Les modules RH de votre ERP traitent chaque jour des données parmi les plus sensibles qui soient : salaires, arrêts maladie, évaluations de performance, pointages biométriques, dossiers disciplinaires. Ce sont aussi, dans beaucoup d’entreprises, des données que personne ne surveille vraiment du côté RGPD. L’outil de paie “fonctionne”, les DRH ont leur accès, et le DPO intervient rarement sur ce périmètre.
C’est exactement là que se concentrent les risques de non-conformité les plus sérieux. Les données RH sont, au sens de l’article 9 du RGPD, des données de catégorie spéciale pour plusieurs sous-catégories (données de santé, données biométriques, données syndicales). Leur traitement obéit à des règles strictes, et leur présence dans un ERP centralisé ajoute plusieurs couches de risque.
Cet article zoome sur cinq risques concrets, propres aux modules RH et paie, avec pour chacun : pourquoi c’est un problème RGPD, un exemple d’erreur fréquente, et la contre-mesure à appliquer. Il complète notre guide général ERP et conformité RGPD qui traite des bases réglementaires.
Risque n°1 : la biométrie pour le contrôle des présences
Pourquoi c’est un problème RGPD
De plus en plus d’entreprises couplent leur module RH à des badgeuses biométriques : lecteurs d’empreintes digitales, reconnaissance faciale, reconnaissance veineuse. Ces dispositifs s’intègrent nativement dans des ERP comme SAP SuccessFactors, Sage Business Cloud, ou Odoo via des modules tiers. Le problème : les données biométriques sont explicitement listées comme catégorie spéciale à l’article 9 du RGPD, au même titre que les données de santé ou les convictions syndicales.
En France, la CNIL encadre strictement ces dispositifs. Sa délibération de référence sur la biométrie sur les lieux de travail rappelle que le consentement du salarié ne peut pas être la base légale retenue, car il n’est pas libre dans le cadre d’une relation de travail. L’employeur doit donc démontrer une nécessité absolue, document à l’appui.
L’erreur fréquente
Un ERP paramétré pour “synchroniser les données de pointage” depuis un terminal biométrique sans que la direction ou le DPO ait vérifié si la base légale est en place. Le dispositif est opérationnel depuis des années, personne ne s’est posé la question.
La contre-mesure
Auditez chaque dispositif biométrique couplé à votre ERP RH :
- La base légale est-elle documentée et valide ? (pas le consentement : nécessité absolue ou convention collective avec dérogation expresse)
- Le traitement figure-t-il dans le registre des traitements avec mention “catégorie spéciale” ?
- Les salariés ont-ils été informés via une mention légale dans le règlement intérieur ?
- Existe-t-il une alternative moins intrusive qui permettrait d’atteindre le même objectif (badge NFC, code PIN) ?
Si vous ne pouvez pas répondre oui à ces quatre questions, votre dispositif biométrique est à risque élevé de sanction CNIL.
Risque n°2 : les durées de conservation des données de paie
Pourquoi c’est un problème RGPD
Le principe de limitation de la conservation est posé à l’article 5(1)(e) du RGPD : les données personnelles doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées. En matière de paie et de RH, plusieurs durées coexistent :
| Type de données | Durée de conservation légale (droit du travail) |
|---|---|
| Bulletins de paie | 5 ans après fin du contrat |
| Documents relatifs aux arrêts maladie | 5 ans après fin du contrat |
| Évaluations annuelles | 2 à 3 ans (recommandation CNIL) |
| Données de formation professionnelle | 5 ans |
| Dossier disciplinaire clôturé | 3 ans maximum |
L’erreur fréquente
Un ex-salarié parti il y a 8 ans dont les fiches de paie, les absences (avec motif), les évaluations et les notes de frais sont toujours actives et consultables dans l’ERP. Personne n’a jamais configuré de règle de purge. L’ERP “garde tout” par défaut, ce qui est souvent voulu par les éditeurs pour garantir la traçabilité des opérations comptables, mais qui ne tient pas compte du RGPD.
La contre-mesure
La bonne architecture distingue trois états pour les données RH dans l’ERP :
- Données actives : salarié en poste, données accessibles aux utilisateurs autorisés
- Données archivées : salarié parti, données en lecture seule, accès restreint à la DRH et à la direction juridique uniquement, pour la durée légale
- Données supprimées : purge effective à l’expiration de la durée légale
Vérifiez si votre ERP permet de configurer ces règles de purge automatique par type de données. Si ce n’est pas natif, exigez-le à votre éditeur ou à votre intégrateur comme un paramétrage de conformité, pas comme un développement spécifique.
Risque n°3 : le profilage automatisé des salariés
Pourquoi c’est un problème RGPD
Les modules RH modernes avec intelligence artificielle prolifèrent : prédiction de turnover, scoring de performance, détection précoce de l’absentéisme, recommandation de formations. Ces fonctionnalités constituent du profilage automatisé au sens de l’article 22 du RGPD. Dès lors qu’une décision produisant des “effets juridiques” ou “affectant significativement” la personne est basée exclusivement ou principalement sur un traitement automatisé, des obligations spécifiques s’appliquent : base légale renforcée, droit d’opposition, obligation d’information.
Une décision de licenciement, de non-renouvellement de poste, ou même d’attribution de prime basée sur un score calculé automatiquement entre dans ce cadre.
L’erreur fréquente
Un ERP génère automatiquement un score “risque de départ” pour chaque salarié à partir de données d’activité, d’absence et de performance. Ce score est visible par les RRH dans le dashboard. Un salarié dont le score est élevé ne voit pas son contrat renouvelé. Personne n’a informé le salarié de l’existence de ce scoring, ni de son droit d’opposition.
La contre-mesure
Pour chaque module IA ou analytics de votre ERP RH :
- Documentez l’algorithme dans le registre des traitements, avec la description des variables utilisées
- Vérifiez si le traitement déclenche l’obligation de réaliser une DPIA (Analyse d’Impact, article 35 RGPD) : le profilage de salariés y figure en général
- Instaurez un “human-in-the-loop” documenté : toute décision RH importante doit faire l’objet d’une validation humaine explicite, pas seulement d’un “clic de validation”
- Informez les salariés dans la charte informatique ou la politique RH de l’existence de ces outils de scoring et de leur droit d’opposition
Risque n°4 : l’accès excessif aux données RH par les managers
Pourquoi c’est un problème RGPD
Dans de nombreux déploiements ERP, les managers ont accès à un périmètre de données bien plus large que ce que leur rôle justifie. La raison est souvent technique : le paramétrage des rôles RBAC (Role-Based Access Control) a été fait vite, en calquant les habitudes de l’ancien système, sans penser à la granularité des accès.
Résultat : un manager N+1 peut voir dans l’ERP les salaires de toute son équipe (information qu’il n’est pas supposé détenir individuellement), les détails des arrêts maladie avec parfois le motif médical codifié, et les évaluations historiques remontant à plusieurs années. Le motif médical d’un arrêt maladie est une donnée de santé, donc une donnée de catégorie spéciale au sens de l’article 9 RGPD. Son accès doit être strictement limité.
L’erreur fréquente
SAP SuccessFactors ou Sage RH mal configuré : le rôle “Manager” inclut l’accès en lecture aux fiches de paie de l’équipe et aux motifs d’arrêt maladie codifiés. Dans un service de 30 personnes, le manager peut reconstituer le contexte médical de plusieurs collaborateurs. En cas de contrôle CNIL ou de contentieux prud’homal, cet accès peut être retenu comme violation.
La contre-mesure
Procédez à un audit complet des droits d’accès dans votre ERP RH. Pour chaque rôle (manager, RRH, DAF, assistante RH, collaborateur), documentez :
- Quelles données sont accessibles en lecture et en écriture
- La justification fonctionnelle de chaque accès
- La présence ou absence de données de catégorie spéciale dans le périmètre
Appliquez ensuite le principe du moindre privilège : un manager voit les dates d’absence de son équipe (donnée nécessaire pour l’organisation), pas le motif médical (réservé à la DRH). La séparation doit être paramétrée dans l’ERP, pas seulement déclarée dans une politique.
Risque n°5 : les transferts de données vers des sous-traitants et éditeurs SaaS hors UE
Pourquoi c’est un problème RGPD
La majorité des ERP RH SaaS leaders sont américains ou ont des infrastructures mondiales : SAP SuccessFactors, Workday, Oracle HCM, ADP. Même quand l’éditeur propose une option “stockage en Europe”, les équipes de support, les équipes de développement ou les sous-traitants techniques peuvent accéder aux données depuis des pays hors UE. Ces accès constituent des transferts hors UE au sens du chapitre V du RGPD, soumis à des garanties spécifiques.
Depuis l’invalidation du Privacy Shield en 2020 et le Data Privacy Framework adopté en 2023, le cadre juridique a évolué, mais les obligations de documentation n’ont pas diminué. Tout transfert hors UE (y compris vers les États-Unis sous le Data Privacy Framework) doit être documenté, et un Transfer Impact Assessment (TIA) est recommandé pour les transferts vers des pays sans décision d’adéquation.
L’erreur fréquente
Des données de paie de salariés français stockées sur des serveurs AWS en Virginie, accédées par l’équipe de support de l’éditeur basée en Inde. L’entreprise a signé les conditions générales de l’éditeur mais n’a jamais vérifié si un Data Processing Agreement (DPA) conforme RGPD est en place, si des Clauses Contractuelles Types (SCCs) couvrent les transferts, et si un TIA a été réalisé.
La contre-mesure
Pour chaque éditeur ou sous-traitant hébergeant ou accédant à vos données RH :
- Exigez et conservez le DPA signé (obligatoire, article 28 RGPD)
- Vérifiez que les SCCs 2021 de la Commission européenne sont bien annexées au contrat pour les transferts hors UE
- Réalisez ou demandez un TIA documenté pour les pays sans décision d’adéquation
- Vérifiez si votre éditeur propose une option “EU-only access” pour le support : Workday et SAP proposent ce type de restrictions contractuelles sur demande
- Tenez à jour la liste de vos sous-traitants RH dans le registre des traitements, avec mention du pays de traitement et de la garantie juridique applicable
La checklist DPO pour auditer son ERP RH
15 points rapides à passer en revue avec votre équipe :
- Registre de traitement : le module RH figure-t-il avec tous ses sous-traitements, y compris les données de catégorie spéciale ?
- Base légale : identifiée et documentée pour chaque traitement (contrat de travail, obligation légale, intérêt légitime) ?
- Biométrie : base légale spécifique valide + information des salariés ?
- Durées de conservation : paramétrées et automatisées dans l’ERP, avec distinction actif / archivé / supprimé ?
- Droits d’accès : auditées selon le principe du moindre privilège, séparation données opérationnelles / données sensibles ?
- Données de santé : accès limité à la DRH uniquement, motifs médicaux invisibles pour les managers ?
- DPIA : réalisée pour les traitements à risque élevé (biométrie, profilage IA, profiling salariés) ?
- Information des salariés : mentions légales présentes dans le règlement intérieur ou la charte RH ?
- DPA sous-traitants : signé avec l’éditeur ERP et chaque sous-traitant ayant accès aux données RH ?
- Transferts hors UE : SCCs ou décision d’adéquation en place + TIA documenté ?
- Droits des personnes : procédure définie pour les demandes d’accès, de rectification et d’effacement, y compris pour les ex-salariés ?
- Journalisation : les accès aux données sensibles sont-ils tracés dans l’ERP ?
- Plan de réponse incident : procédure de notification CNIL en 72h (article 33 RGPD) si fuite de données RH ?
- Revue annuelle : le registre de traitement et les droits d’accès sont-ils révisés au minimum une fois par an ?
- Formation : les utilisateurs RH et paie ont-ils reçu une formation sur leurs obligations RGPD ?
Si vous répondez “non” ou “on ne sait pas” à plus de 5 de ces points, votre ERP RH présente un risque de non-conformité sérieux. La CNIL peut contrôler ces périmètres dans le cadre d’une plainte d’un salarié ou d’une inspection programmée, et les données RH figurent en bonne place dans ses thèmes de contrôle depuis 2023.
Pour aller plus loin, consultez notre guide complet ERP et conformité RGPD qui couvre les obligations générales du responsable de traitement et l’audit des données clients et fournisseurs dans votre ERP. Si vous évaluez la pertinence d’un SIRH intégré à votre ERP versus une solution dédiée, notre comparatif ERP RH/paie : SIRH intégré ou module dédié ? vous aidera à peser les arbitrages, notamment sur la question de la souveraineté des données.
