RH : anonymiser CV, bulletins de paie et dossiers disciplinaires

Masquez un document RH en fonction de son lecteur, pas une fois pour toutes. Un manager qui recrute a besoin des compétences, pas d'une photo. Un auditeur a besoin des montants, pas du numéro de sécurité sociale. Un dossier disciplinaire qui sort de l'entreprise ne devrait pas nommer les témoins. Gardez l'original, partagez une copie masquée.

Ce guide suit le RGPD et les repères de la CNIL, avec des comparaisons britanniques et allemandes, à jour en septembre 2026. Ce n'est pas un conseil juridique.

Où circulent les documents RH, et qui doit voir quoi ?

L'article 5 du RGPD limite les données à ce qui est nécessaire à la finalité. Pour les RH, la CNIL précise : seules les personnes chargées de la gestion du personnel consultent les dossiers, et les supérieurs n'accèdent qu'aux données nécessaires à leurs fonctions.

Qu'est-ce qui identifie un candidat dans un CV, au-delà du nom ?

Bien plus que le nom. En novembre 2010, l'agence fédérale allemande de lutte contre les discriminations a lancé un pilote de candidatures anonymisées. Huit organisations ont examiné 8 550 candidatures sans identité. Le pilote masquait pour l'essentiel les quatre premiers éléments ci-dessous. Les deux suivants, des indices indirects, ont aussi été masqués pour l'essentiel. Nous ajoutons les deux derniers.

• Nom et photo
• Date de naissance ou âge, situation de famille
• Nationalité et lieu de naissance
• Sexe et handicap, sauf si un dispositif légal de soutien les requiert
• E-mail, téléphone et adresse postale
• Périodes d'emploi : le lecteur en déduit un âge
• Noms d'écoles et années de diplôme : ils suggèrent une origine et un âge
• Nom du fichier, champ auteur et commentaires d'un fichier Word

Selon le pilote, les formulaires standardisés marchent le mieux. Caviarder des candidatures classiques prend du temps et devient ingérable sur de gros volumes. Remplacez le nom par un numéro de candidat : les RH retrouveront Claire Exemple pour l'entretien. En France, l'article L1221-7 du Code du travail permet d'examiner les candidatures dans des conditions préservant l'anonymat. Ce n'est plus une obligation depuis la loi du 17 août 2015, a constaté le Conseil d'État.

Que faut-il masquer sur un bulletin de paie ?

Un bulletin de paie concentre des données d'identité. Il peut porter le numéro de sécurité sociale : la CNIL admet son usage pour la paie, pas pour la gestion générale des RH. Il ne doit en revanche mentionner ni la grève ni l'activité de représentation du personnel (article R3243-4 du Code du travail). En Allemagne, le bulletin indique même l'impôt d'Église, qui révèle une religion, donnée protégée par l'article 9 du RGPD.

Comment traiter un dossier disciplinaire ou d'enquête interne ?

Ces dossiers parlent de plusieurs personnes à la fois : le salarié visé, le plaignant, les témoins, les managers. Le salarié peut demander l'accès à ses données, mais pas au détriment des autres personnes concernées, rappelle la CNIL. Avant tout refus, elle invite à supprimer, anonymiser ou pseudonymiser les données des tiers.

1. 1Copiez le dossier. L'original reste dans un espace RH à accès restreint.
2. 2Listez chaque personne citée. Décidez, lecteur par lecteur, qui peut être nommé.
3. 3Masquez les noms, e-mails, téléphones et intitulés de poste uniques des tiers.
4. 4Masquez les indices indirects : dates, lieux, horaires, expressions citées.
5. 5Utilisez des libellés stables, comme Témoin A ou [NAME1]. Les RH gardent la clé.
6. 6Exportez une copie aplatie et notez quelle version est partie chez qui.

L'article 9 du RGPD range les données de santé et l'appartenance syndicale parmi les catégories particulières. Un arrêt maladie agrafé à un avertissement ne doit pas voyager avec le dossier. Les sanctions ne relèvent pas de l'article 9, mais elles peuvent nuire à une carrière. Ne les partagez qu'avec ceux qui doivent les connaître.

Combien de temps conserver les documents RH ?

Le même article 5 interdit de conserver des données identifiantes plus longtemps que nécessaire. Il ne donne aucun chiffre. La CNIL a publié le 2 avril 2026 un référentiel des durées de conservation pour les RH, qui distingue durées obligatoires et durées recommandées. Une copie dont les RH gardent la clé reste pseudonymisée : le délai court toujours.

Quels outils masquent correctement un document RH ?

Un rectangle noir posé sur un texte ne le supprime pas : selon l'ICO, l'information recouverte reste dans le fichier. La documentation d'Adobe indique que l'outil Biffer supprime définitivement les informations d'un PDF et qu'il n'est disponible que dans Acrobat Pro, Premium ou Studio. Dans Word, l'Inspecteur de document de Microsoft repère les commentaires et les marques de révision.

Demandez-vous aussi où part le fichier. L'application web ONYRI Sanitize détecte et masque dans le navigateur, sans envoyer le fichier sur un serveur. Elle pose des barres noires ou, avec la formule Pro, des libellés cohérents comme [NAME1], et exporte toujours une copie aplatie. Elle ne détecte ni les termes médicaux ni les noms de société : ajoutez-les à la main. Relisez chaque élément et gardez votre original. Masquer réduit l'exposition, sans rendre à lui seul un document anonyme.