La sécurité des données sur un Desk RH repose sur un ensemble de paramètres techniques et organisationnels que la direction des ressources humaines doit maîtriser. Un Desk RH centralise des informations personnelles de salariés (état civil, coordonnées bancaires, arrêts maladie, évaluations), ce qui en fait une cible directe en cas de faille de configuration ou de négligence interne.
Données hébergées dans un Desk RH : ce qui relève du traitement sensible
Un Desk RH ne stocke pas uniquement des fiches de paie. Le logiciel agrège des catégories de données dont certaines exigent des précautions renforcées au sens du RGPD : données de santé liées aux arrêts de travail, informations bancaires pour le virement des salaires, pièces d’identité numérisées, et parfois des résultats d’évaluations professionnelles.
La distinction entre données personnelles courantes et données sensibles conditionne le niveau de protection à mettre en place. Une adresse postale n’appelle pas les mêmes mesures qu’un certificat médical. Le DRH doit cartographier précisément les types de données présentes dans le système avant de définir les droits d’accès.
Cette cartographie alimente directement le registre des traitements, obligation légale que la CNIL vérifie lors de ses contrôles. Un registre incomplet ou un paramétrage de sécurité insuffisant sur un Desk RH fait partie des manquements traités en procédure simplifiée par la CNIL, sans audience, avec un délai de réponse d’un mois seulement pour l’entreprise.
Paramétrage des droits d’accès sur un logiciel RH : le point technique négligé
La majorité des failles de sécurité sur un Desk RH ne viennent pas d’une attaque externe. Elles résultent d’un mauvais paramétrage des droits d’accès internes. Un manager qui consulte les bulletins de paie de toute l’entreprise, un assistant RH qui accède aux dossiers disciplinaires sans en avoir besoin : ces situations sont fréquentes et constituent des violations du principe de minimisation des accès.
Contrôle d’accès basé sur les rôles
Le mécanisme à configurer s’appelle le contrôle d’accès basé sur les rôles (RBAC). Chaque utilisateur du Desk RH ne voit que les données strictement nécessaires à sa fonction. Le DRH paramètre des profils types (gestionnaire paie, responsable recrutement, direction) avec des périmètres de consultation et de modification distincts.
L’authentification multifacteur (MFA) constitue le second verrou. Un mot de passe seul ne suffit plus, notamment pour les comptes à privilèges élevés. La combinaison identifiant, mot de passe et code temporaire envoyé sur un terminal séparé réduit considérablement le risque d’accès frauduleux.
- Vérifier trimestriellement la liste des utilisateurs actifs et supprimer les comptes des collaborateurs ayant quitté l’entreprise (un offboarding mal géré laisse des accès ouverts pendant des mois).
- Attribuer les droits d’administration du Desk RH à deux personnes maximum, avec traçabilité des actions effectuées.
- Désactiver les exports de masse de données personnelles pour tous les profils sauf le DPO et le DRH.
Durées de conservation des données RH : un risque de sanction sous-estimé
Conserver des données de salariés au-delà de la durée légale est un manquement que la CNIL sanctionne régulièrement. Sur un Desk RH, les durées de conservation doivent être paramétrées par catégorie de document. Un bulletin de paie n’a pas la même durée de rétention qu’un dossier de candidature non retenue.
Les dossiers de candidats non retenus doivent être supprimés ou anonymisés dans un délai raisonnable après la fin du processus de recrutement, sauf consentement explicite du candidat pour une durée prolongée. Les documents liés au contrat de travail suivent les délais de prescription du Code du travail.
Le problème concret : beaucoup de Desk RH conservent tout par défaut, sans purge automatique. Le DRH doit vérifier que le logiciel propose des règles d’archivage et de suppression programmées, puis les activer. Un système qui accumule des données obsolètes augmente la surface d’exposition en cas de fuite et aggrave la sanction en cas de contrôle.
AI Act et outils d’IA intégrés au Desk RH : la nouvelle couche réglementaire
Plusieurs éditeurs de Desk RH intègrent désormais des fonctions d’intelligence artificielle : tri automatique de candidatures, scoring de profils, suggestions de mobilité interne. Ces usages tombent sous le champ de l’AI Act, qui classe les systèmes d’IA utilisés pour le recrutement et l’évaluation des salariés dans la catégorie à haut risque.
La CNIL a publié en février 2025 des recommandations spécifiques sur l’articulation entre IA et RGPD dans le contexte RH. Le DRH qui active un module d’IA sur son Desk RH doit documenter la finalité du traitement, vérifier l’existence d’une analyse d’impact (AIPD) fournie par l’éditeur, et s’assurer que le salarié ou le candidat est informé du recours à un traitement automatisé.
Points de vigilance avant activation
- Demander à l’éditeur du Desk RH la documentation de conformité AI Act pour chaque module d’IA proposé.
- Vérifier que le salarié peut obtenir une intervention humaine sur toute décision prise ou préparée par l’IA (droit prévu par le RGPD, article 22).
- Intégrer ces traitements dans le registre existant avec mention explicite du recours à l’IA et de la base légale retenue.
Sanctions CNIL en 2025 : les chiffres qui concernent directement les services RH
Le bilan publié par la CNIL en février 2026 sur l’année 2025 fait état de 259 décisions dont 83 sanctions, pour un montant cumulé de plus de 486 millions d’euros d’amendes. Parmi ces sanctions, 67 ont été prononcées en procédure simplifiée, mécanisme prévu par l’article 22-1 de la loi Informatique et Libertés.
La procédure simplifiée cible les manquements considérés comme courants : défaut d’information des personnes concernées, absence de registre à jour, durées de conservation non respectées, mesures de sécurité insuffisantes. Ce sont exactement les points de fragilité d’un Desk RH mal configuré.
Pour un DRH, la conséquence pratique est double. D’abord, le délai entre le contrôle et la sanction s’est raccourci grâce à cette procédure accélérée. Ensuite, l’amende n’est pas le seul risque : une injonction de mise en conformité peut obliger à suspendre temporairement certains traitements, ce qui paralyse la gestion du personnel.
La sécurité des données sur un Desk RH ne se résume pas à un choix d’éditeur. Le paramétrage des accès, la gestion des durées de conservation et la documentation des modules d’IA sont trois chantiers concrets que le DRH doit piloter lui-même, indépendamment des promesses commerciales du logiciel.
