Dossier salarie RGPD : quelles donnees RH conserver pendant et apres le contrat de travail
Publie le 14/10/2026 · Temps de lecture : 9 min
Contrat de travail, avenants, bulletins de paie, arrets maladie, entretiens annuels, avertissements : le dossier d'un seul salarie accumule, au fil des annees, des donnees personnelles de natures tres differentes. Beaucoup de TPE et de PME savent qu'il ne faut pas les garder indefiniment, mais hesitent sur la duree exacte a appliquer, et finissent souvent par ne rien supprimer du tout par precaution, ce qui est aussi une faute au regard du RGPD que de supprimer trop tot.
Le Code du travail et le RGPD se completent ici : le premier fixe des durees de conservation precises pour certains documents (bulletins de paie, registre du personnel), le second impose un principe general de minimisation pour tout le reste. Voici comment s'y retrouver et organiser la purge des dossiers RH dans une petite structure.
Sommaire
- 1. Quelles donnees compose un dossier salarie
- 2. La base legale de ces traitements RH
- 3. Duree de conservation du dossier du salarie
- 4. Bulletins de paie : la regle des 5 ans
- 5. Registre unique du personnel : 5 ans apres le depart
- 6. Sanctions, evaluations et donnees sensibles
- 7. Que faire du dossier apres un depart
- 8. Organiser la purge en TPE/PME
- Questions frequentes
1. Quelles donnees compose un dossier salarie
Un dossier RH complet melange generalement plusieurs categories de documents : les pieces d'embauche (contrat de travail, avenants, diplomes, autorisation de travail), les documents de paie (bulletins de salaire, releves d'heures, notes de frais), les documents lies a la vie du contrat (entretiens annuels, entretiens professionnels, formations suivies, eventuelles sanctions disciplinaires) et, plus ponctuellement, des donnees sensibles au sens de l'article 9 du RGPD (arrets de travail, inaptitude, reconnaissance de la qualite de travailleur handicape).
Chacune de ces categories ne repond pas a la meme logique de conservation. Confondre un bulletin de paie, dont la duree est fixee par la loi, avec un compte-rendu d'entretien annuel, qui n'a pas de duree legale specifique, conduit soit a supprimer trop tot un document obligatoire, soit a garder indefiniment une donnee qui aurait du etre purgee.
2. La base legale de ces traitements RH
La gestion du personnel repose principalement sur deux bases legales de l'article 6 du RGPD : l'execution du contrat de travail (pour la paie, les conges, l'affectation) et le respect d'une obligation legale (pour le registre du personnel, les declarations sociales, les bulletins de paie). Ces bases legales different de celles d'un traitement de candidature, qui repose plutot sur les mesures precontractuelles prises a la demande du candidat, comme nous l'avons detaille dans notre article sur la conservation des CV et candidatures.
Cette distinction compte pour la duree de conservation : une donnee traitee sur la base d'une obligation legale doit etre conservee au moins aussi longtemps que cette obligation l'exige, ni plus ni moins. Une donnee traitee sur la base de l'execution du contrat perd sa justification des que le contrat prend fin, sauf si un autre motif (prescription, contentieux en cours) prolonge legitimement sa conservation.
3. Duree de conservation du dossier du salarie
Le contrat de travail et ses avenants doivent naturellement etre conserves pendant toute la duree de la relation de travail : ils constituent la preuve des engagements reciproques. A la fin du contrat, le RGPD n'impose pas de les detruire immediatement : la prescription de droit commun applicable aux actions personnelles et mobilieres, fixee a 5 ans par l'article 2224 du Code civil, justifie de les conserver pendant cette duree apres le depart, au cas ou un litige prud'homal serait engage.
Ce delai de 5 ans n'est pas une obligation RGPD en tant que telle : c'est une duree de conservation justifiee par un motif legitime (se defendre en cas de contentieux), qui reste compatible avec le principe de minimisation. Passe ce delai, sans contentieux en cours, le dossier du salarie devrait etre supprime ou, a defaut, anonymise s'il presente un interet statistique pour l'entreprise.
4. Bulletins de paie : la regle des 5 ans
Contrairement au reste du dossier, les bulletins de paie beneficient d'une duree de conservation fixee directement par la loi. L'article L3243-4 du Code du travail impose a l'employeur de conserver un double de chaque bulletin pendant 5 ans. Cette obligation existait avant le RGPD et continue de s'appliquer telle quelle : elle constitue la base legale qui justifie, pour cette categorie precise de documents, une conservation de 5 ans meme apres le depart du salarie.
A noter que depuis la loi Travail de 2016, le salarie lui-meme n'a plus l'obligation legale de conserver ses propres bulletins de paie sans limitation de duree : c'est precisement parce que l'employeur reste tenu de pouvoir en reconstituer l'historique sur 5 ans que cette charge a pu etre allegee cote salarie.
5. Registre unique du personnel : 5 ans apres le depart
Le registre unique du personnel, obligatoire des la premiere embauche, ne doit pas etre purge des qu'un salarie quitte l'entreprise. L'article D1221-23 du Code du travail impose au contraire de conserver la mention de chaque salarie sorti pendant 5 ans a compter de son depart. Le registre reste donc, pendant cette fenetre, une photographie historique des mouvements de personnel, et pas uniquement un etat des effectifs presents.
Cette regle illustre bien la difference entre une obligation legale sectorielle, qui fixe une duree precise independamment du RGPD, et le principe general de minimisation, qui s'applique par defaut a tout ce que la loi ne fixe pas explicitement.
6. Sanctions, evaluations et donnees sensibles
Les comptes-rendus d'entretien annuel, les avertissements et les autres donnees relatives au comportement professionnel du salarie n'ont pas de duree de conservation fixee par un texte specifique. Le RGPD impose ici d'appliquer le principe de minimisation : conserver ces informations tant qu'elles servent une finalite active (suivi de la performance, gestion d'un contentieux en cours), puis les retirer du dossier courant lorsque cette finalite disparait.
Les donnees de sante (arrets de travail, avis d'inaptitude, amenagements de poste) meritent une vigilance particuliere, puisqu'il s'agit de donnees sensibles au sens de l'article 9 du RGPD. En pratique, l'employeur ne doit disposer que des informations strictement necessaires a l'organisation du travail (duree de l'arret, aptitude ou inaptitude au poste), le diagnostic medical lui-meme relevant du secret medical et restant entre les mains du service de sante au travail.
7. Que faire du dossier apres un depart
Au moment du depart d'un salarie, le dossier ne doit ni etre efface du jour au lendemain, ni rester identique a ce qu'il etait pendant la relation de travail active. La bonne pratique consiste a faire basculer les documents encore utiles (bulletins de paie, contrat, documents justifiant un eventuel contentieux) vers une archive intermediaire, avec un acces restreint, tandis que les documents qui n'ont plus aucune justification (anciens entretiens annuels sans lien avec un litige, sanctions anciennes et isolees) peuvent etre supprimes immediatement.
Cette logique d'archivage intermediaire rejoint les mesures de securite exigees par l'article 32 du RGPD : un acces restreint, et non une simple copie laissee dans le meme dossier partage que les salaries en poste.
8. Organiser la purge en TPE/PME
Sans procedure formalisee, la purge des dossiers RH ne se fait jamais naturellement : personne n'a pour mission explicite de revenir, chaque annee, sur les dossiers des salaries partis depuis plus de 5 ans. Une PME gagne a fixer une regle simple, par exemple une revue annuelle des dossiers dont le delai de conservation est echu, plutot que de compter sur une suppression au cas par cas.
Lorsque la paie est externalisee aupres d'un expert-comptable ou d'un logiciel de gestion RH, ces regles de conservation et de suppression doivent etre reprises dans le contrat qui lie l'entreprise a ce prestataire, au meme titre que les autres clauses imposees par l'article 28 du RGPD pour un sous-traitant.
Structurez vos registres et vos durees de conservation RH
ConformiteFacile vous aide a formaliser votre registre des traitements et vos regles de conservation, y compris pour vos donnees RH, sans jargon juridique.
Decouvrir nos offresQuestions frequentes
Doit-on supprimer le dossier d'un salarie des son depart de l'entreprise ?
Non. Le principe de minimisation du RGPD n'impose pas une suppression immediate : il impose une duree de conservation proportionnee a une finalite precise. A la fin du contrat, le dossier doit basculer d'un usage courant (gestion quotidienne) vers un archivage intermediaire justifie par un delai de prescription legale, notamment en cas de contentieux prud'homal. Une suppression le jour meme du depart priverait l'entreprise de preuves utiles en cas de litige ulterieur.
Combien de temps conserver un bulletin de paie ?
L'article L3243-4 du Code du travail impose a l'employeur de conserver un double de chaque bulletin de paie pendant 5 ans. Le salarie, de son cote, n'a plus aucune obligation de conserver les siens depuis la loi Travail de 2016 : c'est desormais a l'employeur de pouvoir en reconstituer l'historique en cas de demande ou de controle.
Le registre unique du personnel doit-il etre purge au fil des departs ?
Non, pas immediatement. L'article D1221-23 du Code du travail impose au contraire de conserver, pendant 5 ans a compter de son depart, la mention de chaque salarie ayant quitte l'etablissement. Le registre n'est donc jamais a jour uniquement des effectifs presents : il garde une trace reglementaire des mouvements de personnel sur une fenetre glissante de 5 ans.
Un avertissement ou une sanction disciplinaire doit-il rester indefiniment au dossier ?
Non. Une sanction disciplinaire doit etre conservee le temps necessaire a la gestion du dossier et a un eventuel contentieux, mais pas de maniere permanente. En pratique, une sanction ancienne qui n'a pas ete suivie d'un nouvel incident perd son utilite operationnelle au bout de quelques annees et devrait etre retiree du dossier courant, sans empecher sa conservation dans une archive distincte si un delai de prescription applicable le justifie encore.
Qui, dans une TPE ou une PME, est responsable de ces durees de conservation ?
Le responsable de traitement reste l'entreprise elle-meme, en tant qu'employeur, meme lorsque la paie est externalisee aupres d'un expert-comptable ou d'un prestataire de gestion RH. Ce prestataire agit alors comme sous-traitant au sens de l'article 28 du RGPD et doit appliquer les instructions de conservation et de suppression fixees par l'entreprise, formalisees dans le contrat qui les lie.
A lire aussi
Base legale du traitement : les 6 fondements de l'article 6 du RGPD a connaitre
Lire
Droit a la limitation du traitement RGPD (article 18) : geler des donnees sans les supprimer
Lire