Un SIRH nomade traite des données personnelles depuis des terminaux mobiles, des réseaux tiers et des connexions parfois mal maîtrisées. La conformité RGPD ne se joue pas dans la documentation juridique mais dans la configuration opérationnelle de l’outil, là où les erreurs génèrent des sanctions.
Base légale des traitements RH dans un SIRH nomade : pourquoi le consentement est un piège
L’EDPB a clarifié en 2024, dans ses lignes directrices 1/2024 sur l’intérêt légitime, que le consentement du salarié est inadapté pour la plupart des traitements RH. Le déséquilibre structurel de la relation employeur-employé prive le consentement de son caractère libre, condition sine qua non de sa validité au sens de l’article 7 du RGPD.
A voir aussi : Comment préparer un entretien après une offre vue sur les bourses emploi Notaires ?
Nous observons pourtant que de nombreux SIRH nomades présentent encore des écrans de consentement au premier lancement de l’application mobile, notamment pour la géolocalisation ou le suivi d’activité. Ce choix de base légale expose à un risque direct : si la CNIL requalifie le traitement, l’ensemble des données collectées sous ce fondement devient illicite.
Les traitements liés à la paie, au suivi des horaires ou à la gestion administrative relèvent de l’exécution du contrat de travail (article 6.1.b) ou de l’obligation légale (article 6.1.c). Pour le suivi d’activité via terminal mobile, l’intérêt légitime de l’employeur (article 6.1.f) reste la base la plus solide, à condition de documenter une analyse de proportionnalité.
A découvrir également : Contrôle de conformité : types et procédures à connaître
Pseudonymisation et exports SIRH : le faux sentiment de conformité
Les SIRH nomades facilitent les extractions de données vers des tableaux de bord, des outils de reporting ou des prestataires tiers. Nous recommandons de ne jamais considérer ces exports comme anonymes sans vérification technique approfondie.
L’EDPB a précisé que des données pseudonymisées restent des données personnelles soumises au RGPD dès lors que l’employeur conserve les clés de rapprochement ou qu’une ré-identification demeure plausible. En pratique, un export de benchmarks salariaux par département, même sans noms, reste identifiant dans une équipe de trois personnes.
- Vérifier si les clés de correspondance sont stockées dans le même environnement que les exports (si oui, ce n’est pas de l’anonymisation)
- Tester la ré-identification sur les jeux de données exportés, en croisant avec des variables accessibles (poste, ancienneté, site)
- Documenter la méthode de pseudonymisation dans le registre des traitements, en distinguant clairement anonymisation et pseudonymisation
Un tableau de bord RH accessible depuis un smartphone qui agrège des données pseudonymisées sans contrôle d’accès granulaire constitue un risque sous-estimé par la plupart des configurations par défaut.
Sanctions CNIL sur les usages opérationnels : badgeuse, suivi mobile et vidéosurveillance
Les sanctions récentes de la CNIL ne portent plus uniquement sur des défauts documentaires. Depuis janvier 2026, la procédure simplifiée a permis de prononcer plus de vingt sanctions visant des manquements très concrets : vidéosurveillance excessive, défaut de droit d’accès, conservation excessive.
Pour un SIRH nomade, les points de friction se situent sur trois fonctionnalités précises.
Badgeuse mobile et géolocalisation
Le pointage via smartphone peut embarquer des métadonnées de localisation non nécessaires au traitement. Si le SIRH enregistre les coordonnées GPS à chaque badgeage alors que seul l’horodatage est requis, le traitement est disproportionné. La CNIL sanctionne ce type de collecte excessive sans mise en demeure préalable dans le cadre de la procédure simplifiée.
Suivi d’activité sur terminal personnel
Le BYOD (bring your own device) amplifie le risque. Un SIRH nomade installé sur le téléphone personnel du salarié qui collecte des données au-delà du strict nécessaire (contacts, applications installées, identifiants matériels) dépasse le cadre du traitement RH. La minimisation des données doit être paramétrée au niveau applicatif, pas seulement mentionnée dans la politique de confidentialité.
Information des salariés
Le défaut d’information reste l’un des manquements les plus fréquemment sanctionnés. Dans un contexte nomade, l’information doit être accessible directement depuis l’application, pas uniquement dans un document PDF stocké sur l’intranet que personne ne consulte depuis un mobile.
Durées de conservation dans un SIRH nomade : configurer plutôt que documenter
Documenter des durées de conservation dans un registre des traitements ne protège pas si le SIRH ne les applique pas techniquement. Nous constatons un écart fréquent entre la politique déclarée et la réalité des bases de données.
- Les logs de connexion mobile (adresses IP, horodatages, identifiants de session) doivent suivre une durée de conservation distincte des données RH administratives
- Les données de candidature accessibles via un module recrutement mobile doivent être purgées automatiquement après le dernier contact avec le candidat
- Les extractions téléchargées sur des terminaux nomades échappent souvent aux mécanismes de purge centralisés : un fichier Excel exporté sur un smartphone reste indéfiniment dans le stockage local
Un mécanisme de purge automatique intégré au SIRH vaut davantage qu’une ligne dans le registre des traitements. La conformité se mesure dans la configuration technique, pas dans la documentation.
Contrats de sous-traitance et flux de données hors UE dans un SIRH cloud
Un SIRH nomade repose presque toujours sur une infrastructure cloud. Le prestataire agit comme sous-traitant au sens de l’article 28 du RGPD. Nous recommandons de vérifier trois points avant tout déploiement.
Le contrat doit préciser la localisation des centres de données et les conditions de transfert hors UE. Un hébergement annoncé « en Europe » peut impliquer des sauvegardes ou des services de support localisés hors Espace économique européen. Les clauses contractuelles types ne suffisent plus sans évaluation d’impact du transfert depuis l’invalidation du Privacy Shield.
Le droit d’audit effectif du responsable de traitement sur le sous-traitant doit être contractualisé. Un SIRH nomade dont le prestataire refuse les audits techniques expose l’entreprise à une impossibilité de démontrer sa conformité en cas de contrôle.
La notification des violations de données doit inclure un délai contractuel compatible avec l’obligation de notification à la CNIL sous 72 heures. Si le prestataire dispose de 48 heures pour informer le client, la marge restante pour qualifier l’incident et notifier devient critique.
La mobilité des données RH amplifie chaque faille de configuration. Un SIRH nomade conforme sur le papier mais mal paramétré dans ses exports, ses durées de conservation ou ses bases légales reste une source de risque financier et réputationnel que la CNIL sanctionne désormais par voie simplifiée, sans instruction contradictoire longue.
