Un employeur peut constituer un dossier pour un salarié étranger à condition de rattacher chaque donnée à une finalité et à une base légale, de limiter les accès et de fixer une durée appropriée. La fin de l'utilisation courante ne signifie pas toujours suppression immédiate : certaines pièces doivent être conservées au titre d'une obligation légale ou d'un besoin de preuve documenté. Le référentiel CNIL sur les durées RH aide à traiter chaque catégorie séparément.
Ce guide vous donne les repères opérationnels pour gérer l'accès et la conservation des documents RH d'un collaborateur étranger en conformité avec le RGPD, de la constitution du dossier jusqu'à sa clôture.
Points clés à retenir
- Minimisation d'abord : Seules les pièces utiles à une finalité identifiée peuvent entrer dans le dossier d'un salarié étranger. La nationalité seule ne justifie pas de collecter davantage.
- Durées différenciées : Le contrat, les bulletins de paie, les titres de séjour et les justificatifs d'identité n'ont pas la même durée de conservation. Appliquer une durée unique est une erreur fréquente.
- Bases légales documentées : Chaque finalité doit être rattachée à une base légale précise dans votre registre RGPD, avec la référence textuelle correspondante.
- Droit d'accès : fournissez une copie fidèle et compréhensible des données, avec les documents ou extraits nécessaires à leur compréhension, en protégeant les droits des tiers. Répondez en principe sous un mois.
- Clôture planifiée : Le départ du salarié déclenche un processus d'archivage et de suppression à piloter document par document, pas en bloc.
Dossier salarié étranger : quelles pièces inclure ?
Le principe de minimisation du RGPD limite le dossier aux données objectivement nécessaires à la gestion du salarié et au respect des obligations légales de l'employeur. La nationalité du salarié ne justifie pas à elle seule la collecte de pièces supplémentaires par rapport à n'importe quel autre membre de l'équipe.
Les documents justifiés par une finalité identifiée
Distinguez le registre unique du personnel, la gestion du contrat, la paie et les vérifications du droit au travail. Pour les salariés étrangers assujettis à la détention d'un titre autorisant le travail, l'article D. 1221-23 du Code du travail prévoit notamment le type et le numéro d'ordre du titre dans le registre. L'article D. 1221-24 impose d'y annexer la copie de ce titre. Une simple mention « document vérifié » ne remplace pas cette copie obligatoire. Les mentions du registre sont conservées cinq ans après le départ de l'établissement selon l'article R. 1221-26.
Le dossier médical en santé au travail est distinct du dossier RH et n'est pas accessible à l'employeur. Celui-ci peut néanmoins traiter certains justificatifs nécessaires à ses obligations, comme les avis d'aptitude ou d'inaptitude, les restrictions communiquées par le médecin et les éléments utiles à la gestion des absences, sans collecter les diagnostics ou le dossier médical complet. Limitez les destinataires et définissez les bases légales et garanties adaptées.
Ce que l'employeur ne doit pas collecter systématiquement
Ne collectez pas systématiquement le passeport complet, des documents familiaux ou des informations médicales détaillées. Certaines pages peuvent être nécessaires pour une démarche d'immigration ou une mobilité professionnelle précisément identifiée : documentez ce besoin et ne demandez que les pages utiles. Pour le titre autorisant le travail, respectez l'obligation de copie annexée au registre lorsqu'elle s'applique ; le principe de minimisation ne permet pas de supprimer une pièce légalement obligatoire.
Conservation des documents RH : quelles durées appliquer par catégorie ?
Appliquer une durée unique à l'ensemble du dossier salarié étranger est une erreur courante et non conforme au RGPD. La durée de conservation des documents RH varie selon la nature du document, sa finalité et les obligations légales associées. Le tableau ci-dessous synthétise les principales durées issues du référentiel CNIL « Les durées de conservation des données personnelles » (cnil.fr, consulté octobre 2026).
| Document ou donnée | Base active | Archivage intermédiaire |
|---|---|---|
| Contrat de travail et documents contractuels | Pendant la relation de travail | 5 ans à compter de la fin du contrat |
| Bulletins de paie (papier ou électronique) | 1 mois à compter de la transmission au salarié | Double conservé cinq ans. Disponibilité électronique distincte : cinquante ans ou jusqu'à l'âge visé à l'article L. 1237-5, dernier alinéa, augmenté de six ans, selon D. 3243-8. |
| Justificatifs d'identité | Pendant la durée du contrat, si nécessaires à la gestion du personnel | Pas de durée unique pour toutes les pièces d'identité : conserver seulement ce qui reste nécessaire, pour une durée documentée selon la finalité et les textes applicables. |
| Titre de séjour | Pendant la durée de validité et le temps nécessaire à la gestion de l'emploi | Copie annexée au registre : conservation avec les mentions concernées pendant cinq ans après le départ de l'établissement ; autres copies selon leur finalité. |
| Registre unique du personnel | Pendant la présence du salarié dans l'entreprise | 5 ans à compter du départ du salarié |
| Documents médicaux détenus par l'employeur | Temps nécessaire à la gestion des absences, sans diagnostic | Durée propre à chaque document licitement détenu par l'employeur ; accès restreint. Le dossier médical reste distinct, auprès du service de santé au travail. |
Les données de santé sont sensibles au sens de l'article 9 du RGPD. Identifiez l'exception autorisant leur traitement en plus de la base de l'article 6, et réservez leur accès aux personnes habilitées. Le dossier médical reste géré par le service de prévention et de santé au travail. Les documents que l'employeur doit légitimement conserver, tels que certains avis du médecin, suivent un circuit et une durée spécifiques ; ils ne sont pas tous à supprimer ou à transmettre au médecin par principe.
Accès au dossier salarié étranger : qui consulte quoi, et sur quelle base légale ?
L'accès au dossier doit être différencié selon le rôle : toutes les personnes de l'entreprise ne peuvent pas consulter l'ensemble des pièces, et chaque traitement doit reposer sur une base légale documentée dans le registre RGPD.
Accès différencié selon le rôle
Attribuez les accès selon les missions et le besoin d'en connaître. Un membre du service RH n'a pas automatiquement besoin de toutes les pièces. Le manager reçoit les informations opérationnelles nécessaires, par exemple la possibilité d'affecter le salarié au poste ou une échéance à anticiper, sans accès systématique au titre complet. La paie reçoit les données nécessaires à ses obligations. Vérifiez les habilitations, leur traçabilité et leur révision auprès du fournisseur de l'outil.
Documenter les bases légales dans le registre RGPD
Les bases applicables varient selon la finalité. L'obligation légale (article 6.1.c du RGPD) couvre la vérification du droit au travail, le registre unique du personnel et les déclarations sociales : le registre doit citer le texte précis imposant l'obligation. L'exécution du contrat (article 6.1.b) couvre la paie, les congés et la gestion courante de la relation de travail. L'intérêt légitime (article 6.1.f) peut couvrir la sécurité des systèmes et la gestion des accès, à condition de réaliser et conserver une mise en balance écrite précisant l'intérêt poursuivi, la nécessité du traitement et les garanties protégeant le salarié.
Évitez une fiche unique intitulée « salariés étrangers ». Distinguez au minimum la paie et la gestion du personnel, la vérification du droit au travail, la sécurité et le contrôle d'accès, et la gestion des contentieux. Pour chaque traitement, la fiche de registre indique la finalité précise, les catégories de données, la base retenue avec sa référence textuelle, les destinataires et la durée de conservation des documents RH. Source : référentiel CNIL « Gestion des ressources humaines » et « Les bases légales » (cnil.fr, consulté octobre 2026).
Comment traiter une demande d'accès d'un salarié à ses données personnelles ?
Le salarié peut obtenir une copie fidèle et intelligible de ses données personnelles. Cela peut nécessiter des extraits ou des documents complets lorsque leur contexte est indispensable à la compréhension des données. Il n'existe donc pas d'exclusion générale des documents du dossier RH. Répondez en principe dans le mois ; une prolongation de deux mois peut être justifiée par la complexité ou le nombre de demandes, en informant le salarié dans le premier mois.
Examinez les droits des tiers avant la communication. Occultez les informations lorsque leur divulgation porterait effectivement atteinte à leurs droits, sans retrancher automatiquement toute mention d'un collègue ou client. Le secret des affaires et les droits d'autrui ne justifient pas par principe un refus global : cherchez une communication proportionnée et motivez toute limitation.
Procédure en huit étapes pour répondre dans les délais
Étapes 1 à 3, Cadrage de la demande
- Enregistrer la demande et sa date de réception, qu'elle soit écrite ou électronique.
- Vérifier l'identité du demandeur avec les justificatifs strictement nécessaires, sans exiger de pièces disproportionnées.
- Qualifier et circonscrire la demande ; demander des précisions si elle est trop large (période, mots-clés, catégories visées), sans retarder abusivement la réponse.
Étapes 4 à 6, Traitement des données
- Rechercher les données dans les systèmes concernés : dossier RH, bulletins, courriels professionnels, outils de gestion.
- Trier les informations : communiquer les données du salarié, masquer celles des tiers, retirer les éléments couverts par un secret ou un droit opposable.
- Préparer une réponse intelligible comprenant les informations requises par l'article 15 du RGPD : finalités, catégories de données, destinataires, durées de conservation, origine des données.
Étapes 7 et 8, Clôture
- Respecter le délai d'un mois ; si une prolongation est nécessaire, informer le salarié dans le premier mois avec les motifs précis.
- Motiver tout refus ou toute limitation et indiquer la possibilité de saisir la CNIL ou le juge.
Source : CNIL « Comment répondre à une demande de droit d'accès ? » et « L'accès à son dossier professionnel » (cnil.fr, consulté octobre 2026).
Départ du salarié, archivage et suppression : que faire concrètement ?
Le départ du salarié ne déclenche pas la suppression immédiate de toutes les données. Certaines pièces passent en archivage intermédiaire, d'autres doivent être supprimées selon le calendrier défini en amont dans votre registre, d'où la nécessité de traiter document par document plutôt qu'en bloc.
Checklist de clôture du dossier au départ
- Archiver selon chaque règle : double des bulletins de paie pendant cinq ans ; mentions du registre et copie du titre annexée pendant la durée applicable après le départ. La disponibilité du bulletin électronique pour le salarié relève d'une obligation distincte.
- Supprimer les doublons et pièces devenus inutiles seulement après vérification des obligations légales et des besoins de preuve. Ne pas supprimer immédiatement la copie du titre annexée au registre au seul motif du départ.
- Révoquer les accès du salarié et des managers au dossier dans tous les systèmes concernés, y compris l'outil de suivi.
- Transférer les données de paie ou fiscales aux services compétents si nécessaire.
- Consigner la date de clôture, les durées retenues par catégorie et le responsable dans le registre RGPD.
Exemple fictif et point de vigilance sur les transferts internationaux de données salariés
Exemple fictif : au départ d'une salariée, le service RH retire les accès opérationnels devenus inutiles et place les pièces nécessaires en archive à accès restreint. Il conserve les mentions du registre et la copie du titre qui y est annexée pendant la durée applicable, au lieu de supprimer cette copie dès le départ. Il applique séparément les durées des contrats, de la paie et des autres pièces, puis programme les suppressions à leurs échéances, sous réserve d'un contentieux justifiant une conservation ciblée.
Si votre siège ou un prestataire de paie se trouve hors de l'Espace économique européen, le transfert international de données salariés exige de vérifier l'existence d'une décision d'adéquation de la Commission européenne. À défaut, mettez en place des clauses contractuelles types (CCT) accompagnées d'une analyse d'impact du transfert (AITD) réalisée par l'exportateur avec l'assistance de l'importateur. Cette analyse doit examiner la législation du pays tiers, les accès possibles des autorités publiques, l'efficacité réelle des CCT et les mesures supplémentaires nécessaires, chiffrement avec conservation des clés dans l'EEE, limitation des accès, journalisation. Les dérogations de l'article 49 du RGPD restent exceptionnelles et ne peuvent pas fonder un dispositif RH récurrent. Source : CNIL « Transfert de données : les clauses contractuelles types » et « Guide pratique : Analyse d'impact des transferts » (cnil.fr, consulté octobre 2026).
FAQ : questions fréquentes des RH sur le RGPD et les salariés étrangers
Peut-on conserver une copie complète du passeport d'un salarié étranger ?
Pas systématiquement. Déterminez d'abord la finalité : une démarche de visa ou de séjour peut nécessiter certaines pages, tandis qu'une vérification courante peut ne pas justifier une copie intégrale. Collectez uniquement ce qui est utile, informez le salarié et fixez une durée adaptée. Ne confondez pas le passeport et la copie du titre autorisant le travail qui doit, lorsqu'elle est requise, être annexée au registre unique du personnel.
Le salarié peut-il exiger la remise de son dossier RH complet ?
Le droit d'accès porte sur les données personnelles et sur une copie intelligible de celles-ci. Selon le contexte, communiquer des documents ou des extraits peut être nécessaire. Une remise brute de tout le dossier n'est pas systématiquement requise, mais l'employeur ne peut pas refuser tous les documents par principe. Il doit apprécier les droits des tiers, effectuer les occultations justifiées et motiver les éventuelles limites. Le caractère manifestement infondé ou excessif d'une demande doit pouvoir être démontré.
Que faire si le dossier contient des informations de santé ?
Séparez le dossier médical, auquel l'employeur n'a pas accès, des documents qu'il peut traiter pour remplir ses obligations : certains avis du médecin du travail, justificatifs d'absence ou éléments liés aux accidents du travail, selon le besoin. Évitez les diagnostics et données médicales non nécessaires. Documentez la base légale, l'exception de l'article 9, les accès et la conservation avec le DPO ou la personne chargée de la protection des données.
Dossier salarié étranger et RGPD : maintenir la conformité dans la durée
La conformité RGPD d'un dossier de salarié étranger n'est pas une contrainte administrative ponctuelle : c'est une organisation à maintenir dans la durée. Elle repose sur la cohérence entre trois exigences qui se complètent. La minimisation impose de ne faire entrer dans le dossier que les pièces utiles à une finalité identifiée. La différenciation des durées de conservation des documents RH, documentées par catégorie dans le registre, évite l'erreur classique d'une durée unique appliquée à l'ensemble du dossier. Enfin, la proportionnalité des accès, assortie d'une procédure de réponse dans le délai d'un mois, garantit que chaque interlocuteur ne consulte que ce qui le concerne.
Pour choisir un outil de suivi, vérifiez les fonctions de gestion des accès, d'export, d'archivage et de suppression, ainsi que les engagements du prestataire. Présentez vos durées et vos circuits documentaires lors de la démonstration Izypaper afin de confirmer ce qui est effectivement disponible et paramétrable. Une suppression automatique au départ serait inadaptée aux pièces soumises à conservation.
Pour un besoin ponctuel, contactez Izypaper pour cadrer la prestation ; pour un suivi d'équipe, demandez une démonstration. Faites valider votre politique documentaire et révisez-la lorsque les règles ou vos traitements évoluent. Sources vérifiées le 23 octobre 2026 : CNIL, gestion des ressources humaines et droit d'accès des salariés ; RGPD, articles 5, 6, 9, 12 et 15 ; Code du travail, articles D. 1221-23, D. 1221-24, R. 1221-26, L. 3243-4 et D. 3243-8.
Préparez votre prochain dossier sans rupture.
Vous préparez un recrutement ou suivez des salariés étrangers ? Présentez votre besoin à l'équipe pour identifier l'accompagnement adapté.
