Données des salariés et RGPD : profils, signatures et cartes
Une signature email ou une carte de visite numérique publie des données personnelles : nom, fonction, téléphone, parfois photo. Pour ces données des salariés, le RGPD n'interdit rien, mais impose quelques règles. Voici un point clair et pratique pour l'employeur.
Quand une entreprise équipe ses collaborateurs de signatures email harmonisées ou de cartes de visite numériques, elle traite des données personnelles : le nom et la fonction de chacun, ses coordonnées, parfois sa photo. Et ces données ne restent pas en interne : elles sont publiées, envoyées, partagées avec des clients.
Le RGPD ne l'interdit pas, bien au contraire : c'est un usage normal de la vie de l'entreprise. Il demande simplement de le faire avec méthode. Cet article fait le point, sans jargon. Il ne remplace pas l'avis de votre délégué à la protection des données ou de votre conseil.
Données des salariés et RGPD : ce qui est concerné
Une signature ou une carte de visite numérique contient en général :
- l'identité : prénom, nom, photo éventuelle ;
- la vie professionnelle : fonction, service, établissement ;
- les coordonnées : email professionnel, ligne directe, mobile professionnel ;
- des liens : profil LinkedIn, réseaux de l'entreprise.
Ce sont des données personnelles au sens du RGPD, même si elles sont professionnelles. Les règles s'appliquent donc, avec quelques nuances selon la donnée.
Sur quelle base légale publier ces données
Le RGPD (article 6) demande que chaque traitement repose sur une base légale. Pour les coordonnées professionnelles, l'employeur s'appuie en général sur l'exécution du contrat de travail ou sur son intérêt légitime : un commercial doit pouvoir être joint par ses clients, c'est le cœur de sa fonction.
Deux cas méritent plus d'attention :
- La photo. Elle relève aussi du droit à l'image. En pratique, la diffusion du portrait d'un salarié sur un support public suppose son accord, donné librement et pour des usages précis. Un salarié doit pouvoir refuser sans conséquence, et retirer son accord plus tard.
- Le numéro de mobile personnel. Il n'a pas sa place sur un support professionnel, sauf demande expresse de la personne.
La CNIL a publié un référentiel relatif à la gestion des ressources humaines, avec une foire aux questions, qui détaille pour chaque finalité courante les bases légales envisageables : il est accessible depuis sa page La gestion des ressources humaines.
Les principes à respecter au quotidien
L'article 5 du RGPD pose quelques principes qui, appliqués aux signatures et cartes, deviennent très concrets.
- Minimisation : ne publiez que ce qui sert. Une fonction et une ligne directe, oui ; une date de naissance, non.
- Exactitude : une donnée publiée doit être à jour. Une signature avec un ancien titre ou un numéro réattribué à quelqu'un d'autre est un vrai problème, pas seulement une question d'image.
- Limitation de la conservation : au départ d'un collaborateur, sa page de profil, sa carte et sa signature doivent être désactivées. La CNIL a publié en 2026 un référentiel des durées de conservation des données RH.
- Sécurité (article 32) : l'accès à l'outil qui gère ces données doit être protégé, et chacun ne doit pouvoir modifier que ce qui le concerne.
Informer les collaborateurs
L'article 13 du RGPD impose d'informer les personnes. Concrètement, prévenez vos collaborateurs :
- de ce qui sera publié, et où (signature, page en ligne, carte Wallet) ;
- de la raison de cette publication ;
- de l'outil utilisé et de l'endroit où sont hébergées les données ;
- de leurs droits : accès, rectification, opposition le cas échéant, et retrait de l'accord pour la photo.
Une note interne, une mention dans la charte informatique ou dans le livret d'accueil suffit souvent. Pensez à l'inscrire au registre des traitements (article 30).
Choisir et encadrer le prestataire
Si un outil externe gère les signatures ou les cartes, ce prestataire est en général votre sous-traitant au sens de l'article 28 du RGPD. Vous restez responsable du traitement. Vérifiez :
- qu'un contrat ou des conditions encadrent le traitement (objet, durée, sécurité, sort des données à la fin) ;
- la liste de ses propres sous-traitants (hébergement, envoi d'emails, paiement) ;
- l'endroit où sont hébergées les données, et si des transferts hors de l'Union européenne ont lieu ;
- la possibilité de récupérer et supprimer les données à la fin du contrat.
La question de l'hébergement mérite à elle seule un article : voir pourquoi un hébergement souverain.
Et les données des visiteurs ?
Une carte de visite numérique peut aussi collecter des données : statistiques de consultation, coordonnées laissées par un prospect. Deux points de vigilance :
- La mesure d'audience : les traceurs déposés sur le téléphone du visiteur demandent en principe son consentement, sauf mesure d'audience strictement encadrée que la CNIL exempte.
- Les coordonnées laissées par les prospects : elles doivent être collectées avec une information claire, et l'entreprise doit pouvoir prouver ce que la personne a accepté.
Les erreurs fréquentes
- Publier la photo sans demander : c'est pourtant l'accord le plus simple à recueillir, au moment de la prise de vue.
- Oublier les départs : une page de profil encore en ligne six mois après un départ, avec un numéro réattribué.
- Laisser chacun choisir son outil : des données de salariés dispersées dans plusieurs services gratuits, sans contrat ni visibilité.
- Ne rien dire aux équipes : l'information est une obligation, et un gage d'adhésion.
Ce que fait Profiles Flow
Profiles Flow a été pensé avec ces règles en tête, sans prétendre faire votre conformité à votre place.
- Rôles distincts : un Utilisateur ne voit et ne modifie que sa propre fiche ; un Éditeur gère les fiches de la société ; un Administrateur gère en plus la société, les modules et les rôles. Un collaborateur peut aussi avoir sa carte sans aucun accès à l'interface.
- Connexion sans mot de passe, par code à usage unique envoyé par email ou par clé d'accès.
- Départs : l'interrupteur « Activé » de la fiche désactive le profil ; avec la synchronisation Active Directory, les cartes des personnes parties sont désactivées automatiquement, jamais supprimées sans vous.
- Statistiques sans cookie : aucun cookie, aucune adresse IP stockée, une empreinte qui change chaque jour. Pas de bandeau à afficher.
- Leads : le texte de consentement accepté par le prospect est conservé tel qu'il a été présenté, avec la date et l'heure d'acceptation.
Côté contrat, votre société est responsable de traitement pour les profils, les utilisateurs et les leads ; Profiles Flow est sous-traitant au sens de l'article 28, et publie la liste datée de ses sous-traitants. Les données sont récupérables sur demande pendant 30 jours après la fin de l'abonnement, puis supprimées. L'hébergement est détaillé sur la page cloud souverain.
Questions fréquentes
Faut-il le consentement du salarié pour publier ses coordonnées professionnelles ?
En général non : l'employeur s'appuie sur le contrat de travail ou son intérêt légitime, à condition de limiter les données au nécessaire et d'informer le salarié. La photo fait exception, car elle relève aussi du droit à l'image.
Un salarié peut-il refuser que sa photo apparaisse dans sa signature ?
Oui. La diffusion de son image suppose son accord, et il peut le retirer. Prévoyez des supports qui restent corrects sans photo.
Que faire des données d'un collaborateur qui quitte l'entreprise ?
Désactivez sans attendre sa page de profil, sa carte et sa signature, puis appliquez vos durées de conservation habituelles aux données qui doivent être gardées.
L'éditeur d'un outil de signatures est-il sous-traitant ?
Dans la plupart des cas, oui : il traite les données pour le compte de l'entreprise, qui reste responsable de traitement. Un contrat conforme à l'article 28 du RGPD doit encadrer la relation.
Envie de voir comment vos données y sont organisées ? Profiles Flow est en essai gratuit 30 jours, sans carte bancaire.
