Ressources humaines : le référentiel de la CNIL suffit-il ?
Pour qui : Vous tenez les sujets RH d’une PME. Vous devez écrire les fiches du registre pour la paie, la formation ou les outils de travail, et vous hésitez à payer un logiciel pour cela.
Oui pour la gestion courante du personnel. Le référentiel vous évite de partir d’une page blanche : finalités, bases légales suggérées, destinataires et sécurité y sont déjà pensés. Il ne vous dispense pas d’écrire vos fiches ni de les ajuster à votre entreprise. N’achetez rien pour cette étape.
Non dès qu’un outil note, profile ou surveille. Le référentiel écarte ces traitements, et plusieurs figurent sur la liste des analyses d’impact (l’étude préalable des risques) requises par la CNIL. Regardez donc vos outils un par un.
Notre avis
Prenez le référentiel comme base de vos fiches RH courantes et adaptez-le à votre entreprise. Aucun logiciel n’est requis pour cela. Votre attention doit aller aux outils qui notent, profilent ou surveillent.
Pourquoi
- La CNIL le destine aux organismes privés et publics, quelle que soit leur forme, pour leurs traitements courants de gestion du personnel.
- Il admet les écarts, à condition de pouvoir justifier le besoin et les mesures prises.
- Sous 250 personnes, la CNIL ne requiert pas d’analyse d’impact pour la seule gestion du personnel, sauf recours au profilage.
- Nous n’avons rien lu qui rende un logiciel de registre plus nécessaire pour les RH que pour un autre service.
Ce qui change le choix
Un outil qui évalue, prédit ou surveille de manière constante. Vous quittez alors le référentiel, et la dépense utile va d’abord à l’analyse du traitement.
L’ordre à suivre
- Traitement courant listé : reprenez le référentiel dans votre fiche.
- Écart justifié par votre situation : gardez le référentiel et écrivez la raison de l’écart.
- Notation, profilage, surveillance constante : analyse dédiée avant de déployer l’outil.
- Traitements du comité social et économique, des syndicats ou de la médecine du travail : fiche à part, avec un autre responsable à identifier.
Placez chacun de vos traitements RH dans ce tableau
Une même case ne vaut que pour l’usage décrit. Une fonction de notation activée dans un outil de paie ou de formation change la ligne.
| Traitement | Référentiel de gestion du personnel | Analyse d’impact selon les listes CNIL |
|---|---|---|
| Paie, formation, frais professionnels, entretiens annuels, registres obligatoires | Couvert par les finalités listées | Non requise pour un organisme de moins de 250 personnes, sans profilage |
| Messagerie, visioconférence, outils collaboratifs | Couvert au titre des outils professionnels | Non requise sous 250 personnes, sans profilage ni biométrie |
| Contrôle du temps de travail | À relire : le référentiel écarte le contrôle individuel de l’activité | Non requise pour le seul contrôle des accès et des horaires, sans biométrie ni donnée sensible, quelle que soit la taille de l’organisme |
| Recrutement | Non nommé dans la liste des finalités, alors qu’une page de présentation de la CNIL le cite. Lisez en plus sa page sur le recrutement. | Requise si un algorithme de sélection sert à établir des profils |
| Détection de hauts potentiels, prévention des départs par corrélations, psychométrie | Écarté | Requise pour les profils établis à des fins RH |
| Analyse des courriels sortants, vidéosurveillance d’employés manipulant de l’argent, chronotachygraphe | Écarté au titre du contrôle individuel | Requise pour la surveillance constante de l’activité |
| Activités propres du comité social et économique, syndicats, médecine du travail | Hors de sa portée | Non requise pour la gestion des activités des comités d’entreprise et d’établissement décrite par la liste. Le reste se vérifie. |
Le seuil de 250 personnes ne joue pas là où on le croit
Il compte pour l’analyse d’impact. Pour le registre, sa dérogation reste étroite dans le droit en vigueur au 5 novembre 2026 : selon la CNIL, un traitement non occasionnel comme la paie s’inscrit quelle que soit la taille.
Au-delà de 250 personnes, l’exemption de gestion du personnel tombe sans rendre l’analyse automatique. Celle des badges et du calcul du temps de travail sans biométrie reste valable quelle que soit la taille. Le référentiel renvoie aux neuf critères du comité européen : deux critères remplis l’imposent. Il ajoute que des salariés peuvent être considérés comme vulnérables à cause du déséquilibre avec l’employeur. Dans ce cas, un seul autre critère peut suffire, par exemple une évaluation ou un croisement de fichiers. Cette dernière lecture est la nôtre : vérifiez-la pour chaque outil.
Écrire une fiche à partir du référentiel
- Créez une fiche par objectif : paie, formation, gestion administrative. Évitez une fiche par logiciel ou une fiche « RH » unique. La CNIL demande d’identifier les traitements par finalité.
- Reprenez du référentiel les catégories de données, destinataires et durées qui correspondent à ce que vous faites réellement. Ce qui ne correspond pas à votre pratique ne se recopie pas.
- Notez chaque écart et la raison qui le justifie, avec les mesures prises. Le référentiel admet l’écart si vous pouvez justifier le besoin.
- Pour chaque outil, demandez au service qui l’utilise si une fonction note, classe ou surveille des personnes. Notre méthode : la réponse décide de la ligne du tableau.
Limites de cette page
Ce tableau résume deux listes de la CNIL qui ne sont pas exhaustives et ne juge aucun outil RH précis. Le référentiel n’interprète pas le droit du travail, et une convention collective peut ajouter des règles. Dans le doute sur un outil de notation ou de surveillance, faites l’analyse avant de le déployer.
Prochaine action
Listez vos traitements RH et vos outils sur une page, puis placez chacun dans le tableau. Reprenez le référentiel pour les lignes couvertes. Pour un outil écarté, suspendez son extension le temps de vérifier si une analyse d’impact est requise.
Preuves et sources
Lu le 5 novembre 2026 : le référentiel CNIL de gestion du personnel (adopté le 21 novembre 2019, modifié le 23 mai 2022), les listes CNIL d’analyses d’impact requises (11 octobre 2018) et non requises (12 septembre 2019), la page CNIL sur le registre (13 avril 2018) et sa page sur le recrutement dans les TPE et PME (30 janvier 2023).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Le référentiel CNIL de gestion du personnel s’adresse aux organismes privés ou publics, quelle que soit leur forme juridique, pour leurs traitements courants de gestion du personnel.
Portée : Référentiel adopté le 21 novembre 2019, modifié le 23 mai 2022, sections 1 et 2.
Réserve : Le référentiel n’interprète pas les règles autres que celles de la protection des données.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le référentiel n’a pas vocation à s’appliquer aux traitements des organisations syndicales, des instances représentatives du personnel ou des services de médecine du travail, ni à encadrer la psychométrie, les traitements algorithmiques notamment de profilage, le Big Data et le contrôle individuel de l’activité des salariés.
Portée : Section 2 du référentiel.
Réserve : La CNIL annonce que les outils innovants seront traités à part.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les organismes qui s’écartent du référentiel doivent pouvoir justifier ce besoin et prendre les mesures appropriées.
Portée : Section 2 du référentiel.
Réserve : Sans objet.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL des analyses d’impact non requises vise les traitements mis en œuvre uniquement à des fins de ressources humaines pour la seule gestion du personnel des organismes de moins de 250 personnes, à l’exception du recours au profilage, et donne notamment pour exemples la paie, les formations, les frais professionnels, les entretiens annuels et le contrôle du temps de travail sans biométrie ni donnée sensible ou hautement personnelle ; une ligne distincte, sans seuil d’effectif, vise les traitements aux seules fins de gestion des contrôles d’accès physiques et des horaires pour le calcul du temps de travail, hors biométrie et hors données sensibles ou hautement personnelles.
Portée : Délibération n° 2019-118 du 12 septembre 2019.
Réserve : Liste non exhaustive de la CNIL.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL des analyses d’impact requises vise les profils établis à des fins de gestion des ressources humaines, avec pour exemples les hauts potentiels, le recrutement par algorithme de sélection et la prévention des départs par corrélations, ainsi que la surveillance constante de l’activité des employés, avec pour exemples l’analyse des courriels sortants, certaines vidéosurveillances et le chronotachygraphe.
Portée : Délibération n° 2018-327 du 11 octobre 2018.
Réserve : Exemples de la liste, à rapprocher du traitement réel.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Délibération n° 2018-327 du 11 octobre 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste CNIL des analyses d’impact non requises vise la gestion des activités des comités d’entreprise et d’établissement, avec notamment les programmes socio-culturels, la formation des élus, les agendas et la gestion de leurs membres.
Portée : Délibération n° 2019-118 du 12 septembre 2019.
Réserve : La liste emploie l’ancienne dénomination. Son application au comité social et économique est une lecture à vérifier.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste des finalités du référentiel de gestion du personnel ne nomme pas le recrutement, alors qu’une page de présentation de la CNIL cite le recrutement parmi les traitements courants qu’il couvre ; la CNIL publie par ailleurs une page dédiée au recrutement dans les TPE et PME.
Portée : Section 3 du référentiel, page thématique CNIL, page du 30 janvier 2023.
Réserve : Écart de présentation entre deux pages de la CNIL. Il ne préjuge pas de la position de l’autorité sur un cas réel.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
- CNIL : La gestion des ressources humaines non datée. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Recrutement et données personnelles dans les TPE/PME : cinq questions incontournables à se poser 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, la dérogation au registre pour les organismes de moins de 250 salariés ne couvre pas les traitements non occasionnels, comme la gestion de la paie.
Portée : Page CNIL du 13 avril 2018 et article 30 du RGPD.
Réserve : Droit en vigueur au 5 novembre 2026. Un projet européen en discussion porte sur cette dérogation.
- CNIL : Le registre des activités de traitement 13 avril 2018 (date de page). Lu le 5 novembre 2026. Document d’origine.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le référentiel indique qu’une analyse d’impact est obligatoire dès lors qu’au moins deux des neuf critères du comité européen sont remplis, et que des employés peuvent être considérés comme vulnérables en raison du déséquilibre des pouvoirs avec l’employeur.
Portée : Section 11 du référentiel.
Réserve : Formulation du référentiel, à appliquer traitement par traitement.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Un traitement portant sur des salariés peut atteindre le seuil de deux critères avec un seul critère supplémentaire si la vulnérabilité est retenue.
Portée : Organismes de 250 personnes ou plus, ou traitements hors exemption.
Réserve : La vulnérabilité s’apprécie au cas par cas : « peuvent être considérés ».
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Dans ce que nous avons lu, le type d’outil de registre à retenir ne change pas parce que le traitement relève des ressources humaines ; aucun logiciel n’est requis pour reprendre le référentiel.
Portée : PME aux traitements RH courants.
Réserve : Aucun logiciel n’a été essayé pour cette page.
- CNIL : Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel Adopté le 21 novembre 2019, modifié le 23 mai 2022. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Le registre des activités de traitement 13 avril 2018 (date de page). Lu le 5 novembre 2026. Document d’origine.