Les repères à distinguer
Un projet SIRH traite des données personnelles dans une architecture et un contrat précis. La protection des données doit être intégrée au choix, à la reprise et à l’exploitation, pas ajoutée uniquement à la fin sous forme de case à cocher.
Le référentiel RH de la CNIL encadre les traitements courants. Le choix du fournisseur doit aussi préciser les responsabilités, les sous-traitants et les mesures appliquées. Une localisation européenne ou une mention commerciale de conformité ne vérifie pas l’ensemble de ces éléments.
Organiser l’application dans votre contexte
Demandez la documentation contractuelle, les lieux de traitement, les modalités d’assistance aux demandes et les conditions de restitution. Décrivez les rôles et les données nécessaires dans le cahier des charges. Faites tester les accès et la reprise avec des données adaptées.
Un exemple de contrôle
Exemple : le prestataire remet un export en fin de contrat. Vérifiez les formats, le rattachement des documents et la possibilité d’interpréter les champs. Une archive téléchargeable mais inexploitable ne répond pas au même besoin qu’une restitution documentée.
Conserver une règle et une preuve vérifiables
Identifiez la source applicable, sa date et la personne responsable de sa vérification. Le paramétrage d’un outil doit être rapproché de ce cadre, puis contrôlé sur des cas représentatifs. Les exemples de cette page sont pédagogiques ; ils ne remplacent pas l’examen de votre situation.
Pour poursuivre : Cahier des charges SIRH · Migration SIRH.
