Un employeur peut constituer un dossier pour un salarié étranger, à condition de n'y inclure que les documents utiles à une finalité précise et de les supprimer dès que cette finalité est atteinte. Le référentiel CNIL sur les durées de conservation des données RH fournit les repères catégorie par catégorie : aucune durée unique ne s'applique à l'ensemble du dossier salarié étranger. Cette distinction est capitale, car une erreur de durée ou de périmètre expose l'entreprise à des contrôles CNIL, des contentieux prud'homaux ou des redressements, et fragilise sa position en cas d'inspection.
Ce guide vous donne les repères opérationnels pour gérer l'accès et la conservation des documents RH d'un collaborateur étranger en conformité avec le RGPD, de la constitution du dossier jusqu'à sa clôture.
Points clés à retenir
- Minimisation d'abord : Seules les pièces utiles à une finalité identifiée peuvent entrer dans le dossier d'un salarié étranger. La nationalité seule ne justifie pas de collecter davantage.
- Durées différenciées : Le contrat, les bulletins de paie, les titres de séjour et les justificatifs d'identité n'ont pas la même durée de conservation. Appliquer une durée unique est une erreur fréquente.
- Bases légales documentées : Chaque finalité doit être rattachée à une base légale précise dans votre registre RGPD, avec la référence textuelle correspondante.
- Droit d'accès encadré : Le salarié a accès à ses données personnelles, pas à l'intégralité de son dossier sous forme brute. Vous disposez d'un mois pour répondre.
- Clôture planifiée : Le départ du salarié déclenche un processus d'archivage et de suppression à piloter document par document, pas en bloc.
Dossier salarié étranger : quelles pièces inclure ?
Le principe de minimisation du RGPD limite le dossier aux données objectivement nécessaires à la gestion du salarié et au respect des obligations légales de l'employeur. La nationalité du salarié ne justifie pas à elle seule la collecte de pièces supplémentaires par rapport à n'importe quel autre membre de l'équipe.
Les documents justifiés par une finalité identifiée
Quatre blocs de documents correspondent à des finalités distinctes. Le registre unique du personnel requiert les informations d'état civil, la nationalité, la qualification et les dates d'entrée et de sortie, ainsi que la copie du titre valant autorisation de travail pour les salariés soumis à cette obligation (article R. 620-3 du Code du travail). Le dossier RH courant accueille le contrat, les avenants, les éléments de carrière et les justificatifs de qualification utiles au poste. Les données de paie et fiscales couvrent les coordonnées bancaires, les informations nécessaires au prélèvement à la source et aux déclarations sociales.
Les données de santé relèvent du médecin du travail et ne doivent pas figurer dans le dossier RH ordinaire. Les absences peuvent y être mentionnées sans indication de diagnostic. Le référentiel CNIL « Gestion des ressources humaines » (cnil.fr, consulté en octobre 2026) est la source de référence pour délimiter ce périmètre. Pour le titre de séjour, ce qui doit figurer au dossier est son type, son numéro d'ordre et, lorsque le texte l'exige, sa copie.
Ce que l'employeur ne doit pas collecter systématiquement
La copie intégrale du passeport sans finalité démontrée, les documents familiaux non requis, les informations médicales au-delà d'un justificatif d'absence sans diagnostic et les données relatives à des convictions politiques ou religieuses sont hors périmètre. Selon le référentiel CNIL, les références du passeport ne sont justifiées que lorsque le salarié est amené à se déplacer à l'étranger dans le cadre de ses fonctions. Pour les documents de séjour, une information de contrôle ou une référence limitée peut parfois suffire à la place d'une copie complète du titre.
Conservation des documents RH : quelles durées appliquer par catégorie ?
Appliquer une durée unique à l'ensemble du dossier salarié étranger est une erreur courante et non conforme au RGPD. La durée de conservation des documents RH varie selon la nature du document, sa finalité et les obligations légales associées. Le tableau ci-dessous synthétise les principales durées issues du référentiel CNIL « Les durées de conservation des données personnelles » (cnil.fr, consulté octobre 2026).
| Document ou donnée | Base active | Archivage intermédiaire |
|---|---|---|
| Contrat de travail et documents contractuels | Pendant la relation de travail | 5 ans à compter de la fin du contrat |
| Bulletins de paie (papier ou électronique) | 1 mois à compter de la transmission au salarié | 5 ans pour le double ; pour le bulletin électronique, disponibilité garantie 50 ans ou jusqu'à 6 ans après l'âge de départ à la retraite selon le dispositif applicable |
| Justificatifs d'identité | Pendant la durée du contrat, si nécessaires à la gestion du personnel | 5 ans après le départ du salarié si leur conservation reste nécessaire à titre probatoire (vérifier la rubrique applicable du référentiel CNIL, la durée pouvant varier selon le contexte) |
| Titre de séjour | Pendant la durée de validité et le temps nécessaire à la gestion de l'emploi | 5 ans à compter du départ, pour justifier les vérifications effectuées ; supprimer les copies devenues sans objet |
| Registre unique du personnel | Pendant la présence du salarié dans l'entreprise | 5 ans à compter du départ du salarié |
| Documents médicaux détenus par l'employeur | Temps nécessaire à la gestion des absences, sans diagnostic | Pas de durée générale unique ; les informations médicales relèvent du médecin du travail |
Les documents médicaux méritent une attention particulière. Si le dossier contient des données sensibles au sens de l'article 9 du RGPD, une exception à cet article doit être identifiée et documentée séparément de la base retenue au titre de l'article 6. Un simple justificatif d'absence sans indication de diagnostic peut rester dans le dossier RH ; tout document contenant des informations de santé doit être orienté vers le médecin du travail.
Accès au dossier salarié étranger : qui consulte quoi, et sur quelle base légale ?
L'accès au dossier doit être différencié selon le rôle : toutes les personnes de l'entreprise ne peuvent pas consulter l'ensemble des pièces, et chaque traitement doit reposer sur une base légale documentée dans le registre RGPD.
Accès différencié selon le rôle
Le service RH accède à l'ensemble du dossier dans le cadre de la gestion administrative. Le manager accède aux éléments nécessaires à l'organisation du travail, qualifications, disponibilité, contrat, mais pas aux données médicales ni aux pièces d'immigration. Le service paie accède aux informations nécessaires à la rémunération et aux déclarations sociales. Les fonctions de contrôle d'accès, de journalisation et de séparation des catégories de documents sont des critères à vérifier auprès de tout fournisseur de logiciel RH avant déploiement.
Documenter les bases légales dans le registre RGPD
Les bases applicables varient selon la finalité. L'obligation légale (article 6.1.c du RGPD) couvre la vérification du droit au travail, le registre unique du personnel et les déclarations sociales : le registre doit citer le texte précis imposant l'obligation. L'exécution du contrat (article 6.1.b) couvre la paie, les congés et la gestion courante de la relation de travail. L'intérêt légitime (article 6.1.f) peut couvrir la sécurité des systèmes et la gestion des accès, à condition de réaliser et conserver une mise en balance écrite précisant l'intérêt poursuivi, la nécessité du traitement et les garanties protégeant le salarié.
Évitez une fiche unique intitulée « salariés étrangers ». Distinguez au minimum la paie et la gestion du personnel, la vérification du droit au travail, la sécurité et le contrôle d'accès, et la gestion des contentieux. Pour chaque traitement, la fiche de registre indique la finalité précise, les catégories de données, la base retenue avec sa référence textuelle, les destinataires et la durée de conservation des documents RH. Source : référentiel CNIL « Gestion des ressources humaines » et « Les bases légales » (cnil.fr, consulté octobre 2026).
Comment traiter une demande d'accès d'un salarié à ses données personnelles ?
Le droit d'accès du salarié porte sur ses données personnelles, pas sur la remise de l'intégralité de son dossier sous forme brute. L'employeur dispose d'un mois pour répondre, avec possibilité de prolongation de deux mois en cas de complexité, à condition d'en informer le salarié dans le premier mois.
Les informations relatives à des tiers, collègues, clients, témoins, doivent être occultées ou anonymisées. La communication peut être limitée lorsqu'elle porterait atteinte au secret des affaires, à la propriété intellectuelle ou aux droits d'autrui. Avant tout refus global, recherchez une solution proportionnée : occultation partielle ou communication des données accessibles après traitement.
Procédure en huit étapes pour répondre dans les délais
Étapes 1 à 3, Cadrage de la demande
- Enregistrer la demande et sa date de réception, qu'elle soit écrite ou électronique.
- Vérifier l'identité du demandeur avec les justificatifs strictement nécessaires, sans exiger de pièces disproportionnées.
- Qualifier et circonscrire la demande ; demander des précisions si elle est trop large (période, mots-clés, catégories visées), sans retarder abusivement la réponse.
Étapes 4 à 6, Traitement des données
- Rechercher les données dans les systèmes concernés : dossier RH, bulletins, courriels professionnels, outils de gestion.
- Trier les informations : communiquer les données du salarié, masquer celles des tiers, retirer les éléments couverts par un secret ou un droit opposable.
- Préparer une réponse intelligible comprenant les informations requises par l'article 15 du RGPD : finalités, catégories de données, destinataires, durées de conservation, origine des données.
Étapes 7 et 8, Clôture
- Respecter le délai d'un mois ; si une prolongation est nécessaire, informer le salarié dans le premier mois avec les motifs précis.
- Motiver tout refus ou toute limitation et indiquer la possibilité de saisir la CNIL ou le juge.
Source : CNIL « Comment répondre à une demande de droit d'accès ? » et « L'accès à son dossier professionnel » (cnil.fr, consulté octobre 2026).
Départ du salarié, archivage et suppression : que faire concrètement ?
Le départ du salarié ne déclenche pas la suppression immédiate de toutes les données. Certaines pièces passent en archivage intermédiaire, d'autres doivent être supprimées selon le calendrier défini en amont dans votre registre, d'où la nécessité de traiter document par document plutôt qu'en bloc.
Checklist de clôture du dossier au départ
- Identifier les pièces à conserver en archivage intermédiaire : contrat et documents contractuels (5 ans), bulletins de paie (5 ans pour le double, 50 ans pour les bulletins électroniques), registre du personnel (5 ans).
- Identifier les pièces à supprimer à terme court : copies de titres de séjour sans finalité active, documents non nécessaires à une obligation légale en cours.
- Révoquer les accès du salarié et des managers au dossier dans tous les systèmes concernés, y compris l'outil de suivi.
- Transférer les données de paie ou fiscales aux services compétents si nécessaire.
- Consigner la date de clôture, les durées retenues par catégorie et le responsable dans le registre RGPD.
Exemple fictif et point de vigilance sur les transferts internationaux de données salariés
La société Ambival (exemple fictif) emploie une collaboratrice étrangère dont le contrat prend fin en novembre 2026. Le service RH classe le contrat et les bulletins en archivage intermédiaire pour cinq ans, supprime la copie du titre de séjour devenue sans objet, et révoque les accès dans son outil de suivi. La fiche du registre est mise à jour avec la date de clôture et les durées retenues par catégorie.
Si votre siège ou un prestataire de paie se trouve hors de l'Espace économique européen, le transfert international de données salariés exige de vérifier l'existence d'une décision d'adéquation de la Commission européenne. À défaut, mettez en place des clauses contractuelles types (CCT) accompagnées d'une analyse d'impact du transfert (AITD) réalisée par l'exportateur avec l'assistance de l'importateur. Cette analyse doit examiner la législation du pays tiers, les accès possibles des autorités publiques, l'efficacité réelle des CCT et les mesures supplémentaires nécessaires, chiffrement avec conservation des clés dans l'EEE, limitation des accès, journalisation. Les dérogations de l'article 49 du RGPD restent exceptionnelles et ne peuvent pas fonder un dispositif RH récurrent. Source : CNIL « Transfert de données : les clauses contractuelles types » et « Guide pratique : Analyse d'impact des transferts » (cnil.fr, consulté octobre 2026).
FAQ : questions fréquentes des RH sur le RGPD et les salariés étrangers
Peut-on conserver une copie complète du passeport d'un salarié étranger ?
En principe non, du moins pas de manière systématique. Un justificatif d'identité est nécessaire, mais la copie intégrale du passeport dépasse souvent ce qui est strictement requis. Selon le référentiel CNIL, les références du passeport ne sont justifiées que lorsque le salarié est amené à se déplacer à l'étranger dans le cadre de ses fonctions. Pour les autres situations, une information de contrôle ou les pages strictement utiles à la finalité identifiée suffisent.
Le salarié peut-il exiger la remise de son dossier RH complet ?
Non. Le droit d'accès porte sur les données personnelles, pas sur les documents en tant que tels. L'employeur peut communiquer les données sous une forme intelligible plutôt qu'en remettant chaque document brut. Il doit masquer les informations relatives à des tiers et peut limiter la communication lorsqu'elle porterait atteinte au secret des affaires ou aux droits opposables de tiers. Les demandes manifestement infondées ou excessives, notamment répétitives, peuvent faire l'objet d'un refus motivé.
Que faire si le dossier contient des informations de santé ?
Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. L'employeur ne doit conserver dans le dossier RH ordinaire que les justificatifs d'absence sans indication de diagnostic. Tout document contenant des informations médicales doit être retiré du dossier courant et orienté vers le médecin du travail, seul habilité à gérer le dossier médical en santé au travail. Si des données sensibles subsistent dans le dossier, une exception à l'article 9 doit être identifiée et documentée séparément de la base retenue au titre de l'article 6.
Dossier salarié étranger et RGPD : maintenir la conformité dans la durée
La conformité RGPD d'un dossier de salarié étranger n'est pas une contrainte administrative ponctuelle : c'est une organisation à maintenir dans la durée. Elle repose sur la cohérence entre trois exigences qui se complètent. La minimisation impose de ne faire entrer dans le dossier que les pièces utiles à une finalité identifiée. La différenciation des durées de conservation des documents RH, documentées par catégorie dans le registre, évite l'erreur classique d'une durée unique appliquée à l'ensemble du dossier. Enfin, la proportionnalité des accès, assortie d'une procédure de réponse dans le délai d'un mois, garantit que chaque interlocuteur ne consulte que ce qui le concerne.
Izypaper accompagne les équipes RH dans le suivi des collaborateurs étrangers en centralisant les informations utiles, les échéances de séjour et les prochaines actions à prévoir. Cadrer la configuration du logiciel avec ces exigences RGPD est une étape à prévoir dès le démarrage : accès différenciés selon les rôles, durées paramétrées par catégorie de document, suppression planifiée au départ du salarié.
Pour un besoin ponctuel, une prestation adaptée est disponible ; pour organiser le suivi d'une équipe dans la durée, une démonstration du logiciel permet de visualiser la gestion multi-collaborateurs. Dans tous les cas, relisez les entrées de votre registre RGPD relatives aux salariés étrangers à chaque changement de réglementation ou d'organisation : c'est la meilleure garantie de rester en phase avec les exigences en vigueur.
Préparez votre prochain dossier sans rupture.
Vous préparez un recrutement ou suivez des salariés étrangers ? Présentez votre besoin à l'équipe pour identifier l'accompagnement adapté.
