Habilitations SIRH : qui voit vraiment quoi dans vos données RH ?

Salaires, arrêts de travail, évaluations, sanctions, données familiales : les données RH sont parmi les plus sensibles de l'entreprise. Pourtant, les habilitations du SIRH sont rarement revues après le déploiement.

Ce qu'on découvre souvent lors d'une revue

• des profils créés « temporairement » pour un projet, jamais supprimés ;
• des personnes ayant changé de poste qui ont conservé leurs anciens accès ;
• des périmètres trop larges : accès à toute l'entreprise quand une seule entité suffit ;
• des comptes génériques partagés entre plusieurs personnes ;
• des exports massifs possibles sans aucune trace.

Les bonnes pratiques

1. Des profils construits par métier, avec le strict nécessaire, plutôt que des droits ajoutés au cas par cas.
2. Un lien automatique avec les mouvements : arrivée, mobilité et départ mettent à jour les accès.
3. Une revue périodique, au moins annuelle, validée par les responsables métier.
4. Une traçabilité des consultations et des exports sur les données les plus sensibles.
5. Une attention particulière aux environnements de test, souvent alimentés avec des données réelles.

Pourquoi c'est un sujet SIRH

Le RGPD impose de limiter l'accès aux données à ce qui est nécessaire. Mais au-delà de la conformité, c'est une question de confiance : les salariés doivent pouvoir compter sur la confidentialité de leurs informations.