Outplacement et RGPD : transmettre les données du salarié au prestataire

Outplacement et RGPD : transmettre des données, c’est déjà les traiter

Transmettre au prestataire d’outplacement le nom, la fonction ou les coordonnées d’un salarié qui part est un traitement de données personnelles. L’article 4 du règlement général sur la protection des données (RGPD), adopté en 2016, range en effet « la communication par transmission » parmi les traitements. Vous en êtes le responsable, puisque vous décidez de l’accompagnement et des données qui partent.

Aucun texte propre à l’outplacement ne s’y ajoute. Selon des recherches dans Légifrance du 3 novembre 2026, aucun code en vigueur n’emploie le mot « outplacement », alors que « bilan de compétences » apparaît dans cinq codes. Aucune délibération de la Commission nationale de l’informatique et des libertés (CNIL) publiée sur ce site ne le cite. Dans Judilibre, aucune décision trouvée, de la Cour de cassation comme des cours d’appel, ne porte sur les données confiées à un prestataire d’outplacement.

Vous appliquez donc les règles générales, que la loi n° 78-17 du 6 janvier 1978, dite Informatique et libertés, résume à son article 4 : un traitement licite et loyal, des finalités déterminées, des données limitées au nécessaire, conservées le temps utile et protégées par une sécurité appropriée.

Si vous voulez que ce départ s’accompagne d’un outplacement, la clause qui l’organise peut dire aussi quelles données partent et vers qui : voyez comment intégrer un outplacement au départ. Le contenu de l’accompagnement lui-même est décrit avec la définition de l’outplacement.

Responsable de traitement ou sous-traitant : quel rôle pour le prestataire ?

Le prestataire d’outplacement est votre sous-traitant quand il traite les données pour votre compte. Il est responsable de traitement quand il décide lui-même du but et des moyens, selon les définitions de l’article 4 du RGPD. La CNIL précise, dans une page du 6 juin 2025, que la qualification « ne dépend pas d’un choix contractuel mais des faits ». Pour l’outplacement, aucun texte ni aucune recommandation de la CNIL ne tranche la question.

Une lecture prudente distingue deux temps. Pour la mise en route et le suivi administratif, c’est vous qui fixez le but et l’essentiel des moyens : qui est accompagné, quelles données partent, pour combien de temps, vers quels destinataires. La CNIL range justement ces choix parmi les « moyens essentiels », qui reviennent au responsable. Sur cette part, le prestataire agit comme votre sous-traitant.

L’accompagnement lui-même suit une autre logique. La méthode, les exercices, les notes de séance et le projet de la personne se décident entre elle et le prestataire, sans vous. Sur ces données, le prestataire se comporte en responsable de traitement, avec ses propres obligations d’information, de conservation et de sécurité. C’est une lecture des critères de la CNIL : vérifiez-la avec le prestataire et, s’il existe, avec votre délégué à la protection des données.

Le cas le plus proche que la CNIL ait décrit, seul exemple du travail parmi ses cas sectoriels, est le recrutement, à prendre par analogie. Dans son guide du 30 janvier 2023, elle admet qu’un cabinet de recrutement soit responsable de traitement pour le vivier qu’il constitue au titre de son activité habituelle. Il pourrait être sous-traitant pour une base montée spécialement pour un client, à partir de paramètres qu’il ne traite pas d’habitude : une « hypothèse très exceptionnelle en pratique ». Le RGPD ajoute qu’un sous-traitant qui détermine les finalités et les moyens est considéré comme responsable pour ce traitement (article 28, paragraphe 10).

Documentez votre analyse, comme la CNIL le recommande, et reportez-la dans le contrat. Lors d’un contrôle, la CNIL n’est pas liée par la qualification retenue entre les parties et peut la requalifier.

Sur quelle base légale transmettre les données du salarié ?

Une transmission au prestataire n’est licite que si elle repose sur l’une des six bases de l’article 6 du RGPD, reprises à l’article 5 de la loi Informatique et libertés. Pour un outplacement, à la lecture du texte et des pages de la CNIL, deux bases se prêtent au cas : l’exécution d’un engagement pris envers la personne, quand elle a accepté l’accompagnement, et l’intérêt légitime de l’employeur. Le référentiel de la CNIL sur la gestion du personnel, adopté en 2019, écarte le seul contrat que vous signez avec le prestataire.

L’engagement pris envers la personne

Le référentiel de 2019 l’écrit en toutes lettres. Un contrat conclu entre l’employeur et un prestataire « ne peut pas en tant que tel constituer la base légale » d’un traitement qui vise une personne qui n’y est pas partie. La base « contrat » suppose, selon la CNIL dans sa page du 21 février 2020, que la personne et l’organisme qui traite ses données soient liés par une relation contractuelle. Le traitement doit aussi être « objectivement nécessaire » à son exécution.

Quand l’outplacement figure dans la convention de rupture, dans une transaction ou dans un courrier que la personne a accepté, vous vous êtes engagé envers elle. Transmettre au prestataire ce qui lui permet de démarrer sert alors à tenir cet engagement. C’est une lecture de l’article 6, qui ne couvre que le nécessaire. La CNIL prévient d’ailleurs qu’un traitement ne devient pas nécessaire du seul fait qu’une clause le mentionne.

L’intérêt légitime de l’employeur

L’intérêt légitime peut aussi fonder la transmission, à condition de peser votre intérêt contre les droits de la personne et ses « attentes raisonnables ». Dans sa page du 29 novembre 2019, la CNIL résume l’exigence : le traitement ne doit pas surprendre les personnes. Si vous prévenez le salarié et lui dites quel prestataire recevra quoi, il n’est pas surpris ; s’il reçoit l’appel d’un inconnu, il l’est. Sur cette base, la personne peut s’opposer au traitement pour des raisons tenant à sa situation particulière, selon l’article 21 du RGPD et l’article 56 de la loi Informatique et libertés.

Le consentement, une base fragile au travail

Le consentement reste possible, mais il tient mal au travail. Selon le référentiel de 2019, les salariés ne sont que « très rarement » en mesure de donner, de refuser ou de retirer librement leur consentement, du fait de leur dépendance envers l’employeur. Il se retire à tout moment, selon l’article 7 du RGPD.

Un nouveau but pour des données collectées par les ressources humaines

Le nom, l’adresse ou le parcours du salarié ont été collectés pour gérer le personnel ; les transmettre pour un outplacement leur donne un nouveau but. L’article 6, paragraphe 4, du RGPD demande de vérifier que ce but reste compatible avec le premier. Il cite entre autres le lien entre les deux, le contexte de la collecte, la nature des données et les conséquences pour la personne. L’article 13, paragraphe 3, impose en plus d’informer la personne au préalable.

Quelles données personnelles transmettre au prestataire d’outplacement ?

Seules les données nécessaires au démarrage de l’accompagnement partent chez le prestataire, puisque l’article 5 du RGPD veut des données « adéquates, pertinentes et limitées à ce qui est nécessaire » au but poursuivi. Pour lancer un outplacement, la liste est courte : le nom de la personne, la formule commandée, les dates prévues et votre interlocuteur. Le reste, la personne le confie elle-même au prestataire si elle le souhaite.

Les coordonnées personnelles demandent une précaution de plus. Selon la CNIL, dans sa page du 17 août 2023 sur la gestion du personnel, l’employeur ne peut révéler les coordonnées personnelles d’un salarié « que si la loi ou une décision de justice le prévoit ». Ses exemples visent des tiers, comme le médecin contrôleur de la sécurité sociale ou l’huissier muni d’un titre exécutoire. La page ne dit pas si la règle vaut pour un prestataire qui agit pour votre compte, et un sous-traitant n’est pas un « tiers » au sens de l’article 4 du RGPD. Le plus sûr reste d’inverser le circuit : vous remettez à la personne les coordonnées du prestataire, et c’est elle qui prend contact ou qui lui donne le numéro et l’adresse de son choix.

Si un bilan de compétences fait partie du parcours, le Code du travail borne aussi ce que le prestataire peut demander. Selon l’article L6313-4, les informations demandées au bénéficiaire « doivent présenter un lien direct et nécessaire avec son objet ». Un organisme de formation ne peut interroger un candidat ou un stagiaire que pour apprécier son aptitude à suivre l’action (article L6353-9).

Informer le salarié avant de transmettre ses données

Le salarié doit savoir, avant la transmission, que ses données vont chez un prestataire, lequel, pour quel but et sur quelle base. Quand vous réutilisez des données collectées pour la gestion du personnel, l’article 13 du RGPD vous impose d’informer la personne « au préalable » de ce nouveau but. Le prestataire qui traite ces données pour son propre compte l’informe à son tour, selon l’article 14. Il le fait dans un délai d’un mois au plus, et au plus tard lors du premier contact s’il s’en sert pour la joindre.

Les articles 13 et 14, auxquels renvoie l’article 48 de la loi Informatique et libertés, fixent le contenu : l’identité du responsable et de son éventuel délégué à la protection des données, la finalité, la base légale et, pour l’intérêt légitime, l’intérêt poursuivi. S’y ajoutent les destinataires, la durée de conservation, un éventuel transfert hors de l’Union, les droits de la personne et la réclamation auprès de la CNIL. Le prestataire indique en outre d’où viennent les données reçues de vous.

Le plus sûr est d’écrire cette information là où la personne accepte l’accompagnement : dans la clause d’outplacement, dans le courrier qui le propose ou dans une annexe. Une mention à adapter :

Pour organiser l’accompagnement prévu [à l’article X de la convention de rupture ou de la transaction, ou dans le courrier du jour J], [nom de l’entreprise, adresse], responsable du traitement, transmet à [nom du prestataire] vos nom et prénom, la formule retenue et ses dates. Cette transmission repose sur [l’exécution de l’engagement d’accompagnement pris envers vous, ou l’intérêt légitime de l’entreprise à organiser cet accompagnement]. Vous communiquez vous-même au prestataire les coordonnées et informations de votre choix. Avec votre accord, [nom du prestataire] adresse à l’entreprise [les indicateurs convenus]. Les données transmises sont conservées [durée], puis supprimées ou restituées à l’entreprise à la fin de la prestation. Pour exercer vos droits d’accès, de rectification, d’effacement et de limitation [et, selon la base retenue, votre droit d’opposition (intérêt légitime) ou à la portabilité (engagement pris envers vous)], écrivez à [adresse ou délégué à la protection des données]. Une réclamation peut être déposée auprès de la CNIL.

Le contrat avec le prestataire : les clauses sur les données

Quand le prestataire traite des données pour votre compte, l’article 28 du RGPD impose un contrat écrit, y compris sous forme électronique. Ce contrat fixe l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. La loi Informatique et libertés le reprend à son article 60. Selon la CNIL, dans sa page du 6 juin 2025, ce contrat « ne doit pas se contenter de reproduire le RGPD » : il dit comment chaque obligation sera tenue.

Avant de signer, l’article 28 vous demande de ne choisir qu’un prestataire qui présente des « garanties suffisantes ». Le contrat prévoit ensuite, au minimum, que le prestataire :

• ne traite les données que sur vos instructions documentées, y compris pour un transfert hors de l’Union européenne ;
• fait respecter la confidentialité par chaque personne autorisée à traiter les données, consultant ou coach compris ;
• prend les mesures de sécurité adaptées au risque que prévoit l’article 32 ;
• ne fait appel à un autre sous-traitant qu’avec votre autorisation écrite, spécifique ou générale ;
• vous aide à répondre aux demandes de la personne qui exerce ses droits, et à gérer une violation de données, qu’il doit vous notifier « dans les meilleurs délais » après en avoir pris connaissance, selon l’article 33 ;
• supprime ou vous renvoie les données à la fin de la prestation, à votre choix, et détruit les copies ;
• vous fournit les informations qui prouvent le respect de ces obligations, et accepte vos audits.

Une visioconférence ou une plateforme hébergée hors de l’Union européenne relève des règles de transfert des articles 44 et suivants. Les clauses contractuelles types de la Commission européenne du 4 juin 2021 peuvent fonder, en tout ou en partie, le contrat de l’article 28. Pour un transfert, la CNIL renvoie à des clauses types dédiées (page du 30 juin 2021). Et selon la CNIL, un sous-traitant ne réutilise les données pour son propre compte que si l’usage est compatible avec le traitement initial et que vous l’avez autorisé par écrit.

La sous-traitance en cascade, avec des consultants indépendants ou des coachs partenaires, et les autres clauses sont détaillées avec les clauses d’un contrat d’outplacement. Pour la part que le prestataire traite comme responsable, hors du cadre de l’article 28, le contrat gagne à dire qui informe la personne et qui répond à ses demandes. Si vous décidiez ensemble du but et des moyens, l’article 26 imposerait un accord entre responsables conjoints.

Le reporting : ce que le prestataire peut vous transmettre en retour

Ce que le prestataire vous rapporte est une nouvelle transmission de données, cette fois de lui vers vous. Elle reste limitée au but annoncé à la personne, selon le principe de limitation des finalités de l’article 5 du RGPD. Aucun texte ne fixe le contenu d’un reporting d’outplacement. Pour un bilan de compétences, l’article L6313-4 du Code du travail pose une règle : résultats détaillés et document de synthèse ne vous sont communiqués qu’avec l’accord du bénéficiaire.

Le même article soumet les personnes qui réalisent et détiennent les bilans au secret professionnel des articles 226-13 et 226-14 du Code pénal. La révélation d’une information à caractère secret par son dépositaire y est punie d’un an d’emprisonnement et de 15 000 € d’amende. Hors bilan, aucune décision trouvée dans Judilibre ne dit si un consultant en outplacement est tenu à ce secret ; restent alors le contrat et le RGPD.

Le Code du travail organise un échange de ce type pour le congé de reclassement. La cellule d’accompagnement y est confiée à un prestataire choisi par l’employeur ou à des salariés qu’il désigne, selon l’article R1233-25. Après un entretien d’évaluation et d’orientation, elle remet à l’employeur et au salarié un document qui précise le contenu et la durée des actions de reclassement, selon l’article R1233-27.

Le Code pénal pose aussi une limite générale, à son article 226-22. Il vise les données dont la divulgation porterait atteinte à la considération de la personne ou à l’intimité de sa vie privée. Les porter, sans son autorisation, à la connaissance d’un tiers qui n’a pas qualité pour les recevoir est puni de cinq ans d’emprisonnement et de 300 000 € d’amende. Aucune décision trouvée dans Judilibre ne l’a appliqué à un outplacement. Un reporting fait d’indicateurs convenus avec la personne reste la voie sûre, et la façon de suivre un outplacement sans rompre la confidentialité a son article.

Fin du parcours : suppression des données et pièces à conserver

À la fin de l’accompagnement, le prestataire qui a traité les données pour votre compte les supprime ou vous les renvoie, à votre choix, et détruit les copies existantes. L’article 28, paragraphe 3, g, du RGPD ne réserve que le cas où le droit de l’Union ou le droit français exige leur conservation. Pour un bilan de compétences inclus dans le parcours, l’article R6313-7 du Code du travail impose au prestataire de détruire les documents élaborés pour le bilan dès le terme de l’action, sauf deux exceptions de trois ans.

Ces exceptions visent la synthèse transmise, à la demande du bénéficiaire, à l’opérateur du conseil en évolution professionnelle, et les documents qu’il a accepté par écrit de faire garder pour le suivi de sa situation. Écrivez au contrat lequel des deux choix de l’article 28 vous retenez.

Les données que le prestataire traite comme responsable, notes de séance comprises, suivent sa propre durée, limitée au nécessaire par l’article 5. Le référentiel des durées de conservation de la CNIL en matière de ressources humaines, dans sa version du 20 mai 2026, ne prévoit rien pour l’outplacement. Faites donc écrire cette durée au contrat ; c’est au prestataire de l’annoncer à la personne, selon l’article 13.

De votre côté, gardez ce qui prouve la commande. Les bons de commande et les factures qui portent le nom de la personne sont des pièces justificatives comptables, à conserver dix ans selon l’article L123-22 du Code de commerce. Le tri du dossier d’un salarié parti fait l’objet d’un article à part.

Les erreurs qui exposent l’employeur, et les sanctions encourues

Les erreurs à éviter tiennent surtout à l’excès : envoyer au prestataire tout le dossier du salarié, mettre son manager en copie, demander le contenu des séances ou s’engager sans contrat sur les données. Elles vous exposent aux mesures de la CNIL, du rappel à l’ordre à l’amende administrative, prévues par l’article 20 de la loi Informatique et libertés et l’article 83 du RGPD. La personne peut aussi demander réparation de son préjudice, selon l’article 82 du RGPD.

• Le manager en copie. Selon la CNIL, le supérieur hiérarchique n’accède qu’aux informations nécessaires à ses fonctions. À la lecture de cette règle, le parcours d’une personne qui quitte l’équipe n’en fait pas partie, sauf accord de celle-ci.
• Un tableau partagé. La liste des personnes accompagnées n’a pas sa place dans un dossier ouvert à toute l’équipe. L’article 32 impose une sécurité adaptée au risque, et le référentiel de 2019 réserve l’accès aux personnes habilitées.
• Une réutilisation des informations reçues. Ce que le prestataire vous rapporte sert le suivi de l’accompagnement. S’en servir pour donner une référence ou décider d’une réembauche change le but, ce que l’article 5 n’admet pas sans compatibilité.

Les plafonds sont fixés par l’article 83 du RGPD. Un manquement aux articles 25 à 39 expose à une amende jusqu’à 10 millions d’euros ou, pour une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial de l’exercice précédent. Ces articles couvrent le contrat de sous-traitance, la sécurité et la notification des violations. Les principes, la base légale, les données de santé, les droits des personnes et les transferts hors de l’Union relèvent d’un plafond de 20 millions d’euros ou 4 %. Le montant le plus élevé est retenu.

Pour une affaire sans difficulté particulière, la procédure simplifiée de l’article 22-1 de la loi Informatique et libertés, dans sa version en vigueur depuis le 28 mai 2026, plafonne l’amende à 20 000 €. Ce plafond passe à 100 000 € au-delà de 50 millions d’euros de chiffre d’affaires annuel mondial.

Devant le juge, le sous-traitant ne répond du dommage que s’il a manqué à ses obligations propres ou agi en dehors de vos instructions licites, selon l’article 82. Le Code pénal punit enfin de cinq ans d’emprisonnement et de 300 000 € d’amende le traitement mis en œuvre sans les mesures des articles 24, 25, 30 et 32 du RGPD, à son article 226-17. Une société encourt le quintuple de l’amende, selon les articles 131-38 et 226-24.

Arrêt maladie, handicap, départ collectif : les situations à part

Un salarié en arrêt maladie, un salarié en situation de handicap et un départ collectif demandent des précautions de plus. Dans les deux premiers cas, une donnée de santé peut être en jeu, que l’article 9 du RGPD interdit de traiter sauf exceptions, dont le consentement explicite de la personne. Dans le troisième, le prestataire reçoit une liste de noms, ce qui multiplie les personnes à informer et le dommage possible en cas de fuite.

Un salarié en arrêt maladie

Le démarrage d’un outplacement pendant un arrêt maladie a son propre article. Côté données, ne transmettez ni le motif de l’arrêt, ni même son existence si la personne ne l’a pas mentionnée. L’article 4 du RGPD range parmi les données concernant la santé celles qui « révèlent des informations sur l’état de santé » : y faire entrer l’existence d’un arrêt est une lecture prudente de ce texte. La date de fin du contrat suffit ; la personne dira au prestataire quand elle souhaite commencer.

Un salarié en situation de handicap

Selon la page « Qu’est-ce qu’une donnée de santé ? » de la CNIL, datée du 8 janvier 2018, l’information sur le handicap est une donnée de santé, comme un taux d’invalidité qui en révèle un. Une reconnaissance de la qualité de travailleur handicapé en est donc une, et c’est à la personne de décider ce qu’elle en dit au prestataire, et quand. Si l’accompagnement doit en tenir compte, par exemple pour l’accessibilité des séances, demandez-lui ce qu’elle veut voir transmis. Recueillez alors son consentement explicite par écrit, pour pouvoir le démontrer comme l’exige l’article 7. Les autres précautions propres à ce départ ont leur article.

Un licenciement économique ou un départ collectif

Ne transmettez que les noms des personnes qui ont accepté l’accompagnement, et informez chacune d’elles. Les articles R1233-24 à R1233-29 du Code du travail, qui organisent la cellule d’accompagnement du congé de reclassement, ne remplacent ni cette information ni le contrat avec le prestataire. La CNIL demande en outre d’informer les représentants du personnel avant d’utiliser des fichiers de gestion du personnel, et de les inscrire au registre des activités de traitement.

Ce registre vaut même sous 250 salariés : la dispense de l’article 30, paragraphe 5, ne joue pas pour un traitement qui n’est pas occasionnel ou qui porte sur des données de santé. Un délégué à la protection des données n’est obligatoire que dans les cas de l’article 37 : organismes publics, activités de base faites d’un suivi régulier et systématique à grande échelle ou d’un traitement à grande échelle de données sensibles. À la lecture du texte, une petite ou moyenne entreprise qui organise un départ n’y entre pas.

Confier l’accompagnement de la personne à Chance

Chez Chance, nous accompagnons les transitions professionnelles depuis 2015. Notre outplacement est individuel et se déclenche pour un seul départ, avec une formule et un devis confirmés sous 24 h et un premier rendez-vous sous 48 h. Sur plus de 50 000 parcours que nous avons analysés, 75 % des Chanceux, nom que nous donnons aux personnes accompagnées, ont déjà mis en place le projet qu’ils avaient défini, 6 mois après.

Le parcours suit le Trèfle de Chance™, notre méthode en quatre étapes inspirée par Robert Dilts, avec les connexions du Collectif Chance, que forment 20 000 Chanceux. Selon la formule, l’accompagnement coûte de 900 € HT, pour un parcours en autonomie porté par ce Collectif, à 4 000 € HT pour un suivi renforcé par un·e coach. Le contenu des échanges ne vous parvient pas : avec l’accord de votre collaborateur·rice, vous recevez des indicateurs d’avancement (assiduité, étape atteinte, issue), un point d’étape à mi-parcours et un bilan de fin.

Questions fréquentes

Le salarié peut-il refuser que ses données partent chez le prestataire ?

Oui, selon la base retenue. Sur l’intérêt légitime, son opposition vous oblige à cesser, sauf motifs légitimes et impérieux qui prévalent sur ses droits (article 21 du RGPD). Sur le consentement, son retrait arrête la transmission pour la suite, sans rendre illicite ce qui a été fait avant (article 7). Si elle sert à tenir l’engagement d’accompagnement pris envers lui, elle suit le sort de cet engagement : sans accompagnement, plus rien à transmettre.

Le prestataire doit-il héberger les données dans l’Union européenne ?

Non, aucun texte ne l’impose, mais un transfert hors de l’Union européenne n’est permis qu’aux conditions des articles 44 et suivants du RGPD. Il faut une décision de la Commission européenne qui reconnaît au pays un niveau de protection adéquat, ou des garanties appropriées comme des clauses types de protection des données, selon les articles 45 et 46. L’article 49 n’y ajoute que des dérogations pour des situations particulières. Vos instructions au sous-traitant le prévoient, comme le veut l’article 28, et la personne en est informée.

Une fuite de données chez le prestataire : qui prévient la CNIL ?

Vous, si le prestataire traitait les données pour votre compte : il vous la signale, puis vous la notifiez à la CNIL, chacun « dans les meilleurs délais ». Pour vous, c’est si possible 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. Ce sont les règles de l’article 33 du RGPD et de l’article 58 de la loi Informatique et libertés. Si le risque est élevé, la personne est prévenue elle aussi (article 34). Pour les données qu’il traite comme responsable, la notification incombe au prestataire.

L’ancien salarié peut-il demander au prestataire la copie de ses données ?

Oui. Le droit d’accès de l’article 15 du RGPD s’exerce auprès du responsable du traitement : le prestataire pour les données de l’accompagnement qu’il traite comme responsable, vous pour ce qu’il traite en votre nom. Dans ce second cas, le prestataire vous aide à répondre, comme l’article 28 l’y oblige. La méthode pour répondre à la demande d’accès d’un ancien salarié, délais compris, fait l’objet d’un article à part.

Sources

• CNIL : Clauses contractuelles types entre responsable de traitement et sous-traitant (30 juin 2021) ; Guide Recrutement (30 janvier 2023) ; Le contrat : dans quels cas fonder un traitement sur cette base légale ? (21 février 2020) ; Les règles pour la gestion du personnel (17 août 2023) ; L’intérêt légitime : comment fonder un traitement sur cette base légale ? (29 novembre 2019) ; Qualification juridique : les cas sectoriels (page consultée le 3 novembre 2026) ; Qu’est-ce qu’une donnée de santé ? (8 janvier 2018) ; référentiel des durées de conservation, gestion des ressources humaines (2 avril 2026, mis à jour le 20 mai 2026) ; référentiel relatif aux traitements mis en œuvre aux fins de gestion du personnel (21 novembre 2019) ; Responsable du traitement, sous-traitants : comment bien identifier son rôle ? (6 juin 2025) ; Travailler avec un sous-traitant (page consultée le 3 novembre 2026)
• Code de commerce : article L123-22
• Code du travail : articles L6313-4, L6353-9, R1233-24, R1233-25, R1233-27, R6313-7
• Code pénal : articles 131-38, 226-13, 226-17, 226-22, 226-24
• Cour de cassation : Judilibre, recherche « outplacement données personnelles » (3 novembre 2026)
• Légifrance : recherche « outplacement » dans les codes en vigueur (3 novembre 2026) ; recherche « outplacement » dans les délibérations de la CNIL (3 novembre 2026)
• Textes officiels : Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 4 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 5 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 20 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 22-1 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 48 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 56 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 58 ; Loi n° 78-17 du 6 janvier 1978 (Informatique et libertés), article 60 ; Règlement (UE) 2016/679 (RGPD), article 4 ; Règlement (UE) 2016/679 (RGPD), article 5 ; Règlement (UE) 2016/679 (RGPD), article 6 ; Règlement (UE) 2016/679 (RGPD), article 7 ; Règlement (UE) 2016/679 (RGPD), article 9 ; Règlement (UE) 2016/679 (RGPD), article 13 ; Règlement (UE) 2016/679 (RGPD), article 14 ; Règlement (UE) 2016/679 (RGPD), article 15 ; Règlement (UE) 2016/679 (RGPD), article 20 ; Règlement (UE) 2016/679 (RGPD), article 21 ; Règlement (UE) 2016/679 (RGPD), article 26 ; Règlement (UE) 2016/679 (RGPD), article 28 ; Règlement (UE) 2016/679 (RGPD), article 30 ; Règlement (UE) 2016/679 (RGPD), article 32 ; Règlement (UE) 2016/679 (RGPD), article 33 ; Règlement (UE) 2016/679 (RGPD), article 34 ; Règlement (UE) 2016/679 (RGPD), article 37 ; Règlement (UE) 2016/679 (RGPD), article 44 ; Règlement (UE) 2016/679 (RGPD), article 49 ; Règlement (UE) 2016/679 (RGPD), article 82 ; Règlement (UE) 2016/679 (RGPD), article 83 ; Règlement (UE) 2016/679 (RGPD), articles 45 et 46