Données RH : pourquoi un hébergement en France ?

Pourquoi les données RH sont sensibles

Un SIRH contient l’identité et les coordonnées des salariés, leurs contrats, leurs absences, leurs entretiens et les éléments qui alimentent la paie. Ce sont des informations personnelles, parfois très intimes, et les salariés sont dans une relation de subordination avec leur employeur. Les exigences de confidentialité y sont donc élevées.

Ce que dit le RGPD

• L’employeur reste responsable du traitement de ses données RH. L’éditeur du SIRH intervient en général comme sous-traitant, ce qui suppose un contrat précisant ses obligations.
• Des mesures de sécurité appropriées doivent protéger les données : contrôle des accès, sauvegardes, traçabilité.
• Les transferts de données hors de l’Espace économique européen sont encadrés et ne sont possibles qu’avec des garanties adaptées.

Le RGPD n’impose pas, en règle générale, un hébergement en France. Mais héberger les données en France rend les choses plus simples à expliquer et à documenter : pas de transfert hors Union européenne à encadrer, un cadre juridique connu et un interlocuteur proche. Pensez aussi à vérifier si l’hébergeur ou ses sous-traitants peuvent être soumis à des législations non européennes.

Les questions à poser avant de choisir

1. Où les données sont-elles hébergées : pays, ville, nom de l’hébergeur ?
2. Quels sont les sous-traitants de l’éditeur ?
3. Où sont stockées les sauvegardes, et chez quel prestataire ?
4. Qui peut accéder aux données côté éditeur, et dans quelles conditions ?
5. Comment les droits d’accès sont-ils gérés côté entreprise (collaborateur, manager, RH) ?
6. Que deviennent les données à la fin du contrat : restitution, suppression ?
7. Les durées de conservation sont-elles maîtrisables ? Voir Dossier du personnel : que doit-il contenir ?

Les sauvegardes : un point souvent oublié

Une sauvegarde utile est régulière, conservée hors du site principal, idéalement chez un second prestataire, et réellement testée en restauration. Demandez à l’éditeur de décrire cette organisation.