Note sur les bases légales des traitements RH · Dossier 2003-00002
CABINET VERNIER & ASSOCIÉS
Département Droit du numérique et protection des données
NOTE D'ANALYSE
Dossier n° 2003-00002 · Conformité RGPD · Contrôle CNIL
Client : Nexalis Technologies SAS
Rédacteur : Camille Aubry, sous la supervision de Julien Roche, associé
Date : 25 août 2025
Classement : Analyse
Objet : Bases légales des traitements de données à caractère personnel mis en œuvre dans le cadre des solutions RH éditées par Nexalis Technologies SAS
I. Contexte et objet de la note
Notre cliente, Nexalis Technologies SAS, éditeur de logiciels de gestion des ressources humaines, fait l'objet d'un contrôle de la CNIL, notre interlocutrice étant Mme Laure Fontanel. Le dossier a été ouvert au cabinet le 10 août 2025. Le risque financier identifié à ce stade s'élève à 24 000 EUR. La présente note a pour objet de qualifier les bases légales applicables aux traitements RH, au sens de l'article 6 du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée.
II. Qualification préalable des rôles
Il convient de distinguer les traitements pour lesquels Nexalis agit en qualité de sous-traitant (article 28 RGPD) pour le compte de ses clients employeurs, et ceux pour lesquels elle est responsable de traitement (article 4.7 RGPD), notamment la gestion de son propre personnel et l'amélioration de ses produits. Cette distinction conditionne l'analyse des bases légales, lesquelles ne concernent que les traitements dont Nexalis est responsable.
III. Analyse des bases légales par finalité
1. Gestion administrative du personnel et paie. La base légale appropriée est l'exécution du contrat de travail (article 6.1.b RGPD) pour les opérations strictement nécessaires à la relation contractuelle, et le respect d'obligations légales (article 6.1.c) pour les déclarations sociales et fiscales, en application notamment des articles L.3243-2 et R.3243-1 du code du travail (bulletin de paie) et L.133-5-3 du code de la sécurité sociale (DSN).
2. Recrutement. Les traitements de candidatures reposent sur les mesures précontractuelles (article 6.1.b). Les articles L.1221-6 à L.1221-9 du code du travail imposent que les informations demandées présentent un lien direct et nécessaire avec l'emploi proposé et que le candidat soit informé des dispositifs de collecte.
3. Contrôle de l'activité et outils informatiques. La base légale mobilisable est l'intérêt légitime (article 6.1.f), sous réserve du test de proportionnalité, de l'information préalable des salariés (article L.1222-4 du code du travail) et de la consultation du comité social et économique (article L.2312-38 du code du travail). Le principe de proportionnalité posé par l'article L.1121-1 du code du travail encadre toute restriction aux libertés individuelles.
4. Fonctionnalités analytiques et amélioration des logiciels. L'intérêt légitime peut être retenu à condition d'une anonymisation ou pseudonymisation robuste. À défaut, le consentement (article 6.1.a) serait requis, étant rappelé que le consentement du salarié est présumé non libre en raison du lien de subordination (lignes directrices CEPD 05/2020, délibérations CNIL constantes).
5. Données sensibles. Tout traitement relevant de l'article 9 RGPD (données de santé, appartenance syndicale) doit être fondé sur l'article 9.2.b, à savoir les obligations en matière de droit du travail et de protection sociale.
IV. Recommandations
Nous préconisons : (i) la mise à jour du registre des traitements (article 30 RGPD) avec mention explicite des bases légales par