois pour les urgences et l’annuaire expose au remplacement accidentel d’une ligne professionnelle par un numéro personnel. Mieux vaut séparer les données à la source et exclure tout mécanisme de remplacement automatique non justifié.

Pour A25, les RH tiennent la fonction et le service ; l’informatique tient les coordonnées professionnelles. Une modification libre de la fiche ne permet pas au salarié de s’attribuer seul une nouvelle fonction. En revanche, un signalement d’erreur doit parvenir à la personne capable de corriger la source, pas seulement de masquer l’affichage.

Lors d’une mobilité interne, la date effective commande l’affichage du nouveau service. Le responsable vérifie aussi les copies dans l’outil de messagerie et les répertoires autorisés. Cette vérification ne doit pas réécrire une archive historique exacte : une ancienne liste de participants à une réunion n’est pas une fiche active.

Lors du départ d’un salarié, retirez la fiche de l’annuaire opérationnel et organisez le contact du service. Le maintien d’une identité pour certaines archives RH répond à une autre finalité ; il ne justifie pas de laisser l’ancien salarié présenté comme interlocuteur actuel. Il n’existe pas une durée unique couvrant à la fois l’annuaire, les justificatifs sociaux et tous les historiques. RGPD, Art. 5(1)(d) et 5(1)(e) et Art. 17(1)(a).

Informer et répondre à une demande concrète

L’information des salariés décrit la finalité, la base juridique, les champs, les destinataires, la durée ou ses critères et les droits applicables. Elle identifie l’employeur, le contact utile et, s’il existe, le DPO ; elle expose les transferts éventuels. La mention du droit d’opposition doit être clairement portée à l’attention des personnes. RGPD, Art. 13(1), 13(2) et 21(4).

Trois demandes appellent des réponses différentes :

• « Mon extension est erronée. » Corrigez-la sans tarder dans la source et les vues dérivées. Laissez un contact exact pendant la correction.
• « Je retire ma photo. » Enlevez-la de la diffusion concernée et traitez ses copies ; ne demandez pas une justification du retrait du consentement.
• « La visibilité de mon site m’expose à un risque personnel. » Examinez l’opposition au regard de cette situation. Une restriction provisoire peut être appropriée pendant l’analyse ; la simple utilité générale de l’annuaire ne constitue pas une réponse motivée.

Ces démarches relèvent respectivement de la rectification, du retrait du consentement et de l’opposition. Pour cette dernière, la poursuite du traitement exige les conditions de l’Art. 21(1), notamment des motifs légitimes impérieux prévalant sur les droits en cause. Informez la personne des mesures prises dans les meilleurs délais et, en principe, sous un mois. RGPD, Art. 12(3), 16 et 21(1).

Une suppression dans l’écran principal n’achève pas nécessairement le traitement. L’Art. 19 prévoit l’information des destinataires des rectifications, effacements ou limitations concernés, sauf impossibilité ou efforts disproportionnés. Si un export de coordonnées privées a été communiqué à des personnes non autorisées, traitez aussi l’incident : documentez les faits et appréciez les obligations de notification, sans présumer qu’une correction efface le risque. RGPD, Art. 19 et Art. 33(1), 33(5) et 34(1).

Ce qu’il faut retenir

• Sélectionnez les coordonnées utiles à l’organisation, sans recopier le dossier RH.
• Séparez le choix de la photo du traitement des coordonnées nécessaires.
• Contrôlez les invités, exports et copies, pas uniquement la page principale.
• Reliez correction, mobilité et départ à un responsable identifié.

FAQ

Le salarié peut-il exiger la suppression de toute sa fiche ?

Une opposition fondée sur sa situation particulière doit être examinée. Elle n’équivaut pas automatiquement au retrait d’un consentement lorsque les coordonnées nécessaires reposent sur l’intérêt légitime. Expliquez la décision et les recours si vous ne donnez pas suite. RGPD, Art. 12(4) et 21(1).

Peut-on conserver un numéro privé pour une urgence ?

Un besoin d’urgence éventuel doit être défini séparément : personnes habilitées, circonstances d’utilisation et conservation. Il ne justifie pas l’affichage du numéro dans l’annuaire consulté par tous les collègues.

Un document PDF de l’annuaire est-il interdit ?

Pas par principe. Son utilité, ses destinataires et sa mise à jour doivent être organisés. Si personne ne peut retirer une version périmée ou corriger ses copies, privilégiez une consultation contrôlée plutôt qu’une diffusion périodique de fichiers complets.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.