RH & RGPD

Détruire un dossier du personnel : quand est-ce obligatoire, comment faire et qu'exige le RGPD ?

5 juin 2026 · 11 min de lecture · DeSnipperaar

Chaque entreprise qui emploie du personnel, ou en a employé, repose sur une pile de données privées papier. Contrats de travail, fiches de paie, entretiens d'évaluation, copies de documents d'identité, déclarations de maladie, chacun est un document contenant des données personnelles auxquelles le RGPD attache des règles strictes. Non seulement sur la durée pendant laquelle vous pouvez les conserver, mais aussi sur la façon dont vous devez les détruire une fois le délai écoulé. Et ce dernier point est rarement expliqué.

Car c'est là que cela dérape. Les organisations ont une idée raisonnable du moment où certains dossiers peuvent partir à la poubelle. Mais ensuite ? Un carton de vieux dossiers du personnel qui finit simplement avec les vieux papiers est une fuite de données. Et c'est une infraction à signaler à l'autorité néerlandaise de protection des données (AP).

Ce guide vous donne une réponse complète. Quand devez-vous détruire, comment, quel niveau de sécurité est exigé et quand vaut-il mieux externaliser plutôt que de déchiqueter vous-même.

Quand pouvez-vous et devez-vous détruire un dossier du personnel ?

L'obligation de conservation des données du personnel n'est pas uniforme, car un dossier se compose de dizaines de catégories de documents, chacune avec son propre délai. Les plus pertinents :

Document	Délai de conservation	Base légale
Contrat de travail, données de paie	7 ans après la fin du contrat	Art. 52 AWR (conservation fiscale)
Copie du document d'identité	5 ans après la fin du contrat	Loi sur l'impôt sur les salaires / Wwft
Dossier de médecine du travail / données d'absence	2 ans après le départ (via le service de santé au travail)	Loi Poortwachter
Entretiens d'évaluation, correspondance	2 ans après le départ	Limitation de la conservation RGPD
CV / données de candidature (refusée)	4 semaines après le refus (max. 6 mois avec consentement)	Art. 5 RGPD
Copie d'identité pour la Wwft (financier)	5 ans	Art. 33 Wwft
Dossier de médecine du travail avec exposition médicale	20 ans après la fin de la fonction	Loi sur les conditions de travail

La règle principale : une fois le délai de conservation maximal écoulé, vous pouvez non seulement détruire, vous devez le faire. Voir aussi notre article conservation fiscale : 7 ans et après ? pour l'angle fiscal spécifique. Le terme RGPD pour cela est l'obligation de détruire, qui découle du principe de limitation de la conservation (art. 5, par. 1, point e du RGPD). Conserver des données après la fin du délai, même si vous « ne les utilisez de toute façon plus », est une infraction.

En pratique, cela signifie planifier chaque année un moment de destruction dans votre agenda, de préférence juste après votre clôture annuelle ou à la fin d'un trimestre. Reliez-le aux dates de départ de vos collaborateurs.

Avec quelle rigueur devez-vous détruire un dossier du personnel ?

C'est la partie que la plupart des employeurs négligent. Déchirer un document et le jeter à la poubelle n'est pas une destruction. Le jeter dans le conteneur à papier à côté du copieur non plus. Même un broyeur de bureau basique est dans bien des cas insuffisant.

Le RGPD exige à l'article 32 des « mesures techniques et organisationnelles appropriées » pour protéger les données personnelles. Cette obligation ne s'arrête pas au stockage, elle dure jusqu'au moment où le document est physiquement illisible. En pratique, vous pouvez vous appuyer ici sur la norme industrielle européenne DIN 66399, qui définit des niveaux de sécurité pour la destruction du papier :

• P-3 : coupe en bandes, déchiquette environ 2 × 200 mm. Insuffisant pour des données personnelles.
• P-4 : coupe croisée, environ 4 × 40 mm. Acceptable pour des documents de bureau ordinaires.
• P-5 : micro-coupe, environ 2 × 15 mm. Exigé pour les catégories particulières de données personnelles.
• P-6 / P-7 : pour les documents gouvernementaux et sensibles à la confidentialité.

Pour les dossiers du personnel, qui contiennent presque toujours des catégories particulières de données personnelles (données médicales du dossier de médecine du travail, numéros BSN sur les fiches de paie, copies de documents d'identité), c'est au moins le niveau DIN 66399 P-5 qui s'applique en pratique. Un broyeur de bureau bon marché n'atteint généralement pas ce niveau.

Détruire vous-même, quand cela marche et quand cela ne marche pas

Pour de petits volumes, une poignée de dossiers par an, vous pouvez envisager de détruire vous-même. Mais alors trois conditions s'appliquent :

1. La machine atteint au moins le P-4, de préférence le P-5

Vérifiez la plaque signalétique ou l'emballage. Les appareils bon marché à coupe en bandes pour un usage domestique sont généralement P-2 ou P-3.

2. Vous notez qui a détruit quoi, et quand

Le RGPD demande non seulement que vous détruisiez, mais aussi que vous puissiez démontrer que vous avez détruit. Sans registre ni document interne, cette preuve n'existe pas. Lors d'une enquête de l'AP, vous êtes alors démuni.

3. Vous n'impliquez pas de catégories particulières de données personnelles

Dès que le dossier contient des informations médicales, même une simple date de maladie en relève si elle est rattachable à une personne, les risques montent fortement. Un dossier de médecine du travail avec historique d'absence relève d'un processus de destruction au niveau P-5 avec une chaîne de preuve démontrable.

Ce qu'il faut attendre de l'externalisation

Dès que vous optez pour une destruction professionnelle, il y a quatre choses à toujours demander :

1. Transport scellé

Votre matériel doit voyager de votre bureau au site de destruction dans un conteneur ou une boîte fermés. Un camion non sécurisé, avec des boîtes mélangées entre plusieurs clients, n'est pas acceptable pour des catégories particulières de données personnelles.

2. Destruction au niveau DIN P-5

Renseignez-vous explicitement sur le niveau de certification. De nombreux prestataires utilisent par défaut le P-4 (moins cher). Pour les dossiers du personnel avec données médicales, numéros BSN et copies d'identité, il vous faut le P-5.

3. Certificat de destruction

Après chaque commande, vous devez recevoir un certificat de destruction indiquant la date, la quantité (kilos ou unités), la norme DIN appliquée et le numéro de commande. Conservez ce certificat au moins 5 ans dans votre dossier RGPD. C'est votre preuve si l'AP pose un jour des questions.

4. Accord de traitement

Vous faites appel à un sous-traitant. Cela signifie que vous devez conclure un accord de traitement avant de remettre la première boîte. Sans accord de traitement signé, vous êtes vous-même en infraction.

Dossiers du personnel numériques

De nombreux employeurs ont désormais numérisé leurs dossiers du personnel. Très bien. Mais les dossiers numériques doivent eux aussi être détruits de façon démontrable à l'expiration du délai.

Supprimer simplement un fichier et vider la corbeille ne suffit pas. Les données restent alors présentes sur le disque dur. Ce n'est que lorsque vous écrasez le disque (pour les HDD), ou pour les SSD, dont le mécanisme de stockage est différent, que vous détruisez physiquement le disque, que la destruction devient irréversible.

Pour en savoir plus sur les limites de l'effacement numérique, lisez notre article détruire les SSD : pourquoi l'écrasement ne fonctionne pas et la différence entre effacer et détruire dans effacer contre détruire un disque dur.

Détruire un dossier du personnel en 6 étapes

1. Inventoriez vos dossiers. Dressez la liste de tous les (anciens) collaborateurs et de leur date d'entrée. Calculez par document le délai qui s'applique.
2. Sélectionnez ce qui peut être détruit. Utilisez le tableau en haut de cet article comme référence. Un doute ? Demandez à votre gestionnaire de paie ou à votre conseiller RH.
3. Choisissez votre méthode. Petit volume sans catégories particulières : broyeur de bureau P-5. Volume plus important ou contenu sensible : externalisez.
4. Signez un accord de traitement avec votre prestataire de destruction avant la première commande.
5. Effectuez la destruction et recevez un certificat.
6. Consignez-le. Notez dans votre registre de confidentialité (le registre des traitements, exigé par l'art. 30 du RGPD) quand, quoi et comment la destruction a eu lieu.

Questions fréquentes

Puis-je simplement jeter un dossier du personnel dans le conteneur à papier ?

Non. Les dossiers du personnel contiennent des données personnelles et doivent être détruits de façon confidentielle. Les jeter sans déchiqueter dans le conteneur à papier constitue une fuite de données que vous êtes tenu de signaler à l'autorité néerlandaise de protection des données.

Quel niveau DIN est exigé pour les dossiers du personnel ?

En pratique au moins P-4, mais pour les dossiers contenant des numéros BSN, des copies de documents d'identité ou des données médicales, le P-5 est recommandé et exigé selon une lecture stricte du RGPD.

Comment prouver que j'ai détruit le dossier du personnel ?

Avec un certificat de destruction délivré par un prestataire de destruction certifié, ou avec un registre interne (date, nom de la personne qui détruit, quantité, niveau DIN) si vous le détruisez vous-même.

Dois-je informer le collaborateur lorsque je détruis son dossier ?

Ce n'est pas légalement obligatoire, mais c'est une bonne pratique qui renforce la relation de confiance. Certaines conventions collectives l'imposent.

Que faire si un ancien collaborateur demande de détruire son dossier avant la fin du délai de conservation ?

Vous ne pouvez accéder à la demande que pour les données sans obligation légale de conservation. Vous devez conserver les données fiscales et de sécurité sociale, même si le collaborateur demande le contraire.

Puis-je garder un vieux dossier du personnel plus longtemps par sécurité ?

Non, sauf raison démontrable (procès en cours, enquête de l'AP). « Par sécurité » n'est pas une base RGPD.

Y a-t-il des conséquences si j'oublie de détruire ?

Oui. La conservation inutile de données personnelles est une infraction au RGPD pour laquelle l'AP peut infliger une amende. Vous risquez aussi une fuite de données si les données tombent involontairement entre de mauvaises mains.

Conclusion

Détruire les dossiers du personnel n'est pas une question administrative secondaire, c'est une obligation légale avec des risques directs en matière de vie privée et de responsabilité. Le délai de conservation est le point de départ, l'obligation de détruire est la ligne d'arrivée. Utilisez le tableau et le plan étape par étape de cet article comme base de votre propre cycle de destruction annuel.

Vous avez de plus gros volumes, ou vos dossiers contiennent des données médicales ou des copies d'identité ? Alors l'externalisation auprès d'un prestataire certifié est le choix le plus solide, avec un accord de traitement et un certificat.

---

Vous voulez savoir combien coûte la destruction de vos dossiers du personnel ? Appelez-nous ou demandez un devis via desnipperaar.nl. En 5 minutes, vous avez un prix fixe. Pas de surprises, pas de contrat.