La fiche 5 du guide CNIL pour les SPST fixe la méthode : chaque catégorie de document reçoit une durée, répartie entre base active, archivage intermédiaire et archivage définitif. Le guide raisonne surtout sur le dossier médical. Une question remontée ce semestre porte sur un document plus ordinaire, que tout SPST produit en tant qu’employeur de ses propres équipes : le bulletin de paie.
Médecins, infirmiers, assistants, secrétaires, intervenants en prévention : le service gère la paie de ses salariés et doit appliquer à ces documents les règles du code du travail, sous l’angle de la limitation de la conservation.
Ce qui change
Deux durées coexistent et ne doivent pas être confondues. L’article L. 3243-4 du code du travail impose à l’employeur de conserver un double des bulletins de paie pendant 5 ans.
L’article D. 3243-8 du même code vise le bulletin électronique. Celui-ci doit rester disponible pour le salarié pendant 50 ans, ou jusqu’à ses 75 ans. Cette disponibilité passe par un coffre-fort numérique.
Les deux obligations n’ont pas le même titulaire ni la même finalité. La première concerne les archives de l’employeur. La seconde garantit au salarié l’accès à ses propres bulletins sur la durée de sa carrière et au-delà.
Ce que cela implique pour un SPST
Le service ne doit pas aligner toute sa conservation sur la durée la plus longue. Garder 50 ans les doubles des bulletins dans son propre système de paie irait au-delà de ce que prévoit l’article L. 3243-4 et contredirait le principe de limitation de la conservation (article 5.1.e du RGPD). La durée de 50 ans ou 75 ans porte sur la mise à disposition du bulletin électronique au salarié, dans le coffre-fort.
Le coffre-fort numérique est le plus souvent fourni par un prestataire. Il traite les bulletins pour le compte du service et relève, à ce titre, de l’article 28 du RGPD. Le contrat doit prévoir la durée de mise à disposition, la localisation des données, les sous-traitants ultérieurs et le sort des bulletins à la fin de la relation.
Le prestataire de paie, lorsqu’il en existe un, est lui aussi sous-traitant. Les deux contrats doivent être cohérents entre eux : un prestataire de paie qui conserverait ses propres copies sans limite viderait de sens la durée de 5 ans retenue par le service.
Les bulletins comportent des données sensibles au sens courant : rémunération, absences, parfois arrêts maladie. Ils ne se mélangent jamais avec les données des salariés suivis, qui relèvent d’autres traitements.
Comment le traiter dans DPO SUITE
Ouvrez le registre des délais de conservation et qualifiez deux documents. Le premier, « Double du bulletin de paie (employeur) », a pour base légale l’article L. 3243-4 du code du travail et une durée de 5 ans ; renseignez le point de départ et la localisation dans le système de paie. Le second, « Bulletin de paie électronique mis à disposition du salarié », a pour base légale l’article D. 3243-8, une durée de 50 ans ou jusqu’aux 75 ans du salarié, et pour localisation le coffre-fort numérique.
Interrogez le responsable de la donnée, souvent le responsable des ressources humaines ou de la paie, pour qu’il valide ces délais depuis le registre.
Dans le registre des sous-traitants, créez ou complétez la fiche du fournisseur de coffre-fort numérique et celle du prestataire de paie : contacts, sous-traitants ultérieurs, localisation cloud. Envoyez à chacun le questionnaire d’audit des sous-traitants et rattachez-les au traitement « Gestion de la paie » dans le registre des traitements. Rattachez aussi les logiciels concernés dans le registre des logiciels.
Si l’audit révèle une conservation des doubles au-delà de 5 ans, ouvrez une non-conformité et planifiez une action corrective de purge, avec un responsable et une échéance. ALIX peut proposer la qualification des deux documents à partir des articles cités, proposition à valider ou rejeter.
Pour poser ces éléments sur une base saine, testez la création de votre registre dans DPO SUITE.
Repères
- Code du travail, article L. 3243-4 (conservation par l’employeur pendant 5 ans)
- Code du travail, article D. 3243-8 (bulletin électronique disponible 50 ans ou jusqu’aux 75 ans du salarié)
- RGPD, article 5.1.e (limitation de la conservation) et article 28 (sous-traitant)
- Guide CNIL SPST, fiche 5
