CNIL, 2 avril 2026 : référentiel des durées de conservation RH

Ce que couvre le référentiel

Selon la CNIL, le référentiel s’adresse à tous les organismes employeurs, privés ou publics, dont les personnels sont soumis au droit du travail français. Il exclut les documents du dossier individuel des agents publics, dont les durées sont fixées par l’arrêté du 21 décembre 2012 relatif à la composition du dossier individuel des agents publics géré sur support électronique. Il est organisé par activités de traitement : recrutement, gestion administrative du personnel, rémunérations, sécurisation des biens et des personnes, véhicules professionnels, écoute et enregistrement des conversations téléphoniques, relations collectives de travail, accidents du travail, gestion du contentieux et du précontentieux, gestion des alertes professionnelles.

Le document distingue les durées obligatoires, prévues par des textes législatifs ou réglementaires, des durées recommandées par la CNIL, qui ne sont que des repères. Il n’est pas exhaustif. La CNIL demande de consulter systématiquement le texte de référence mentionné pour s’assurer qu’il correspond à la situation, et précise que les durées sont exprimées en mois pour suivre les formulations des textes.

Les deux lignes utiles à un dossier d’enquête

Deux activités du référentiel touchent le dossier d’une enquête interne. La première est la gestion des dossiers juridiques dans les domaines disciplinaire et prud’homal : la conservation en base active commence avec le début du contentieux et dure le temps du litige, puis l’archivage intermédiaire court jusqu’à épuisement des voies de recours. Le référentiel rattache cette ligne aux droits de la défense (article 6 de la convention européenne des droits de l’homme) et la marque comme obligation.

La seconde est la gestion des alertes professionnelles. Pour les signalements émis par un membre du personnel ou un collaborateur extérieur et occasionnel, suivis ou non d’une procédure disciplinaire ou judiciaire, les informations sont conservées le temps nécessaire aux vérifications et jusqu’à la décision définitive sur les suites, décision qui doit intervenir dans un délai raisonnable à compter de la réception du signalement. Au-delà, des données peuvent être conservées si cela est documenté par le responsable de traitement et si les personnes concernées ne sont ni identifiées ni identifiables. Le fondement cité est la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte. Ces deux lignes se définissent par des événements (début du litige, fin des voies de recours, décision sur les suites), pas par un nombre d’années.

En pratique : fiche de conservation et restitution

En pratique, trois démarches donnent une base de travail solide avant de signer le devis.

• Repérer les copies. Les pièces se dispersent dans les espaces de travail, les messageries et les sauvegardes. Une règle de suppression écrite au contrat reste sans effet sur des copies que personne n’a identifiées.
• Une fiche par catégorie de pièces. Pour chaque catégorie (alerte, comptes rendus d’entretien, pièces du dossier disciplinaire, rapport), indiquez l’événement qui déclenche le réexamen, la finalité et le texte de référence à vérifier. Le DPO et le conseil juridique valident ces fondements.
• Restitution et suppression au devis. Le devis précise les documents remis à l’employeur, les copies que le prestataire conserve, la façon dont il supprime le reste et qui atteste l’opération. Une obligation de conservation propre au dossier (contentieux en cours, par exemple) doit être signalée au prestataire.

Les rôles de l’employeur et du prestataire dans le traitement des données se qualifient et s’écrivent dans le mandat avant la collecte des témoignages. Voir le guide de la protection des données.