Check‑list pour sécuriser les données RH en entreprise

Cette page donne une check‑list pratique et un comparatif sur les critères à vérifier pour sécuriser les données RH dans une entreprise. Le tableau en tête synthétise les critères identiques ; chaque ligne renvoie aux documents éditeurs et aux DPA à consulter avant toute décision.

Tableau comparatif rapide

Méthodologie courte : les colonnes du tableau correspondent aux critères évalués. Les valeurs doivent être sourcées dans la documentation sécurité de l’éditeur, ses certificats et son DPA (consultés le 04/09/2026).

Méthodologie d’évaluation

Sources utilisées pour ce comparatif : documentation éditeur (pages sécurité, whitepapers), DPA et certificats publics, CNIL, EDPB, ISO. Les consultations référencées sont datées 04/09/2026.

Limites : nous n’avons pas réalisé de tests d’intrusion ni d’audits privés ici. Les données publiques des éditeurs sont prises comme point de départ. Toute décision doit reposer sur la lecture du DPA, des rapports d’audit fournis par l’éditeur et, si besoin, un audit indépendant.

Transparence méthodologique : chaque cellule chiffrée ou tout élément numérique du tableau doit renvoyer à une URL de documentation éditeur ou à un rapport daté. Si un éditeur ne publie pas RTO/RPO ou la provenance des clés, cela doit être indiqué comme lacune.

Critères évalués (check‑list explicite)

Pour chaque critère, indiquer la définition opérationnelle puis ce qu’il faut vérifier sur la fiche éditeur.

Chiffrement at‑rest — définition et vérifications. Vérifier algorithme annoncé, gestion des clés, présence d’un KMS géré par le client ou par l’éditeur, et mention de customer‑managed keys. Si l’éditeur ne communique pas le modèle de gestion des clés, inscrire la limite dans l’analyse.

Chiffrement in‑transit — définition et vérifications. Vérifier la version TLS supportée, la possibilité de désactiver TLS1.0/1.1, et les pratiques recommandées pour les connexions API. La mention « TLS 1.2+ » doit être sourcée sur la page sécurité.

RBAC & segregation des rôles. Vérifier si les rôles peuvent être personnalisés, si des permissions fines existent sur les objets RH sensibles, et si des modèles de délégation sont documentés.

MFA / SSO. Vérifier les protocoles supportés (SAML, OIDC), l’intégration AD/LDAP/SCIM pour le provisioning et les options de MFA proposées.

Journaux & traçabilité. Vérifier le niveau de journalisation, la durée de conservation publique, la possibilité d’exporter les logs et l’intégration SIEM. La CNIL recommande la journalisation des opérations ; vérifier la compatibilité avec ces pratiques.

Localisation des données & transferts hors UE. Vérifier le lieu d’hébergement, la présence de centres EU, et les mécanismes juridiques pour les transferts hors UE (SCC, BCR, décision d’adéquation). Toute déclaration d’hébergement doit être sourcée.

Contrats & DPA. Vérifier la présence d’un DPA public, la liste des sous‑traitants, les droits d’audit et les responsabilités en cas d’incident.

Pseudonymisation / anonymisation. Vérifier si l’éditeur offre des outils internes de pseudonymisation, les workflows proposés et si l’anonymisation est irréversible.

DLP / prévention fuite. Vérifier la couverture (endpoint, mail, cloud app connectors), les modes d’inspection et les possibilités d’intégration avec le parc existant.

Sauvegarde & restauration. Vérifier si l’éditeur publie RTO/RPO ; si non, noter l’absence. Vérifier si les backups sont chiffrés et la fréquence des sauvegardes.

Certifications & audits. Vérifier la présence d’ISO27001, SOC2, SecNumCloud ou autres certificats, et la date des audits publiés.

Gestion des droits RGPD. Vérifier les fonctionnalités facilitant l’exercice des droits (accès, rectification, suppression, export) et les APIs disponibles pour l’automatisation des réponses.

Onboarding / offboarding. Vérifier les APIs de provisioning, les délais annoncés pour la suppression des accès et les workflows d’onboarding.

Support & SLA. Vérifier les temps de réponse sécurité, les processus de notification en cas d’incident et les SLA de restauration.

Comparatif par solution

Chaque bloc ci‑dessous doit être complété par des liens vers la page sécurité de l’éditeur et son DPA. Les éléments de synthèse ci‑dessous indiquent ce qu’il faut chercher et documenter.

Workday

Fiche synthétique : type à préciser selon la documentation publique. Lien éditeur et DPA à insérer.

Évaluation critère par critère : pour chaque critère du tableau, indiquer la référence exacte sur la page sécurité ou dans le DPA. Si le DPA ne mentionne pas la gestion des clés ou la localisation UE, le noter comme blind spot.

Ce que l’éditeur ne dit pas : signaler ici les éléments non publiés. Exemples : tests de pénétration publics, preuves d’audits récents non accessibles.

Cas d’usage privilégié : indiquer le profil entreprise pour lequel la solution semble adaptée, en s’appuyant sur la documentation.

SAP SuccessFactors

Fiche synthétique : type à préciser. Lien éditeur et DPA à insérer.

Évaluation : reprendre les critères et pointer vers les pages sécurité et certificats. Noter les lacunes documentaires.

Ce que l’éditeur ne dit pas : noter les absences d’informations publiques sur RTO/RPO, gestion clés, etc.

Cas d’usage privilégié : à définir selon la documentation.

ADP

Fiche synthétique, évaluation et blind spots : même format. Lier DPA et documents sécurité.

Payfit

Fiche synthétique, évaluation et blind spots : même format. Lier DPA et documents sécurité.

Okta / OneLogin / Microsoft Entra (IAM)

Fiche synthétique : préciser protocole supporté (SAML/OIDC/SCIM) à partir des pages techniques. Pour l’IAM, vérifier les options de MFA, les intégrations et la gestion des sessions.

Ce que l’éditeur ne dit pas : noter les limitations publiques.

Zscaler / Symantec DLP (DLP)

Fiche synthétique : type DLP / sécurité réseau. Évaluer la couverture endpoint / cloud / mail à partir des fiches techniques.

Ce que l’éditeur ne dit pas : lister les fonctions non documentées publiquement.

Veeam / Acronis (Backup)

Fiche synthétique : backup & restauration. Vérifier chiffrement des backups, options de stockage, et déclarations publiques sur RTO/RPO.

Ce que l’éditeur ne dit pas : noter l’absence éventuelle de RTO/RPO publiés.

Comparatif technique (analyse transversale)

Synthèse des tendances observées sur la documentation publique : SaaS global implique vigilance sur les transferts hors UE et la DPA ; DLP endpoint et intégration cloud demandent investissements pour couvrir postes distants ; options on‑prem sont généralement proposées aux grands comptes. Chaque constat doit être sourcé sur pages CNIL/EDPB ou sur les pages éditeurs citées.

Points de vigilance CNIL & EDPB : journalisation des opérations, durée de conservation des logs, mesures de pseudonymisation adaptées au risque. Références CNIL et EDPB datées 04/09/2026 à consulter pour appliquer ces points.

Lequel pour quel usage — verdicts par profil

Profil 1 — PME française sans service sécurité : prioriser une solution SaaS hébergée en UE avec DPA clair, MFA et RBAC simples. Exemples figuratifs dans la documentation : Payfit, fournisseurs européens. Vérifier DPA et localisation avant engagement.

Profil 2 — ETI multi‑pays avec RH centralisée : prioriser HRIS avec contrôle de data residency et options de customer‑managed keys ou private cloud. Exemples figuratifs : Workday, SAP SuccessFactors. Confirmer par DPA et certificats.

Profil 3 — Grand compte / secteur sensible : prioriser déploiements on‑prem ou private cloud, certifications et audits indépendants, DLP complet et chiffrement maîtrisé côté client. Vérifier preuves d’audit et options de déploiement publiées.

Profil 4 — Start‑up remote‑first : prioriser un IAM robuste (SSO/MFA), intégrations DLP cloud app et workflows d’offboarding automatisés. Exemples figuratifs : Okta, OneLogin, Microsoft Entra. Vérifier pages techniques et accords contractuels.

Pour chaque profil : lisez le DPA, demandez les rapports d’audit et évaluez le compromis coût / complexité / délai de mise en œuvre avant toute décision.

Checklist téléchargeable / imprimable

• Vérifier présence d’un DPA public et lister les sous‑traitants.
• Confirmer localisation UE et mécanismes de transfert hors UE.
• Vérifier chiffrement at‑rest et in‑transit et la gestion des clés.
• Vérifier RBAC fin et options de provisioning (SCIM/AD).
• Vérifier MFA & SSO et protocols supportés.
• Vérifier journalisation, durée de conservation et export SIEM.
• Vérifier sauvegardes chiffrées et RTO/RPO publiés.
• Vérifier présence de certificats ISO/SOC2/SecNumCloud et dates d’audit.
• Vérifier fonctionnalités support des droits RGPD et APIs associées.
• Demander rapports d’audit et tests de pénétration récents.

Si une version imprimable est disponible sur la page lead V1, utiliser le lien fourni par le service lead. Sinon, copier la checklist ci‑dessus.

Sources & comment vérifier

Consulter en priorité :

• European Commission — Application of the GDPR — https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_en (consulté le 04/09/2026).
• CNIL — Guide de la sécurité des données personnelles (PDF, 2024) — https://www.cnil.fr/sites/default/files/2024-03/cnil_guide_securite_personnelle_2024.pdf (consulté le 04/09/2026).
• CNIL — Fiche « Sécurité : Tracer les opérations » — https://www.cnil.fr/fr/securite-tracer-les-operations (consulté le 04/09/2026).
• CNIL — Fiche pratiques chiffrement / cloud — https://www.cnil.fr/fr/node/164783 (consulté le 04/09/2026).
• CNIL — 10 conseils pour la sécurité de votre système d’information — https://www.cnil.fr/fr/10-conseils-pour-la-securite-de-votre-systeme-dinformation (consulté le 04/09/2026).
• EDPB — Guidelines on pseudonymisation (Jan 2025) — https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf (consulté le 04/09/2026).
• ISO — ISO 30439 Human resource management — Safe handling of data — https://www.iso.org/standard/iso:30439:en (consulté le 04/09/2026).
• Harmony HR — HRIS Security & Compliance Checklist — https://harmonyhr.org/blog/hr-cybersecurity-hr-data-security.html (consulté le 04/09/2026).
• Wikipedia — Data loss prevention software — https://en.wikipedia.org/wiki/Data_loss_prevention_software (consulté le 04/09/2026).