Les données de paie sont des données personnelles particulièrement sensibles : identité, NIR, coordonnées bancaires, salaire, arrêts de travail, saisies, parfois handicap ou mandat syndical. Le RGPD impose que seules les personnes qui en ont besoin pour leur fonction y accèdent (principe de minimisation et de confidentialité), que ces accès soient sécurisés et traçables, et que les prestataires qui traitent la paie pour le compte de l’entreprise – cabinet comptable, éditeur, prestataire de paie – soient encadrés par un contrat conforme à l’article 28. En pratique, la question n’est pas seulement juridique : un salaire consulté par un collaborateur non habilité ou un fichier de paie envoyé par erreur sont des incidents fréquents, qui peuvent constituer une violation de données à notifier à la CNIL.
Pourquoi la paie concentre les risques
Un fichier de paie réunit en un seul endroit des données d’identification, des données financières et des données révélant indirectement l’état de santé (arrêts maladie, accident du travail, temps partiel thérapeutique), la situation familiale ou des difficultés financières (saisies sur salaire). La CNIL rappelle, dans son référentiel relatif à la gestion du personnel, que ces informations ne doivent être accessibles qu’aux personnes habilitées, dans la limite de leurs attributions. Sur la remise du bulletin lui-même, voir notre article bulletin de paie et RGPD.
En entreprise : définir qui voit quoi
Une matrice d’habilitations
| Profil | Accès justifié | Accès à exclure |
|---|---|---|
| Gestionnaire de paie | Toutes les données nécessaires au calcul, pour le périmètre dont il a la charge | Paie des dirigeants si un circuit distinct est prévu |
| Manager | Absences et temps de son équipe, éléments variables à valider | Salaires individuels, motifs médicaux, saisies |
| Comptabilité | Écritures agrégées, journaux de paie | Détail par salarié, sauf besoin de contrôle documenté |
| Direction | Indicateurs, masse salariale, rémunérations des cadres dirigeants selon l’organisation | Données de santé |
| Informatique | Administration technique | Consultation métier des fiches salariés |
Des comptes nominatifs et une traçabilité
- Pas de compte partagé « paie » : chaque accès est nominatif.
- Journalisation des consultations et modifications des fiches salariés, notamment des coordonnées bancaires.
- Revue périodique des habilitations (au moins annuelle et à chaque départ ou changement de poste).
- Authentification forte pour les accès à distance.
Le cas particulier des données de santé
Les arrêts de travail doivent être gérés pour la paie, mais le motif médical n’a pas à être connu de l’employeur. Les documents médicaux reçus par erreur doivent être retournés ou détruits, et seules les dates et la nature administrative de l’absence conservées.
En cabinet : sous-traitant et responsable de ses propres traitements
Lorsque le cabinet établit la paie de ses clients, il agit en principe comme sous-traitant au sens du RGPD pour ce traitement : il traite les données pour le compte et sur instruction du client. L’article 28 impose un contrat (souvent intégré à la lettre de mission ou en annexe) qui précise l’objet, la durée, la nature et la finalité du traitement, les catégories de données, les obligations de sécurité, le recours à d’autres sous-traitants (éditeur du logiciel, hébergeur), l’assistance au client et le sort des données en fin de mission.
Au sein du cabinet, les mêmes règles d’habilitation s’appliquent : un collaborateur comptable n’a pas besoin d’accéder au détail des salaires de tous les clients. Voir aussi l’accès du cabinet au logiciel de paie.
Les incidents les plus fréquents
- Envoi de bulletins ou d’un journal de paie au mauvais destinataire par messagerie.
- Exports Excel de la paie stockés sur des postes personnels ou des espaces partagés sans contrôle.
- Fraude au changement de RIB : un courriel usurpant l’identité d’un salarié demande la modification de ses coordonnées bancaires.
- Accès conservés par d’anciens collaborateurs ou prestataires.
Une violation de données présentant un risque pour les personnes doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD), et les salariés concernés doivent être informés si le risque est élevé (article 34). Toutes les violations, même non notifiées, sont consignées dans un registre interne.
Exemple : un changement de RIB frauduleux
Une gestionnaire reçoit un courriel apparemment envoyé par un salarié, demandant de verser son salaire sur un nouveau compte. Le changement est effectué sans vérification ; 2 650 € nets sont virés à un fraudeur. Au-delà de la perte, l’entreprise doit verser à nouveau le salaire au salarié et analyser si l’incident révèle une violation de données (compromission de messagerie, fuite de la liste des salariés). Une procédure simple aurait évité l’incident : tout changement de coordonnées bancaires est confirmé par un canal distinct (appel au numéro connu, demande via le portail RH authentifié).
Le NIR : une donnée encadrée
Le numéro d’inscription au répertoire (NIR) peut être utilisé par l’employeur pour les déclarations sociales, dont la DSN, dans le cadre prévu par la réglementation. Il ne doit pas servir d’identifiant interne à d’autres fins ni circuler dans des fichiers non nécessaires. Sur la qualité de cette donnée en DSN, voir l’identification des salariés en DSN.
Conserver sans accumuler
La confidentialité passe aussi par la limitation des durées de conservation. Les données de paie doivent être conservées le temps nécessaire aux obligations légales (bulletins, justificatifs de cotisations, pièces comptables), puis supprimées ou anonymisées. Entre les deux, l’archivage intermédiaire doit être réservé à un nombre restreint de personnes. Trois mesures concrètes :
- séparer la base active des archives, avec des droits d’accès distincts ;
- purger régulièrement les exports et fichiers de travail créés à partir du logiciel de paie ;
- prévoir dans le contrat avec le cabinet ou le prestataire la restitution et la destruction des données en fin de mission.
Les durées applicables document par document sont détaillées dans notre article sur la conservation des bulletins de paie et documents RH.
FAQ
Un manager peut-il consulter le salaire de ses collaborateurs ?
Seulement si cela relève de ses attributions définies par l’entreprise (par exemple pour préparer les révisions salariales). L’accès doit être prévu dans la matrice d’habilitations, et non découler d’un accès technique au logiciel.
Le cabinet comptable est-il sous-traitant RGPD pour la paie ?
En principe oui pour l’établissement de la paie, ce qui impose un contrat conforme à l’article 28 du RGPD. Il reste responsable de traitement pour ses propres fichiers (clients, collaborateurs).
Faut-il notifier à la CNIL l’envoi d’un bulletin au mauvais salarié ?
Il faut analyser le risque pour la personne concernée. Une violation présentant un risque doit être notifiée dans les 72 heures ; dans tous les cas, l’incident est inscrit au registre des violations.
Quelles sanctions en cas de manquement ?
La CNIL peut prononcer des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, ainsi que des mises en demeure, souvent rendues publiques.
Sécuriser la paie sans la fragiliser
Limiter les accès ne doit pas empêcher les contrôles. Un audit externe permet de vérifier la justesse de la paie et des DSN avec un accès encadré, tracé et limité dans le temps. C’est ainsi que Cobham conduit ses missions d’audit de paie et d’accompagnement DSN.
Sources
- Règlement (UE) 2016/679 (RGPD), art. 5, 25, 28, 32, 33, 34 et 83 – eur-lex.europa.eu.
- CNIL, référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel – cnil.fr.
- Loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et libertés) – Légifrance.