Information RGPD des salariés : modèle de notice

L’information des salariés doit décrire les traitements réellement mis en œuvre par l’employeur. Une notice commune peut regrouper les usages habituels, avec des compléments ciblés pour les caméras, la géolocalisation ou un nouvel outil. Une note générique remise à l’embauche ne couvre pas automatiquement tous les traitements futurs.

Le modèle ci-dessous doit être complété à partir du registre et des décisions prises sur les accès et la conservation. Il informe le salarié ; il ne recueille pas un consentement général à la gestion des ressources humaines.

Ce qu’il faut retenir

• Informez au moment de la collecte directe ; appliquez le calendrier propre de l’article 14 lorsque les données viennent d’un tiers.
• Décrivez chaque finalité avec sa base légale, ses destinataires et sa durée ou ses critères de calcul.
• Distinguez les cinq ans de conservation du double de paie et la disponibilité électronique pour le salarié.
• L’information, les formalités du CSE et la licéité du dispositif constituent des vérifications distinctes.

Préparer les informations avant de copier le modèle

Les articles 12(1), 13(1)–(2) et 14(1)–(2) du RGPD encadrent le contenu et la présentation. Recensez les traitements de candidature, contrat, paie, congés, avantages, sécurité et gestion des accès. Identifiez aussi les données reçues d’organismes extérieurs, les prestataires et les éventuelles décisions automatisées.

Ne présumez pas que toute gestion administrative repose sur le contrat ou que toute surveillance relève nécessairement de l’intérêt légitime. L’obligation légale exige un texte pertinent ; l’exécution contractuelle doit être nécessaire au contrat ; l’intérêt légitime demande une mise en balance. Pour les données sensibles, une condition de l’article 9(2) s’ajoute à la base de l’article 6(1). L’employeur n’a pas, par principe, accès au dossier médical du salarié.

Modèle de note d’information

Remplacez les champs entre crochets, ajoutez les traitements manquants et retirez les rubriques inutiles. Les exemples de lignes ci-dessous doivent être validés selon votre organisation.

Vos données personnelles dans la relation de travail

Responsable. [Dénomination et coordonnées de l’employeur] détermine les traitements décrits dans cette notice. Pour toute question, contactez [service, adresse]. Notre délégué à la protection des données, lorsqu’il est désigné, est joignable à [coordonnées].

Traitements. Nous utilisons vos données pour les finalités indiquées dans le tableau joint, qui précise les catégories de données, les bases légales, les destinataires et les durées ou critères de conservation. Les données obligatoires sont signalées dans les formulaires ; les conséquences de leur absence sont indiquées pour chaque collecte.

Origine. Nous recueillons les données auprès de vous et, pour [traitements concernés], auprès de [sources et catégories de données]. Lorsqu’une source est accessible au public, nous le précisons.

Accès et destinataires. Les données sont accessibles aux personnes habilitées selon leurs fonctions. Elles sont transmises à [catégories ou noms des destinataires] pour [finalités]. Les données nécessaires aux obligations sociales et fiscales sont communiquées aux organismes compétents. Les données médicales protégées ne sont pas mises à disposition générale de la hiérarchie.

Transferts. [Décrire les transferts effectivement identifiés, pays ou destinataires concernés, mécanismes applicables et moyen d’obtenir une copie des garanties ou d’y accéder. Si aucun transfert n’existe, l’indiquer après vérification des services et accès distants.]

Conservation. À la fin de l’usage courant, certaines pièces peuvent être conservées dans une archive à accès restreint pour respecter une obligation ou établir, exercer ou défendre des droits. Le tableau précise les catégories et échéances correspondantes. Un litige peut justifier une conservation limitée des pièces utiles.

Droits. Vous pouvez demander l’accès et la rectification de vos données. Selon le traitement et les conditions légales, vous pouvez aussi demander l’effacement, la limitation ou la portabilité. Lorsque le traitement repose sur l’intérêt légitime, vous pouvez vous y opposer pour des raisons tenant à votre situation particulière. Lorsqu’il repose sur votre consentement, vous pouvez retirer celui-ci à tout moment, sans effet rétroactif sur la licéité du traitement antérieur.

Exercice. Adressez votre demande à [contact accessible, y compris après départ]. Nous y répondrons dans les délais du RGPD et expliquerons les éventuelles limites. Vous pouvez introduire une réclamation auprès de la CNIL.

Décisions automatisées. [Indiquer leur absence après vérification, ou décrire les décisions relevant de l’article 22(1) ou (4), la logique utile à comprendre, l’importance, les conséquences prévues et les garanties applicables.]

Version et mises à jour. Notice du [date], accessible à [emplacement]. Les changements affectant les traitements vous sont communiqués selon leur nature avant la nouvelle collecte ou le nouvel usage lorsque le droit l’exige.

Joignez un tableau suffisamment précis. Évitez une seule ligne « gestion RH — contrat — durée du contrat plus cinq ans » : elle masque des règles différentes.

Corriger les durées avant diffusion

L’article L3243-4 du Code du travail impose à l’employeur de conserver le double des bulletins ou les bulletins électroniques pendant cinq ans. L’article D3243-8 organise une disponibilité du bulletin électronique pour le salarié pendant cinquante ans ou jusqu’à l’âge résultant de son renvoi légal. Ces deux obligations ne doivent pas être confondues dans la notice. Le guide du bulletin de paie électronique explique leur articulation.

Les données de sécurité d’accès, de décompte du travail et les images ne suivent pas une durée commune. Identifiez la finalité et le texte éventuel, puis distinguez base active et archive. Le référentiel CNIL publié le 2 avril 2026 rassemble des durées issues de textes et des recommandations : vérifiez la nature et le champ de chaque ligne. Il ne transforme pas toutes les durées qu’il mentionne en obligations légales.

Informer avant la collecte et les changements

Pour une collecte directe, l’article 13 exige l’information lors de la collecte, qui peut commencer avant l’embauche. Pour une collecte indirecte, l’article 14(3) prévoit notamment un délai raisonnable ne dépassant pas un mois, avec information au plus tard à la première communication avec la personne ou à la première transmission selon le cas. Les exceptions de l’article 14(5) doivent être appréciées, pas présumées. RGPD, articles 13 et 14.

En cas de nouvelle finalité, les articles 13(3) et 14(4) prévoient une information préalable au traitement ultérieur. Pour un dispositif collectant des informations personnelles sur le salarié, l’article L1222-4 impose également une information préalable.

Dans le champ du CSE des entreprises d’au moins cinquante salariés, l’article L2312-38 distingue l’information sur certains outils de recrutement et de gestion du personnel de l’information-consultation sur les moyens de contrôle. Ne résumez pas cette disposition par une consultation identique pour tout fichier RH.

Conservez la version diffusée et un élément attestant sa remise. Une signature n’est pas une condition universelle de validité de l’information. Maintenez un accès concret à la notice pour les personnes sans intranet et celles qui quittent l’entreprise, en lien avec la procédure de départ du salarié.

Questions fréquentes

La notice remplace-t-elle une clause du contrat ?

Elle poursuit un objectif différent. La clause relative aux données dans le contrat de travail peut préciser les instructions et obligations du salarié ; la notice décrit les traitements de ses propres données.

Un défaut d’information fait-il automatiquement écarter la preuve ?

Non. L’arrêt d’Assemblée plénière du 22 décembre 2023, n° 20-20.648, prévoit une mise en balance des droits, avec une production indispensable et une atteinte strictement proportionnée. Cette analyse judiciaire ne dispense pas de respecter les règles de collecte.

Faut-il demander un accord pour la paie ?

La gestion obligatoire de la paie ne repose pas sur un consentement général. Déterminez les bases des opérations concernées et informez le salarié. Pour les contrôles informatiques, complétez la notice par la charte informatique et les formalités applicables.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.