Staffing
Compétences des salariés : ce que la CNIL vise
Votre situation : Vous allez déployer une base de compétences ou un outil de staffing, et vous voulez savoir quoi écrire avant de charger les données de vos salariés.
Avant de déployer une base de compétences, écrivez la finalité, les données, la durée, les accès et l’information des salariés. Le référentiel CNIL de gestion du personnel propose l’intérêt légitime pour la gestion des compétences, à adapter à chaque organisme. Il exclut de son champ les traitements algorithmiques de profilage. Si un client se trouve hors UE, examinez aussi le transfert. C’est notre lecture, faites-la relire par votre délégué ou votre conseil.
Notre avis
Écrivez finalité, durée et accès avant le déploiement. Après le chargement des données, ce travail devient bien plus difficile. Ceci est notre lecture, pas un avis juridique.
Pourquoi
- La CNIL ne vise pas nommément un outil de staffing : le rapprochement avec la gestion des compétences reste un raisonnement à documenter.
- L’intérêt légitime proposé pour la gestion des compétences ouvre un droit d’opposition, à anticiper.
- Aucun logiciel ne garantit cette conformité : ces choix restent ceux de l’employeur.
Ce qui change le choix
Votre outil évalue ou suggère par algorithme : le référentiel ne couvre plus ce traitement, et la question d’une analyse d’impact devient centrale. Vous envoyez des CV à un client hors UE : examinez ce transfert.
L’ordre à suivre
- Écrivez la finalité et la base légale envisagée, avec votre délégué à la protection des données si vous en avez un.
- Limitez les données à ce qui sert à affecter.
- Fixez une durée et des accès documentés.
- Informez les salariés, et vérifiez le rôle de vos instances représentatives.
- Tout usage algorithmique, ou tout envoi hors UE, s’examine en plus.
Ce que le référentiel dit, point par point
Le référentiel adopté le 21 novembre 2019 et modifié le 23 mai 2022 couvre la gestion courante du personnel. Il ne nomme aucun outil de staffing. Le rapprochement avec le « suivi des carrières et de la mobilité » est notre raisonnement, et votre responsable de traitement doit le faire sien.
| À écrire | Ce que dit le référentiel | Pour un outil de staffing |
|---|---|---|
| La finalité | Objectif précis ; pas de réutilisation incompatible | Affecter et faire évoluer, sans noter pour une autre raison |
| La base légale | Intérêt légitime proposé pour la gestion des compétences et la GPEC (gestion prévisionnelle des emplois et des compétences) ; exécution du contrat pour la mobilité ; à adapter | Votre choix à documenter |
| Les données | Compétences, formation, appréciation sur critères objectifs en lien direct et nécessaire avec l’emploi | La liste courte, sans commentaires sur la personne |
| La durée | À fixer en amont, selon la finalité | Votre règle, à justifier : par exemple une suppression à la sortie du salarié |
| Les accès | Personnes habilitées, habilitations documentées, accès tracés | Managers concernés, plutôt que toute l’entreprise |
| L’information | Dès la collecte, de préférence écrite ; instances représentatives à vérifier | Note aux salariés avant le chargement |
Ce que le référentiel ne couvre pas
Le référentiel écarte expressément de son champ deux types de traitements. D’abord les outils innovants, dont les traitements algorithmiques à des fins notamment de profilage. Ensuite les traitements ayant pour objet ou pour effet le contrôle individuel de l’activité. Une suggestion d’affectation par IA, ou un score automatique de compétence, ne se range donc pas tranquillement dans cette grille.
Il évoque aussi l’analyse d’impact (AIPD, l’étude des risques d’un traitement pour les personnes). Il renvoie à une liste où figurent les traitements établissant des profils à des fins de gestion des ressources humaines. Il rappelle également les critères du comité européen : évaluation ou notation, décision automatisée, croisement de données ou personnes vulnérables, notamment. La réunion de deux de ces neuf critères rend l’analyse obligatoire. Il note que les employés peuvent être considérés comme vulnérables, à cause du déséquilibre avec l’employeur.
Ces éléments ne tranchent pas votre cas. Ils justifient que la question soit posée avant la signature.
La durée et l’opposition, deux points à ne pas oublier
Le référentiel de durées publié en 2026 donne une ligne pour la CV-thèque : jusqu’à deux ans après le dernier contact avec un candidat non retenu, à titre de recommandation. Cette ligne vaut pour un vivier de candidats, et elle ne s’applique pas à vos salariés. Nous n’y avons trouvé aucune ligne nommant les compétences internes. Votre durée reste donc à fixer et à justifier.
Si vous retenez l’intérêt légitime, le référentiel rappelle qu’un salarié peut s’opposer pour des raisons tenant à sa situation particulière. Prévoyez la réponse : que devient le staffing d’une personne qui refuse de figurer dans la base ?
Client hors UE, CV et transfert
Envoyer un CV à un client situé hors UE, ou utiliser un outil dont les données y partent, constitue un sujet distinct. La CNIL demande une décision d’adéquation, des garanties appropriées telles que des règles internes ou des clauses types, ou, dans des situations particulières, une dérogation de l’article 49 du RGPD. Les pages lues encadrent ces transferts sans traiter explicitement de l’hébergement : demandez donc à votre éditeur où vont les données, et sur quel fondement.
Limites de cette page
Notre lecture, et non un avis juridique. Le référentiel est un outil d’aide, à adapter : un organisme qui s’en écarte doit pouvoir le justifier. Nous n’avons pas étudié le règlement européen sur l’IA pour cet usage. Faites relire votre note par votre délégué à la protection des données, ou par votre conseil si vous n’en avez pas. Aucun logiciel n’assure cette conformité à votre place.
Prochaine action
Écrivez une page avec ces six lignes avant tout chargement de données, et faites-la relire par votre délégué ou votre conseil. Si votre outil suggère ou évalue par algorithme, ajoutez la question de l’analyse d’impact avant de signer. Si un client ou un éditeur se trouve hors UE, documentez le transfert. Testez ensuite l’outil sur un compte d’essai, avec des données fictives.
Preuves et sources
Lu le 5 novembre 2026 : référentiel de la CNIL sur la gestion du personnel, adopté le 21 novembre 2019 et modifié le 23 mai 2022. Également lus : son référentiel de durées de conservation, publié le 2 avril 2026 et mis à jour le 20 mai 2026, et sa page sur les transferts hors UE.
Le type indique s’il s’agit d’un fait cité, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Il n’atteste pas une lecture. Consultez le statut, la date et les limites des sources, puis vérifiez tout document marqué à vérifier avant de vous y fier. Notre méthode
Fait cité. Le référentiel de la CNIL sur la gestion du personnel propose l’intérêt légitime pour la gestion des compétences professionnelles internes et la GPEC, et l’exécution du contrat pour la mobilité professionnelle, en demandant d’adapter ces indications à chaque organisme.
Périmètre : Référentiel adopté le 21/11/2019, modifié le 23/05/2022
Réserve : Ne vise pas nommément un outil de staffing.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel indique qu’il n’a pas vocation à encadrer les traitements de gestion RH impliquant des outils innovants tels que les traitements algorithmiques à des fins notamment de profilage, ni les traitements de contrôle individuel de l’activité des salariés.
Périmètre : Point 2, portée du référentiel
Réserve : Ne dit pas que ces traitements sont interdits.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel demande de déterminer la durée de conservation en amont du traitement, et de l’indiquer aux personnes concernées.
Périmètre : Point 7
Réserve : Ne fixe pas de durée pour une base de compétences.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel demande que les données ne soient accessibles qu’aux personnes habilitées, avec des habilitations documentées et des accès tracés.
Périmètre : Point 6
Réserve : Référentiel d’aide.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel demande d’informer les personnes dès la collecte, de préférence par écrit, et de vérifier une éventuelle obligation d’informer ou de consulter les instances représentatives.
Périmètre : Point 8
Réserve : L’obligation vis-à-vis des instances se vérifie selon la réglementation applicable.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel rappelle que le droit d’opposition peut s’exercer, pour des raisons tenant à la situation particulière de la personne, quand le traitement repose sur l’intérêt légitime.
Périmètre : Point 9
Réserve : Résumé.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Ce référentiel renvoie, pour l’analyse d’impact, à une liste comprenant les traitements établissant des profils de personnes physiques à des fins de gestion des ressources humaines, et rappelle que la réunion de deux des neuf critères du comité européen la rend obligatoire.
Périmètre : Point 11
Réserve : Application à un outil donné à examiner par le responsable de traitement.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Le référentiel des durées de conservation de la CNIL recommande jusqu’à deux ans après le dernier contact pour une CV-thèque de candidats non retenus.
Périmètre : Référentiel publié le 02/04/2026, mis à jour le 20/05/2026, ligne datée du 29/01/2026
Réserve : Recommandation limitée au vivier de candidats.
- CNIL : Référentiel – Les durées de conservation des données – Gestion des ressources humaines publié le 2 avril 2026, mis à jour le 20 mai 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Le texte lu du référentiel des durées de conservation ne contient pas de ligne nommant les compétences internes des salariés.
Périmètre : Recherche dans le texte du document
Réserve : Absence dans ce document : d’autres lignes peuvent s’appliquer par analogie.
- CNIL : Référentiel – Les durées de conservation des données – Gestion des ressources humaines publié le 2 avril 2026, mis à jour le 20 mai 2026. Lu le 5 novembre 2026. Document d’origine.
Fait cité. Un transfert de données hors de l’UE doit reposer sur une décision d’adéquation, des garanties appropriées telles que des BCR ou des clauses types, ou, dans les situations particulières, une dérogation de l’article 49 du RGPD.
Périmètre : Référentiel et page CNIL sur les transferts
Réserve : Ces pages ne traitent pas explicitement de l’hébergement.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Transférer des données hors de l'UE date de mise à jour non indiquée. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Rapprocher un outil de staffing de la gestion des compétences et de la mobilité du référentiel est un raisonnement, sous réserve de finalité, de proportionnalité et de documentation par le responsable de traitement.
Périmètre : Rapprochement éditorial
Réserve : Aucun texte lu ne nomme le staffing.
- CNIL : Référentiel relatif aux traitements aux fins de gestion du personnel adopté le 21/11/2019, modifié le 23/05/2022. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Référentiel – Les durées de conservation des données – Gestion des ressources humaines publié le 2 avril 2026, mis à jour le 20 mai 2026 ; lignes datées notamment du 29/01/2026. Lu le 5 novembre 2026. Document d’origine.