RGPD et bulletin de paie : conservation, diffusion et conformité

Sommaire

1. Bulletin de paie : quelles données personnelles sont traitées

2. Base légale et finalité du traitement de paie

3. Durées de conservation du bulletin papier et électronique

4. Transmission du bulletin : mail, coffre-fort numérique, sécurité

5. Accès, habilitations et sous-traitance de la paie

6. Droits des salariés et sanctions en cas de manquement

FAQ

Pour aller plus loin

1. Bulletin de paie : quelles données personnelles sont traitées

Le RGPD s'applique au bulletin de paie dès sa production : ce document rassemble de nombreuses données personnelles. Il comporte l'identité du salarié, son adresse, son numéro de sécurité sociale, sa rémunération et ses cotisations. Y figurent aussi le numéro Siret de l'établissement, le montant total versé par l'employeur, le net à payer avant impôt sur le revenu, le montant prélevé à la source et le montant net social.

Certaines mentions révèlent des situations personnelles : une retenue pour arrêt maladie, une saisie sur salaire ou une cotisation de prévoyance renseignent sur la santé ou les difficultés financières du salarié. Le principe de minimisation limite le traitement aux données nécessaires au calcul et à l'édition de la paie.

2. Base légale et finalité du traitement de paie

Le traitement de paie ne repose pas sur le consentement, que le salarié ne pourrait refuser librement, mais sur une obligation légale : chaque salarié reçoit un bulletin de paie lors du paiement de son salaire, et l'employeur en conserve un double.

La finalité est délimitée : gérer la rémunération, les cotisations et les déclarations sociales. Une donnée collectée pour la paie ne peut servir à évaluer un salarié sans base distincte. Cette délimitation conditionne les durées de conservation et les habilitations d'accès.

La norme applicable au bulletin de paie ne tient pas dans un texte unique : elle combine le Code du travail, le RGPD et le référentiel RH de la CNIL.

Ces choix engagent l'employeur en cas de contrôle.
Échanger avec un avocat expert en droit social

3. Durées de conservation du bulletin papier et électronique

La conservation du bulletin de paie obéit à deux régimes selon le support. L'employeur conserve un double, papier ou électronique, pendant 5 ans (Code du travail, article L3243-4). Le bulletin émis sous forme électronique se conserve 50 ans, ou l'âge légal de départ à la retraite du salarié augmenté de six ans, la durée la plus longue s'appliquant.

Conserver moins prive l'employeur de sa preuve ; conserver au-delà sans justification contrevient au RGPD. Le référentiel RH de la CNIL renvoie aux durées imposées par le Code du travail et à celles qu'elle recommande.

4. Transmission du bulletin : mail, coffre-fort numérique, sécurité

La transmission du bulletin de paie par courriel est la pratique la plus exposée. La CNIL considère que la messagerie électronique n'est pas un moyen sûr pour transmettre des données personnelles sans mesure complémentaire : une erreur de manipulation suffit à divulguer un bulletin à un destinataire non habilité.

Le RGPD n'interdit pas l'envoi du bulletin de paie par mail. Il impose des mesures proportionnées : pièce jointe chiffrée, mot de passe transmis par un autre canal, contrôle de l'adresse. Depuis 2017, la dématérialisation est le principe et le papier l'exception, sauf désaccord du salarié : le coffre-fort numérique devient le mode de mise à disposition de référence.

5. Accès, habilitations et sous-traitance de la paie

L'accès aux bulletins se limite aux personnes qui en ont besoin : gestionnaires de paie, responsable RH, comptabilité. Un manager n'a pas à consulter ceux de son équipe. Ces habilitations se formalisent par des profils nominatifs, revus à chaque mouvement interne.

• Cartographier les accès et leur finalité
• Journaliser les consultations pour détecter les accès anormaux
• Retirer les droits dès le départ ou la mutation

L'externalisation ne transfère pas la responsabilité. Le prestataire agit comme sous-traitant : l'employeur reste responsable de traitement et encadre la relation par un contrat précisant les instructions, les mesures de sécurité, le sort des données en fin de contrat et le recours à d'autres sous-traitants.

6. Droits des salariés et sanctions en cas de manquement

Le salarié dispose d'un droit d'accès à ses données de paie, d'un droit de rectification en cas d'erreur d'identité ou de situation familiale et d'un droit à l'information sur les destinataires. Ces demandes se tracent et se traitent sans délai excessif.

Un manquement se révèle souvent par une plainte : bulletin adressé au mauvais destinataire, archive accessible à toute l'entreprise, refus de communiquer les données. La CNIL peut mettre en demeure l'employeur, puis prononcer une sanction, y compris pécuniaire. S'y ajoute le risque prud'homal si la diffusion cause un préjudice.

Une plainte sur la paie mêle contentieux social et protection des données.
Préparer sa réponse avec un avocat expert en droit social

FAQ

Peut-on envoyer un bulletin de paie par mail ?

Le RGPD ne l'interdit pas, mais la CNIL estime que la messagerie n'est pas un canal sûr sans mesure complémentaire. Chiffrement de la pièce jointe et vérification du destinataire sont attendus.

Combien de temps conserver un bulletin de paie ?

L'employeur conserve un double pendant 5 ans, sur support papier ou électronique. Pour un bulletin émis sous forme électronique, la durée est de 50 ans, ou l'âge légal de départ à la retraite augmenté de six ans.

Le salarié peut-il refuser le bulletin dématérialisé ?

Oui. Depuis 2017, la dématérialisation est le principe et le papier l'exception, sauf désaccord du salarié. Ce refus doit être recueilli et conservé par l'employeur.

Qui peut consulter les bulletins de paie dans l'entreprise ?

Seules les personnes habilitées au regard de leur mission : gestion de la paie, ressources humaines, comptabilité. Un accès élargi à d'autres services constitue un manquement au principe de sécurité.

L'employeur reste-t-il responsable si la paie est externalisée ?

Oui. Le prestataire agit comme sous-traitant, mais l'employeur demeure responsable de traitement. Il doit encadrer contractuellement les instructions, la sécurité et le sort des données.

Pour aller plus loin

Gestion des ressources humaines : la CNIL publie un référentiel de durées de conservation - CNIL

Les durées de conservation des données - CNIL

Obligations en matière de protection des données personnelles (RGPD) - Entreprendre.Service-Public.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.