Actualité pour les équipes RH
Conservation des données RH : le référentiel CNIL 2026
Publié le · Sources vérifiées le 1er octobre 2026
Événement ou publication de la source : Publication du référentiel de durées de conservation RH par la CNIL le 2 avril 2026.
Le 2 avril 2026, la CNIL a publié un référentiel de durées de conservation des données RH, organisé par activité de traitement. C’est du droit souple, mais certaines durées recensées sont rendues obligatoires par des textes. Appliqué à un audit d’absentéisme, il conduit à traiter chaque fichier de la mission séparément plutôt qu’à fixer une durée commune.
Ce que contient le référentiel
Il s’adresse aux organismes-employeurs privés ou publics relevant du droit du travail français et couvre dix activités de traitement :
- recrutement ;
- gestion administrative du personnel ;
- gestion des rémunérations ;
- sécurisation des biens et des personnes ;
- véhicules professionnels ;
- écoute et enregistrement des conversations téléphoniques ;
- relations collectives de travail ;
- accidents du travail ;
- contentieux et précontentieux ;
- alertes professionnelles.
Il complète le référentiel relatif à la gestion des ressources humaines.
Droit souple, mais durées légales obligatoires
Le référentiel n’est pas obligatoire en lui-même. Les durées qui reposent sur un texte, en revanche, s’imposent. Il n’est pas exhaustif, et les durées y sont exprimées en mois.
Pour chaque durée, la CNIL indique le texte de référence ou le fondement juridique : c’est ce fondement qu’il faut vérifier avant de retenir la durée. Un même fichier peut avoir plusieurs durées possibles selon l’usage, comme les bulletins de paie.
Cycle de vie des fichiers d’une mission d’audit
Quatre fichiers circulent pendant une mission, et chacun appelle sa propre question :
- Export reçu de l’entreprise : à quelle activité de traitement du référentiel se rattache-t-il, sur quel fondement ? Sa restitution ou sa suppression à la fin de l’analyse est arrêtée par écrit avant l’envoi.
- Tableau de travail du cabinet : calculs et regroupements dérivés de l’export, il suit la finalité de l’export et sa suppression est planifiée à la clôture de la mission.
- Rapport remis : il est agrégé et conservé par l’entreprise pour suivre les actions ; le contrôle porte sur l’impossibilité de reconnaître une personne dans les petits groupes.
- Notes d’entretien : le cabinet indique s’il les conserve ; l’entreprise reçoit la synthèse, pas les notes brutes.
Ce qu’un prestataire doit pouvoir indiquer avant l’envoi
Un cabinet qui reçoit des fichiers RH doit répondre par écrit à cinq questions :
- quelles catégories de fichiers il conserve, et sous quelle forme ;
- pour quelle finalité ;
- à quelle date se termine la mission, et ce qui est supprimé à cette date ;
- ce que deviennent les versions intermédiaires du tableau de travail ;
- qui conserve un accès après la remise du rapport.
Ces réponses se comparent au tableau de suivi de l’entreprise : toute différence de date ou de périmètre se règle avant le premier transfert.
Un tableau de suivi à quatre colonnes
Dressez un tableau : fichier, contenu, personne habilitée, date de suppression prévue. Chaque export transmis au cabinet y figure, avec le fondement vérifié dans le référentiel.
Quand aucun texte n’impose de durée, la date de suppression est fixée en interne et s’explique par l’usage du fichier, par exemple le suivi des actions jusqu’à leur évaluation. Le cadre général des accès est décrit dans l’actualité données RH et audit, et les données d’une mission dans données d’un audit.