Les entreprises de travail temporaire manipulent quotidiennement un volume considérable de données personnelles, bancaires et professionnelles, depuis l’inscription d’un candidat jusqu’à la gestion administrative de ses missions et de sa rémunération. Cette concentration d’informations fait des ETT des organisations particulièrement sensibles aux tentatives de fraude, notamment aux changements frauduleux de coordonnées bancaires, mais également aux risques liés à une collecte, une conservation ou une utilisation disproportionnée des données.
En parallèle, le recrutement figure parmi les thématiques prioritaires de contrôle de la CNIL en 2026, ce qui renforce la nécessité pour les acteurs de l’intérim de considérer le RGPD non comme une simple obligation documentaire mais comme un véritable enjeu de gouvernance, de sécurité et de maîtrise des processus.
Les ETT, des organisations particulièrement exposées aux tentatives de fraude
Le fonctionnement d’une entreprise de travail temporaire repose sur une circulation importante d’informations entre plusieurs interlocuteurs : candidat, salarié intérimaire, agence, service administratif, service paie, entreprise utilisatrice et, parfois, différents prestataires ou partenaires. Cette multiplicité des échanges constitue une nécessité opérationnelle mais elle crée également une surface d’exposition importante pour les cybercriminels et les fraudeurs.
Parmi les scénarios les plus sensibles figure la fraude au changement de coordonnées bancaires. Le principe est relativement simple : un fraudeur se fait passer pour un salarié intérimaire et contacte l’agence afin de demander la modification du compte bancaire sur lequel son salaire doit être versé. Le message peut reprendre le nom, la signature, le vocabulaire ou certaines informations habituellement utilisés par le véritable salarié. La sophistication croissante de ces tentatives rend insuffisante une approche fondée uniquement sur l’apparence du courriel reçu. Une adresse électronique ressemblant à celle du salarié, une demande formulée correctement ou la présence d’informations personnelles ne constituent jamais, à eux seuls, une preuve d’authenticité. Pour une ETT, l’enjeu est donc moins de savoir si un message « semble crédible » que de disposer d’un processus de vérification indépendant du canal utilisé pour effectuer la demande.
Le changement de RIB doit déclencher un contrôle renforcé
Une demande de modification des coordonnées bancaires doit être considérée comme une opération sensible. Cette qualification ne signifie pas qu’elle doit être traitée avec suspicion à l’égard du salarié, mais qu’elle nécessite un niveau de vérification proportionné au risque financier. Le réflexe le plus efficace consiste à ne pas valider immédiatement la modification à partir du seul courriel reçu. Lorsque cela est possible, l’agence doit contacter le salarié par un canal distinct et déjà connu : appel téléphonique sur un numéro enregistré dans le dossier, espace sécurisé, échange direct avec l’intéressé ou autre moyen permettant de confirmer indépendamment l’origine de la demande. Cette logique de double vérification est particulièrement importante dans l’intérim, où les échanges avec les salariés peuvent être fréquents, rapides et largement dématérialisés. Elle permet de rompre la chaîne de confiance construite artificiellement par l’escroc.
La procédure doit également déterminer précisément qui est autorisé à modifier les coordonnées bancaires, quelles informations doivent être contrôlées, qui valide la modification et quelle trace de cette validation doit être conservée. L’objectif n’est pas d’ajouter une succession de contrôles administratifs complexes mais de sécuriser les opérations présentant un risque financier significatif.
Une procédure écrite vaut mieux qu’un simple rappel de vigilance
La sensibilisation des équipes constitue un premier niveau de protection mais elle ne suffit pas. Dire aux collaborateurs de « faire attention aux fraudes » ne crée pas une procédure de sécurité réellement opposable et reproductible. Une ETT devrait pouvoir répondre de manière précise à plusieurs questions : qui peut demander un changement de RIB ? Par quel canal ? Qui vérifie l’identité du demandeur ? Quel canal indépendant est utilisé pour la confirmation ? Qui autorise finalement la modification ? Quelle preuve de cette vérification est conservée ?
La formalisation de ces étapes présente un double avantage. Elle réduit d’abord le risque d’erreur humaine en donnant aux équipes une conduite à tenir claire. Elle facilite ensuite l’analyse d’un éventuel incident en permettant de reconstituer les différentes étapes du traitement. Cette approche rejoint un principe fondamental de la sécurité des données : la protection ne repose pas uniquement sur la technologie, mais également sur l’organisation. Un logiciel sécurisé peut être contourné si une procédure interne permet de modifier une donnée sensible sur simple demande reçue par courrier électronique.
La fraude au RIB doit être intégrée à la gestion des risques RH
Dans une ETT, le compte bancaire du salarié intérimaire n’est pas une donnée administrative anodine. Il est directement associé au versement de la rémunération et peut donc devenir une cible privilégiée. La prévention de ce type de fraude mérite ainsi d’être intégrée aux procédures de contrôle interne, au même titre que les autres opérations sensibles liées à la paie. Les collaborateurs qui interviennent sur les dossiers salariés doivent connaître les scénarios de fraude les plus fréquents et savoir précisément dans quelles circonstances interrompre temporairement un traitement.
La formation joue ici un rôle important. Une équipe correctement sensibilisée doit être capable d’identifier les signaux faibles : urgence inhabituelle, demande effectuée depuis une adresse différente, changement de coordonnées accompagné d’une justification peu cohérente, pression pour obtenir une modification immédiate ou refus de confirmer la demande par téléphone. Aucun de ces indices ne constitue à lui seul une preuve de fraude. Leur accumulation doit néanmoins conduire à renforcer la vérification.
Le recrutement devient une priorité de contrôle pour la CNIL
La sécurité des coordonnées bancaires n’est qu’une partie du sujet. Les ETT doivent également porter une attention accrue à leurs pratiques en matière de données personnelles. En 2026, le recrutement fait officiellement partie des thématiques prioritaires de contrôle de la CNIL. L’autorité indique conduire plusieurs centaines de contrôles chaque année, notamment à la suite de plaintes, de signalements, de mesures correctrices antérieures ou dans le cadre de ses thématiques prioritaires.
Cette orientation est particulièrement significative pour les entreprises de travail temporaire. Leur activité implique en effet la collecte et le traitement d’un volume considérable de données concernant des candidats et des salariés : identité, coordonnées, parcours professionnel, qualifications, disponibilités, rémunération, documents administratifs, parfois données sensibles ou informations soumises à des conditions particulières de traitement. La conformité doit donc être envisagée sur l’ensemble du cycle de vie de la donnée, depuis sa collecte jusqu’à sa suppression.
Le principe de minimisation doit devenir un réflexe opérationnel
Le principe de minimisation impose de ne collecter et de traiter que les données adéquates, pertinentes et nécessaires au regard de la finalité poursuivie. Dans le recrutement, cette exigence peut sembler évidente. Elle devient pourtant plus complexe lorsque les entreprises accumulent progressivement des informations dans leurs ATS, CRM, logiciels métiers, espaces candidats et dossiers administratifs. Une ETT peut notamment être tentée de conserver « au cas où » certaines informations relatives à un candidat. Or, la logique du RGPD ne consiste pas à conserver le maximum de données afin de disposer d’une base de candidats toujours plus riche. Elle impose de s’interroger sur la pertinence réelle de chaque catégorie de données au regard de la finalité poursuivie.
La CNIL rappelle dans son guide du recrutement que les opérations portant sur les données des candidats (collecte, organisation, consultation, conservation, communication ou suppression) constituent des traitements de données personnelles soumis au RGPD. Elle souligne également l’importance de définir des finalités déterminées, explicites et légitimes. Pour une ETT, cette approche implique donc de revoir régulièrement les formulaires d’inscription, les champs des logiciels, les pièces demandées et les informations accessibles aux différentes catégories de collaborateurs.
Les droits d’accès et d’effacement doivent être réellement opérationnels
Autre point d’attention : les droits des personnes concernées. En 2026, la CNIL a annoncé 23 nouvelles sanctions prononcées depuis janvier dans le cadre de sa procédure simplifiée, pour un montant cumulé de 133.750€. Parmi ces décisions, huit concernaient le non-respect du droit d’accès ou du droit à l’effacement, dont certaines étaient associées à un défaut de coopération avec l’autorité. Cette donnée est particulièrement instructive pour les ETT. La conformité ne consiste pas uniquement à prévoir dans une politique de confidentialité que les candidats et salariés disposent de droits. Encore faut-il que l’organisation soit capable de traiter concrètement leurs demandes.
Une demande d’accès doit pouvoir être identifiée, enregistrée, transmise au bon interlocuteur, instruite et traitée dans les délais applicables. La même logique vaut pour les demandes d’effacement, sous réserve bien entendu des obligations légales susceptibles de justifier la conservation de certaines informations. La CNIL a d’ailleurs identifié le droit à l’effacement comme un sujet nécessitant une vigilance particulière à l’échelle européenne. Ses contrôles ont notamment mis en évidence des difficultés persistantes dans la mise en œuvre pratique de ce droit.
La conservation des données constitue un autre point de vigilance
La gestion des durées de conservation représente un enjeu particulièrement important pour les ETT en raison de la diversité des informations détenues et des finalités poursuivies. Il n’existe pas une durée universelle permettant de conserver toutes les données d’un candidat ou d’un salarié intérimaire. La durée pertinente dépend notamment de la finalité du traitement, des obligations légales applicables et de la situation de la personne concernée. Cette distinction est essentielle. Les données nécessaires à la gestion administrative d’une mission ne répondent pas nécessairement aux mêmes exigences que les informations conservées dans une CVthèque à des fins de recrutement futur.
Une politique de conservation efficace doit donc articuler les contraintes juridiques, les besoins opérationnels et les principes du RGPD. Elle doit également être traduite dans les outils : supprimer une donnée de la procédure officielle mais la conserver indéfiniment dans un export Excel, une messagerie ou un ancien logiciel ne permet évidemment pas de résoudre le problème.
Les habilitations doivent être alignées sur les responsabilités
La multiplication des outils numériques rend également nécessaire une réflexion sur les droits d’accès. Tous les collaborateurs d’une ETT n’ont pas besoin d’accéder à l’ensemble des informations détenues sur les candidats et les salariés. Les droits doivent être définis selon les fonctions exercées et le niveau de nécessité associé aux missions. Cette logique de moindre privilège permet de limiter les risques de consultation, de modification ou d’extraction injustifiée. Elle réduit également l’impact potentiel d’une compromission d’un compte utilisateur.
La CNIL rappelle notamment, dans ses recommandations relatives à la gestion du personnel, que les accès aux données doivent être limités aux personnes qui en ont besoin dans le cadre de leurs fonctions. Dans une ETT, cette réflexion doit concerner aussi bien les collaborateurs permanents que les prestataires ou les utilisateurs disposant d’accès temporaires aux outils métiers.
L’enjeu ne consiste pas seulement à éviter une sanction
La conformité RGPD est parfois abordée sous un angle essentiellement juridique : éviter une mise en demeure, une injonction ou une sanction. Cette approche est trop restrictive. Pour une ETT, la protection des données est également une question de confiance. Les candidats transmettent des informations personnelles à l’agence parce qu’ils attendent que celles-ci soient utilisées dans un cadre professionnel maîtrisé. Les salariés intérimaires confient également des informations nécessaires à leur rémunération et à leur gestion administrative.
Une défaillance peut donc avoir des conséquences qui dépassent largement le montant d’une éventuelle sanction. Une fraude au RIB peut entraîner un préjudice financier pour le salarié, une perturbation de la paie et une perte de confiance. Une mauvaise gestion des données candidates peut affecter la réputation de l’agence et sa relation avec les candidats comme avec les entreprises clientes. La conformité doit ainsi être considérée comme un composant de la qualité de service.
Comment renforcer concrètement les pratiques d’une ETT ?
La première étape consiste à cartographier les traitements réellement effectués. Il ne s’agit pas seulement de reprendre le registre RGPD existant mais de confronter la documentation aux pratiques quotidiennes des agences. Il convient ensuite d’identifier les opérations à risque : modification des RIB, transmission de documents administratifs, accès aux dossiers candidats, extraction de bases, envoi de fichiers contenant des données personnelles ou suppression de comptes. Les procédures doivent être suffisamment précises pour guider les équipes sans créer une charge administrative disproportionnée. Une procédure de changement de coordonnées bancaires peut, par exemple, être courte tout en imposant systématiquement une vérification indépendante avant validation. La troisième étape consiste à tester régulièrement les dispositifs : une procédure jamais testée peut présenter des failles que la documentation ne permet pas de détecter. Des exercices internes, des contrôles ponctuels des habilitations et des revues d’échantillons de dossiers peuvent permettre d’identifier rapidement les écarts. Enfin, la sensibilisation doit être continue : les collaborateurs doivent comprendre non seulement ce qu’il faut faire, mais aussi pourquoi il faut le faire. Cette compréhension favorise l’appropriation des procédures et limite le risque qu’une règle de sécurité soit contournée au nom de l’urgence opérationnelle.
ETT : faire de la sécurité des données un enjeu de gouvernance
La fraude au RIB et les contrôles CNIL peuvent sembler relever de deux problématiques distinctes. Elles répondent pourtant à une même exigence : maîtriser les données et les processus qui permettent de les exploiter. Dans le premier cas, il s’agit d’empêcher un tiers de manipuler frauduleusement une donnée financière sensible. Dans le second, il s’agit de garantir que les données personnelles sont collectées, utilisées, accessibles et conservées conformément aux règles applicables. Pour les dirigeants d’ETT, les directions administratives, les responsables RH, les DPO et les équipes opérationnelles, l’enjeu est donc de construire une approche cohérente de la sécurité. La technologie, les procédures, les habilitations, la formation et la gouvernance doivent fonctionner ensemble.
Les entreprises de travail temporaire évoluent dans un environnement où la rapidité d’exécution est essentielle. Recruter rapidement, contractualiser, affecter un salarié à une mission et assurer sa rémunération exigent des échanges d’informations nombreux et parfois urgents. Cette exigence opérationnelle ne doit cependant jamais conduire à affaiblir les contrôles portant sur les données sensibles. La fraude au RIB illustre parfaitement cette tension entre rapidité et sécurité. Une simple demande reçue par courriel peut entraîner une conséquence financière importante si elle est traitée sans vérification indépendante. La mise en place d’une procédure systématique de double contrôle constitue donc un levier simple et particulièrement pertinent. Parallèlement, les orientations de la CNIL pour 2026 placent le recrutement au cœur des priorités de contrôle. Les ETT ont ainsi tout intérêt à examiner dès maintenant leurs pratiques de collecte, de minimisation, de conservation, d’accès et d’exercice des droits. La conformité RGPD ne devrait finalement pas être envisagée comme une contrainte périphérique à l’activité RH. Dans un secteur fondé sur la confiance, la circulation de données et la réactivité, elle constitue au contraire une composante essentielle de la qualité opérationnelle. Une ETT capable de sécuriser ses processus protège à la fois ses salariés intérimaires, ses candidats, ses collaborateurs permanents et ses entreprises clientes.
