Combien de temps garder les données de vos salariés et candidats

Vous gardez des CV vieux de six ans, les bulletins de paie d’anciens salariés depuis dix ans, et des dossiers RH que plus personne ne consulte. C’est un réflexe naturel. C’est aussi un risque. Environ 20 % des contrôles annuels de la CNIL portent sur des thématiques prioritaires choisies à l’avance, et le recrutement fait partie de la liste 2026, avec un focus explicite sur les durées de conservation (CNIL, 3 avril 2026). En clair : garder trop longtemps n’est plus un détail administratif, c’est un point que le régulateur vérifie.

Le 2 avril 2026, la CNIL a publié un référentiel pour aider les employeurs à fixer ces durées (CNIL). Voici ce qu’un dirigeant doit en retenir, sans jargon, et ce qu’il faut faire cette semaine.

Ce que la CNIL a publié, et pourquoi maintenant

Le référentiel du 2 avril 2026 couvre les traitements RH les plus courants : recrutement, gestion administrative du personnel, gestion des rémunérations, sécurisation des locaux, véhicules professionnels, relations avec les représentants du personnel, accidents du travail, contentieux (CNIL). Il s’adresse à tous les employeurs privés dont les salariés relèvent du droit du travail français, quelle que soit la taille.

Un point important, souvent mal compris. Ce référentiel relève du “droit souple”. Le suivre n’est pas obligatoire en soi. Mais certaines durées qu’il recense, elles, sont obligatoires, parce qu’elles viennent de la loi (code du travail, code de la sécurité sociale). Sur ces durées, vous ne pouvez pas improviser (CNIL).

Le calendrier n’est pas un hasard. La veille, le 3 avril 2026, la CNIL a annoncé ses priorités de contrôle pour l’année. Le recrutement en fait partie, trois ans après la publication de son guide dédié. Les vérifications porteront sur l’information des candidats, les systèmes de décision automatisée, et les durées de conservation (CNIL). Les grandes entreprises et cabinets de recrutement sont visés en priorité, mais les règles, elles, valent pour tout le monde.

Les durées qui vous concernent vraiment

Vous n’avez pas besoin de connaître les dizaines de lignes du référentiel. Trois situations couvrent l’essentiel du quotidien d’une TPE ou d’une PME.

Les candidatures non retenues. Une fois le poste pourvu, vous supprimez les données des candidats écartés. Vous pouvez les garder plus longtemps seulement si la personne accepte de rester dans votre “vivier”, et dans ce cas la durée est limitée à 2 ans (CNIL). Garder tous les CV reçus “au cas où”, sans accord et sans limite, n’est pas conforme.

Les bulletins de paie. Ils doivent être conservés par l’employeur pendant 5 ans après le départ du salarié (CNIL). Ici, garder est une obligation, pas un choix. C’est le type de durée que le référentiel qualifie d’obligatoire.

Les données du salarié en poste. Elles sont conservées le temps de sa présence dans l’entreprise. Après son départ, une partie bascule en archivage pour répondre à d’éventuelles obligations légales ou à un litige, le reste doit être supprimé (CNIL).

Pour toutes les autres données (véhicules, badges, accidents du travail, contentieux), le référentiel donne le détail ligne par ligne. La CNIL exprime les durées en mois, pour coller aux textes de loi. Le bon réflexe : ouvrir le référentiel une fois, noter les 4 ou 5 durées qui correspondent à votre activité, et vérifier le texte de référence cité à côté de chaque durée (référentiel CNIL, PDF).

Le vrai piège : supprimer trop tôt, ou garder trop longtemps

La plupart des dirigeants pensent qu’une donnée a deux états : on la garde, ou on la jette. Le RGPD en prévoit trois. C’est la source de la moitié des erreurs.

L’erreur classique n’est pas de mal calculer une durée. C’est de tout laisser sur le bureau. Les anciens dossiers restent dans le même dossier partagé que les dossiers actifs, accessibles à tout le monde, indexés dans la messagerie. En archivage, l’accès doit être restreint aux seules personnes qui en ont besoin (CNIL).

Deuxième piège, la transmission. Envoyer un bulletin de paie ou un dossier salarié en pièce jointe d’un simple email n’est pas une bonne pratique de sécurité. La CNIL demande de garantir la confidentialité de ces documents et de réserver l’accès aux seules personnes habilitées (CNIL, sécurité des données). Un coffre-fort numérique ou un espace sécurisé fait le travail, une pièce jointe non protégée, non.

Ce qu’il faut faire concrètement cette semaine

Pas besoin d’un projet de six mois. Une TPE ou une PME peut poser les bases en une demi-journée, puis automatiser le tri.

Commencez par l’inventaire. Listez où vivent vos données RH : logiciel de paie, tableur, dossier partagé, boîtes mail, sauvegardes. La plupart des surprises viennent des boîtes mail et des vieux tableurs, jamais du logiciel de paie.

Attribuez une durée à chaque catégorie, en vous appuyant sur le référentiel pour les cas courants et sur le texte de loi cité pour les durées obligatoires. Notez-les dans votre registre des activités de traitement, que la CNIL impose de tenir pour les fichiers RH (CNIL).

Séparez ensuite l’actif de l’archive, et restreignez l’accès aux archives. Enfin, programmez une purge : une date fixe chaque année où vous supprimez ce qui a dépassé sa durée.

Checklist à copier pour votre tri RH :

[ ] J'ai liste tous les endroits ou vivent des donnees RH (logiciel, tableurs, mails, sauvegardes)
[ ] J'ai note une duree par type de donnee (candidatures, paies, dossiers salaries)
[ ] J'ai verifie le texte de loi pour les durees obligatoires (paies : 5 ans apres depart)
[ ] J'ai separe les donnees actives des archives
[ ] J'ai restreint l'acces aux archives aux seules personnes habilitees
[ ] Je ne transmets plus de bulletins ou dossiers par piece jointe non securisee
[ ] J'ai fixe une date de purge annuelle dans le calendrier
[ ] J'ai reporte ces durees dans mon registre des traitements

Ce tri manuel fonctionne une fois. Le problème, c’est de le tenir dans le temps. C’est là qu’un outil bien réglé prend le relais : suppression automatique des candidatures passé le délai, bascule automatique en archivage au départ d’un salarié, journal des accès aux archives. Vous ne dépendez plus de la mémoire de quelqu’un.

Par où commencer

La règle Alpha Digital : une donnée personnelle sans durée de conservation écrite est une donnée que vous conservez illégalement. Le jour d’un contrôle, la question n’est pas “avez-vous supprimé”, c’est “pouvez-vous montrer la durée que vous appliquez, et prouver que vous la tenez”.

Trois actions, dans l’ordre. Cette semaine, ouvrez le référentiel CNIL et notez les durées de vos 5 catégories principales. Ce mois-ci, séparez actif et archives, et fixez votre date de purge annuelle. Ce trimestre, automatisez ce qui peut l’être, pour ne plus jamais refaire ce tri à la main.

Si vos données RH sont éparpillées entre un logiciel de paie, trois tableurs et des boîtes mail, et que vous ne savez pas par où attaquer le tri, un diagnostic à distance permet de cartographier tout ça et de poser les durées au bon endroit. Vous pouvez nous décrire votre situation ici, on vous dit ce qui est prioritaire et ce qui peut attendre.