À quoi sert la clause RGPD du contrat de travail
L’obligation n’est pas optionnelle : le RGPD impose d’informer la personne concernée au moment où ses données sont collectées. Insérer cette information dans le contrat de travail répond à cette exigence de manière lisible et datée, plutôt que de la disperser dans des documents annexes que le salarié ne consulte pas.
Cette clause ne doit pas être confondue avec la clause de protection des données que l’on rencontre dans les contrats entre entreprises. Cette dernière organise les rapports entre responsable de traitement et sous-traitant, autour de l’article 28 du RGPD. La clause du contrat de travail, elle, poursuit un tout autre but : elle informe une personne physique (le salarié) du traitement de ses propres données. Persona différent, finalité différente, régime différent.
Son rôle est double : assurer la conformité de l’employeur, et donner au salarié une information claire sur ce que devient sa donnée et sur les droits qu’il peut exercer.
Exemple de rédaction commenté
Article X. Protection des données personnelles. Les données personnelles du Salarié sont traitées par l’Employeur, responsable de traitement, aux fins de la gestion de la relation de travail (administration du personnel, paie, respect des obligations légales et réglementaires). Ces traitements reposent sur l’exécution du contrat de travail et sur les obligations légales incombant à l’Employeur. Les données sont conservées pendant la durée de la relation de travail puis selon les durées légales applicables. Le Salarié dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, qu’il peut exercer auprès de [contact], ainsi que du droit d’introduire une réclamation auprès de la CNIL.
Chaque élément de cette rédaction remplit une exigence précise.
L’identification de l’Employeur comme responsable de traitement fixe qui répond du traitement. Les finalités (administration, paie, obligations légales) délimitent l’usage autorisé des données ; un usage non mentionné n’est pas couvert.
La base légale est le point le plus sensible. La rédaction s’appuie ici sur l’exécution du contrat et sur les obligations légales de l’employeur, et non sur le consentement du salarié, pour une raison de fond développée plus bas.
La durée de conservation et l’énumération des droits du salarié, assortie de la mention de la CNIL, complètent l’information exigée par les textes.
Ce que dit le droit
L’obligation d’information trouve son fondement dans le Règlement général sur la protection des données (Règlement UE 2016/679, dit RGPD) et dans la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
L’article 13 du RGPD impose au responsable de traitement de fournir à la personne concernée, au moment de la collecte, une série d’informations : identité du responsable, finalités et base juridique du traitement, destinataires, durée de conservation et droits de la personne. La clause du contrat de travail est l’un des supports de cette information.
L’article 6 du RGPD énumère les bases légales possibles. Pour le traitement des données du salarié, deux d’entre elles s’appliquent naturellement : l’exécution du contrat auquel la personne concernée est partie, et le respect d’une obligation légale à laquelle l’employeur est soumis. C’est sur ces bases que la clause doit s’appuyer.
Un point mérite une attention particulière : le consentement du salarié n’est en général pas une base légale appropriée dans la relation de travail. Le RGPD exige un consentement libre, or le lien de subordination qui caractérise le contrat de travail fait obstacle à cette liberté : un salarié n’est pas en situation de refuser sans crainte de conséquence. Fonder le traitement sur le consentement expose donc l’employeur à voir cette base contestée. La clause privilégie pour cette raison l’exécution du contrat et l’obligation légale.
Enfin, la clause ne suffit pas à elle seule : elle s’inscrit dans un dispositif plus large : registre des traitements, politique de confidentialité à destination du personnel, information sur les dispositifs de contrôle éventuels. La clause informe ; elle ne remplace pas la conformité d’ensemble.
Les erreurs fréquentes
Fonder le traitement sur le consentement du salarié. Le lien de subordination fragilise cette base ; l’exécution du contrat et l’obligation légale sont plus solides.
Traiter l’information comme facultative. L’obligation d’informer découle directement du RGPD ; son absence est un manquement, indépendamment de toute plainte.
Confondre cette clause avec la clause de sous-traitance des données. L’une informe le salarié, l’autre organise les rapports entre entreprises autour de l’article 28. Les deux ne se substituent pas.
Omettre les droits et la voie de réclamation. L’énumération des droits du salarié et la mention de la CNIL font partie de l’information exigée.
Laisser la clause se désynchroniser de la réalité. Si les finalités évoluent (nouvel outil, nouveau traitement), l’information doit suivre, faute de quoi la clause devient inexacte.
Points de vigilance : côté employeur, côté salarié
Côté employeur, l’enjeu est la cohérence : l’information donnée dans le contrat doit correspondre exactement aux traitements réellement mis en œuvre et consignés dans le registre. Une clause générique qui ne reflète pas la pratique n’apporte pas la conformité recherchée.
Côté salarié, la clause est un point de repère : elle indique quelles données sont traitées, à quelles fins, et comment exercer ses droits. Un salarié attentif y vérifie que ses droits sont bien mentionnés et que le point de contact est identifiable.
Le bon équilibre est celui d’une clause suffisamment précise pour informer réellement, sans devenir un document technique illisible : l’information doit rester accessible à son destinataire.
Les contrats qui contiennent cette clause, et les clauses voisines
Cette clause figure dans les contrats de travail : CDI cadre, CDI non-cadre et contrat à temps partiel. Elle s’articule avec la clause de protection des données des contrats B2B, qui en est le pendant entre entreprises, avec la clause de confidentialité et avec la clause de notification de violation de données. Pour le versant fournisseurs de la conformité, le guide mettre ses contrats fournisseurs en conformité RGPD complète cette approche.
Vérifier votre clause avec PactAI
Vous rédigez ou relisez une clause de protection des données dans un contrat de travail ? PactAI vérifie que l’information est complète (finalités, base légale, droits, CNIL) et signale les points laissés au silence. Scorer cette clause avec PactAI
Information générale à jour du droit en vigueur, ne constitue pas un conseil juridique. Vérifié par un juriste le 24 juillet 2026.
Les contrats qui contiennent cette clause
Modèles prêts à l'emploi dans lesquels cette clause figure.
Clauses voisines
Questions fréquentes
La clause RGPD est-elle obligatoire dans un contrat de travail ?
L'obligation d'informer le salarié du traitement de ses données découle du RGPD. La clause est le support le plus lisible de cette information, même si celle-ci peut aussi figurer dans un document annexe porté à la connaissance du salarié.
Faut-il le consentement du salarié pour traiter ses données ?
En général non, et c'est même déconseillé comme base principale : le lien de subordination fait obstacle à un consentement libre. Le traitement repose plutôt sur l'exécution du contrat et sur les obligations légales de l'employeur.
Quelle différence avec la clause RGPD des contrats entre entreprises ?
La clause du contrat de travail informe une personne physique de l'usage de ses données. La clause de protection des données des contrats B2B organise, elle, les rapports entre responsable de traitement et sous-traitant.
Cette clause suffit-elle à la conformité RGPD de l'entreprise ?
Non. Elle remplit l'obligation d'information dans le contrat, mais s'inscrit dans un dispositif plus large : registre des traitements, politique de confidentialité, sécurité des données.
Dans la même famille
Sur le même thème
D'autres pages du territoire proches de celle-ci.