Émission des bulletins de paie : construire et justifier chaque champ du registre

DPO FRANCE • Une méthode champ par champ pour DPO SUITE

Une fiche de registre utile ne se contente pas de mentionner "paie", "salariés", "obligation légale" et "cinq ans". Elle explique quelles personnes sont payées, quelles informations permettent de calculer leur rémunération, qui les reçoit, pourquoi chaque opération est licite et ce qu'il advient des documents après leur utilisation. Elle permet ensuite de vérifier les pratiques, y compris chez le prestataire.

Ce chapitre propose une méthode détaillée de construction de la fiche "Émission des bulletins de paie" dans DPO SUITE, transposable à un autre support de registre. Le calcul, le paiement et les déclarations sont examinés comme opérations liées : les inclure explicitement ou les dissocier, plutôt que laisser le seul titre étendre implicitement le périmètre. Il s'adresse aussi bien au DPO qui prépare son premier entretien RH qu'à celui qui doit reprendre une fiche ancienne, auditer un prestataire ou justifier une décision de conservation.

Nature du document. Il s'agit d'un guide éditorial indépendant de DPO FRANCE, destiné à un usage professionnel en France. Ce n'est ni un référentiel de la CNIL, ni un document homologué par elle, ni un modèle garantissant la conformité de tout employeur. Les exemples sont fictifs et les choix proposés doivent être confirmés. Le chapitre porte sur la documentation RGPD du traitement, pas sur le calcul exhaustif des cotisations ou des droits salariaux.

Parcours de lecture

Pour construire la fiche : sections 1 à 4, puis 6 à 18. Pour le cas de l'apprenti mineur : section 5 et exemples de saisie en section 18. Pour reprendre des durées anciennes : section 12. Pour auditer le prestataire : section 10. Pour un atelier opérationnel : exemple synthétique, entretien et mini-audit en sections 19 à 21. Le tableau de la section 18 suit les douze rubriques de DPO SUITE.

Mode d'emploi : trois niveaux à ne jamais confondre

• Obligation juridique : règle issue du RGPD, d'un texte français ou d'un autre texte applicable au cas. La source et le champ d'application doivent pouvoir être retrouvés.
• Repère CNIL : référentiel, recommandation ou illustration utile à l'analyse. Vérifier s'il reprend une durée légale ou propose un repère ; les deux ne se confondent pas.
• Méthode de travail proposée : découpage de fiche, question d'entretien, exemple de rédaction ou test. Il s'agit d'un moyen de documenter et de vérifier, non d'une obligation formulée telle quelle par la CNIL.

Les champs minimaux du registre du responsable de traitement résultent de l'article 30 : identification et contacts, finalités, catégories de personnes et de données, destinataires, transferts concernés, délais d'effacement envisagés et description générale des mesures de sécurité lorsque possible. Les bases légales, preuves, contrats, décisions AIPD et plans d'action complètent utilement ce socle : leur absence de la liste de l'article 30 ne dispense pas de respecter les obligations correspondantes. La paie régulière n'est pas un traitement occasionnel que l'on pourrait omettre du registre simplement parce que l'employeur a moins de 250 personnes. CNIL, registre des activités.

Règle de rédaction : dans chaque rubrique, distinguer ce qui est applicable, non applicable et non vérifié. Ne pas écrire "non" quand la bonne réponse est "information non obtenue". Ne pas laisser un assistant, un modèle ou un import remplir les inconnues par des affirmations plausibles.

1. Avant les champs : fixer le périmètre de la paie

1.1 Ce que le traitement cherche à accomplir

Le traitement peut couvrir la collecte des variables utiles, le calcul de rémunérations, la validation, l'émission et la remise des bulletins, les ordres de paiement, les déclarations sociales et fiscales afférentes, les corrections et les obligations de conservation correspondantes. Chaque opération retenue doit exister dans l'organisme.

La mise à disposition durable du bulletin électronique peut être un sous-périmètre identifiable ou une fiche liée. Le choix dépend de l'organisation : même responsable et chaîne cohérente, ou service distinct avec prestataires, droits et durée très différents. L'important n'est pas de multiplier les fiches, mais de rendre les différences visibles.

1.2 Ce qui ne doit pas être absorbé sans examen

Le recrutement, le dossier administratif complet, les entretiens, le contrôle d'activité, la gestion détaillée des arrêts de travail, les dossiers médicaux, la formation, les achats, le contentieux et les avantages sociaux ne deviennent pas des opérations de paie du seul fait qu'ils fournissent une variable au logiciel. Décrire l'interface nécessaire et renvoyer au traitement source.

Exemple. Le service temps transmet "8 heures supplémentaires validées". La fiche paie décrit la réception et l'utilisation de cette variable. Elle ne justifie pas, par cette seule réception, la collecte de chaque passage aux portes, la surveillance des déplacements ou la totalité des justificatifs d'absence.

1.3 Le scénario de référence utilisé dans ce chapitre

Les exemples de remplissage illustrent une PME privée fictive établie en France, sans secteur particulier, utilisant un outil de paie, un service de remise électronique et, selon le cas, un prestataire de production. Ils ne supposent ni un effectif déterminé, ni l'absence de transfert, ni une certification, ni un contrat signé. Les agents publics et les situations particulières sont traités séparément. Les noms de logiciels et d'entreprises ne sont pas nécessaires dans un guide générique : les catégories suffisent ici ; les identités réelles seront consignées dans le dossier interne de l'organisme.

2. Identification du traitement et responsabilité

Définition et utilité

Le titre permet de distinguer le traitement des autres activités. La personne morale ou physique qui détermine ses finalités et ses moyens essentiels est le responsable du traitement. Le service RH pilote l'opération ; il n'est pas automatiquement le responsable juridique. Le DPO conseille et contrôle : sa présence ne transfère pas vers lui la responsabilité de l'employeur.

Inclure, exclure et choisir

Retenir un titre fonctionnel et stable, non le seul nom du logiciel. Identifier l'employeur, les établissements inclus, le pilote métier et les contacts utiles. Dans un groupe, déterminer si le centre de services agit sur instruction ou prend des décisions propres ; un lien capitalistique ne suffit ni à caractériser une sous-traitance ni une responsabilité conjointe.

Ne pas recopier le nom de l'organisme qui facture l'outil comme responsable du traitement de la paie. Ne pas désigner la "direction" sans identifier l'entité juridique. Si un employeur personne physique relève du périmètre, ne pas lui inventer une personne morale.

Exemple de remplissage adaptable

Intitulé : Calcul, versement et déclaration des rémunérations des salariés.
Périmètre : Personnel sous contrat de travail avec l'organisme ; établissements concernés à préciser. Remise des bulletins et régularisations incluses. Dossier de recrutement, gestion des fournisseurs et suivi médical exclus.
Pilote opérationnel : Fonction responsable paie ; coordonnées professionnelles dans le dossier de gouvernance.
Responsabilité : Employeur ; qualification du prestataire de production à confirmer par la lettre de mission.

Preuves attendues

Organigramme juridique, attribution des responsabilités, lettre de mission, contrats de service, schéma du groupe s'il influence les décisions. Une fiche signée par le pilote confirme une validation interne ; elle ne prouve pas à elle seule la qualification retenue.

3. Finalité générale et finalités détaillées

Définition et utilité

La finalité décrit le résultat recherché pour lequel les données sont traitées. Elle n'est ni une opération technique ("stocker"), ni un slogan ("gérer le personnel"), ni une base légale ("obligation légale").

Construire un niveau général et des opérations explicites

Une finalité générale peut être "gérer les rémunérations et accomplir les formalités afférentes". Les finalités détaillées précisent : déterminer les sommes dues ; produire et remettre le bulletin ; émettre le paiement ; établir les déclarations ; corriger les erreurs ; conserver les pièces requises. Détailler les opérations conditionnelles : acompte, saisie sur rémunération, subrogation, avantages en nature, régularisation après départ, seulement si elles existent.

Une opération secondaire mérite une fiche ou une analyse distincte lorsqu'elle change les personnes, les données, les accès, les bases ou les risques : statistiques nominatives de performance, profilage de salariés, prédiction de départ, partage de salaires avec un groupe à des fins nouvelles. Le référentiel RH ne couvre pas indistinctement les traitements innovants de profilage ou de contrôle individuel d'activité. CNIL, référentiel RH, périmètre.

Exemple de rédaction

Calculer la rémunération due à partir des éléments contractuels et des variables validées ; produire et remettre les bulletins ; transmettre les instructions de paiement ; établir les déclarations sociales et fiscales afférentes ; traiter les rectifications ; conserver les pièces nécessaires aux obligations applicables. La fiche n'autorise ni l'évaluation de productivité ni la surveillance des déplacements.

Contrôle de cohérence

Pour chaque donnée et chaque destinataire, demander à quelle finalité précise il se rattache. Un élément impossible à rattacher signale une finalité manquante, une donnée excessive ou un traitement mal découpé. Faire confirmer les opérations par le gestionnaire de paie, pas uniquement par l'équipe informatique.

4. Personnes concernées : "salariés", "employés" et catégories utiles

4.1 Ce que désigne une personne concernée

Il s'agit d'une personne physique dont les données sont traitées. Cette rubrique n'est ni la liste des utilisateurs du logiciel, ni celle des organisations partenaires, ni celle des personnes habilitées à consulter. Un salarié peut être personne concernée dans sa propre paie et utilisateur habilité lorsqu'il gère la paie d'autrui : les rôles doivent rester distincts.

4.2 Salarié et employé ne sont pas toujours des synonymes

Salarié désigne ici la personne liée à l'employeur par un contrat de travail : CDI, CDD, apprenti ou autre contrat applicable. Employé peut être utilisé dans le langage courant comme un terme général, mais aussi désigner une catégorie professionnelle ou conventionnelle distincte des ouvriers, techniciens, agents de maîtrise et cadres. Écrire seulement "employés" peut donc exclure involontairement des personnes effectivement payées.

Le référentiel CNIL utilise, pour ses propres besoins, plusieurs expressions générales comme "personnes employées" et "personnels" pour couvrir notamment salariés, agents publics, stagiaires ou vacataires. Cette convention rédactionnelle ne transforme pas tous ces statuts en contrats de travail identiques. CNIL, référentiel RH, section 1.

Choix recommandé pour un employeur privé : sélectionner la catégorie proposée la plus proche et préciser en texte "salariés titulaires d'un contrat de travail, toutes catégories professionnelles, y compris apprentis ; anciens salariés pour régularisation et conservation". Si l'interface ne propose que "employés", lever l'ambiguïté dans la description. Ne pas inventer une catégorie disponible dans l'outil.

4.3 Tableau de décision par population

Les contrats d'apprentissage sont bien des contrats de travail particuliers. Code du travail, L.6221-1. L'analyse des autres situations exige de lire le contrat et le régime effectif, non de se fier au vocabulaire du logiciel.

4.4 Ne pas confondre personne concernée et prestataire

Le cabinet de paie est une organisation destinataire ou sous-traitante selon sa mission, pas une catégorie de salariés payés. Son gestionnaire, personne physique, peut apparaître dans les journaux de connexion : il est alors concerné par la traçabilité de l'administration, pas par la paie des salariés du client. Un indépendant fournisseur dont on règle les factures peut être une personne concernée, mais généralement dans la gestion des achats et de la comptabilité fournisseurs, non dans cette fiche paie.

Dans le registre interne, l'inventaire des prestataires peut comporter leurs identités réelles afin de relier contrats et contrôles. Dans cette ressource générale et dans les exemples, utiliser les catégories "éditeur SaaS", "prestataire de production de paie", "opérateur de remise électronique", "hébergeur", sans citer un fournisseur comme s'il était universel.

5. Cas approfondi : l'apprenti mineur

5.1 Ce qui change, et ce qui ne change pas

L'apprenti mineur demeure la personne dont la rémunération est calculée. L'âge peut influer sur le calcul et les conditions de travail ; la qualité de mineur doit être prise en compte dans l'information, la représentation et l'analyse des risques. Cela ne crée pas une nouvelle base "consentement parental RGPD" pour toutes les opérations de paie.

Le contrat est signé par l'apprenti et, le cas échéant, son représentant légal. Cette signature concerne la formation du contrat ; elle ne doit pas être présentée comme l'acceptation de toutes les utilisations futures des données. Code du travail, R.6222-2.

5.2 Adapter les champs, sans ajouter un dossier familial automatique

Le montant légal de la rémunération d'apprentissage dépend notamment de l'âge et de la progression dans le contrat ; vérifier également la convention et les situations particulières. Cette fiche n'incorpore pas de barème monétaire susceptible de devenir obsolète. Service Public, contrat d'apprentissage.

5.3 Paiement et accès : deux décisions distinctes

Le principe de paiement sur un compte dont le salarié est titulaire ou cotitulaire figure à L.3241-1. La situation du mineur non émancipé appelle les règles de représentation : la documentation officielle précise qu'il peut percevoir son salaire si son représentant légal ne s'y oppose pas. Ne pas transformer cette situation en exigence universelle de formulaire parental écrit, ni en permission automatique de verser sur n'importe quel compte tiers. Faire valider le cas concret lorsqu'une opposition, une émancipation ou une difficulté de représentation existe. L.3241-1, Ministère du Travail, fixation et paiement du salaire, Service Public, paiement au salarié mineur.

Une personne habilitée à intervenir dans le paiement n'obtient pas, pour autant, un compte administrateur sur le coffre-fort ou l'historique de toutes les demandes RH. Vérifier identité, qualité, portée de la demande et situation du mineur. Prévoir le passage à la majorité : revoir les habilitations et les contacts de représentation qui n'ont plus de justification.

5.4 Pourquoi l'article 8 du RGPD n'est pas la réponse automatique

L'article 8 concerne une offre directe de services de la société de l'information à un enfant lorsque le traitement est fondé sur le consentement. Il ne pose pas une condition de consentement parental pour chaque traitement de données d'un mineur. Un portail de paie ne devient pas, du seul fait qu'il est en ligne, un traitement de paie soumis à ce consentement. Analyser séparément tout service facultatif nouveau, plutôt que changer artificiellement la base du paiement. CNIL, consentement des mineurs.

Exemple de précision à inscrire

Les personnes concernées comprennent les apprentis mineurs lorsque l'organisme en emploie. La date de naissance et les paramètres du contrat sont utilisés pour les calculs applicables. Les données d'un représentant légal ne sont ajoutées à ce périmètre que si une intervention dans la remise ou le paiement le nécessite ; la signature du contrat est documentée dans le dossier administratif lié. L'information est adaptée au mineur et les modalités de représentation sont vérifiées au cas par cas.

6. Catégories de données : partir de l'opération, pas du formulaire du logiciel

Extrait de la notice DPO SUITE. La sélection illustrée ne représente pas une fiche paie complète : choisir les catégories effectivement utilisées puis préciser chaque donnée nécessaire.

Définition et utilité

Une catégorie regroupe des informations de même nature ; elle doit rester assez précise pour comprendre le risque. "Identité" ne dit pas si l'on collecte seulement un nom ou aussi une copie de pièce d'identité. "Données économiques" ne dit pas si l'on dispose de l'IBAN, du salaire, de saisies ou de renseignements patrimoniaux.

Matrice de minimisation à construire

Pour chaque ligne, préciser l'origine, le caractère requis ou facultatif, l'accès et les copies. Ne pas cocher une catégorie "au cas où". Si le logiciel impose un champ sans justification, demander une configuration différente ou documenter une non-conformité ; une contrainte produit n'est pas une base légale.

NIR : autorisé dans son périmètre, pas matricule universel

Le numéro de sécurité sociale n'est pas une donnée de santé par nature, mais son utilisation est spécifiquement encadrée. Identifier les obligations de paie/protection sociale qui justifient son usage et limiter les destinataires. Ne pas utiliser le NIR comme identifiant transversal de tous les outils RH, ni comme nom de fichier ou mot de passe. Préférer un matricule interne pour les liaisons qui n'exigent pas le NIR. Un autre usage doit être confronté à son habilitation spécifique, notamment dans certains traitements publics : la formule simplifiée "jamais hors paie" ne remplace pas la lecture des textes. CNIL, usage du NIR en RH, décret-cadre NIR du 19 avril 2019, article 2 C, avis CNIL sur ce décret.

Données sensibles : qualifier les informations, pas leur intitulé

L'absence de diagnostic n'exclut pas une donnée de santé : un motif d'arrêt peut révéler l'état de santé. La nature d'une information doit être examinée même si elle est codée. Pour les données de l'article 9, renseigner à la fois la base de l'article 6 et la condition levant l'interdiction, par exemple l'article 9.2.b lorsque le traitement est nécessaire aux obligations ou droits correspondants, autorisé par le droit ou la convention collective applicable et assorti des garanties appropriées. Ne pas attribuer par défaut un consentement explicite aux salariés pour couvrir toutes les données sensibles.

Un accès au diagnostic n'est pas rendu nécessaire par l'existence d'une indemnité. Séparer les justificatifs à accès restreint, les variables de calcul et la restitution aux managers. Un gestionnaire de paie n'a pas à devenir le dépositaire du dossier médical.

Données sur le bulletin et données de calcul ne sont pas identiques

Une donnée peut être nécessaire à une opération interne sans pouvoir apparaître telle quelle sur le bulletin. R.3243-4 interdit d'y mentionner l'exercice du droit de grève ou l'activité de représentation des salariés ; le texte prévoit une fiche annexée pour la nature et le montant de la rémunération de cette activité. Vérifier les libellés et les annexes, pas seulement les champs de base de données. Code du travail, R.3243-4.

Exemple de remplissage

Identité et matricule ; coordonnées nécessaires à la remise ; éléments contractuels et de classification utiles ; variables de rémunération validées ; coordonnées bancaires ; identifiants sociaux autorisés et données nécessaires aux déclarations ; données d'absence limitées à leur incidence et aux justificatifs requis. Aucun diagnostic ni dossier médical complet. Les catégories effectivement présentes seront confirmées par un export de démonstration et le dictionnaire de champs.

7. Base légale principale et justification détaillée

Définition et utilité

La base légale explique pourquoi l'opération est licite au titre de l'article 6. La justification relie cette base à des faits et à une règle. Écrire "RGPD" ne justifie pas la paie : il faut identifier l'obligation de remise du bulletin, de déclaration ou la nécessité contractuelle concernée.

Pour le pilote "Émission des bulletins de paie", l'obligation légale est le point de départ naturel de l'analyse : L.3243-2 impose la remise du bulletin dans son champ d'application. L'exécution du contrat peut expliquer certaines opérations de détermination et de versement de la rémunération ; elle ne doit pas remplacer indistinctement les obligations déclaratives. Code du travail, L.3243-2, RGPD, article 6.

Tableau d'arbitrage, à adapter

Choisir quand l'application propose une seule base principale

La notice DPO SUITE décrit un champ "Base légale principale" et une justification détaillée. Choisir la base du périmètre principal ; préciser dans la justification la répartition des autres opérations. Si ce texte devient illisible parce que les opérations divergent trop, séparer les fiches. Le logiciel ne doit pas conduire à choisir une base inexacte pour obtenir une fiche visuellement complète.

Exemple pour une fiche centrée sur l'émission :

Base principale : obligation légale, article 6.1.c du RGPD, pour l'établissement et la remise du bulletin dans le champ de L.3243-2 et la conservation du double prévue par L.3243-4. Les données proviennent du calcul validé de paie ; les autres opérations de calcul, paiement et déclaration sont décrites dans le périmètre ou les fiches liées avec leur propre justification. Les données sensibles nécessaires appellent, en plus, l'analyse de l'article 9 et des garanties applicables.

Consentement et remise électronique

Le droit de s'opposer à la remise électronique n'est pas le droit de refuser toute paie. D.3243-7 prévoit l'information sur cette faculté, notamment un mois avant la première émission électronique ou lors de l'embauche, et les modalités de prise en compte de l'opposition. Documenter le circuit papier alternatif et la preuve d'information. Ne pas utiliser une acceptation du coffre-fort pour justifier une prospection, une analyse de profil ou un partage supplémentaire. Code du travail, D.3243-7.

8. Description du circuit et origine des données

Définition et utilité

La description donne à un lecteur extérieur les moyens de suivre les opérations sans disposer du mode d'emploi du logiciel. L'origine des données aide à comprendre leur fiabilité, l'information due et les corrections possibles. Ce sont des compléments opérationnels qui rendent les rubriques du registre vérifiables.

Un circuit à décrire de bout en bout

1. Entrée : données du salarié, contrat validé, variables issues des services habilités, informations déclaratives reçues d'organismes compétents.
2. Préparation : import, vérification, correction, validation ; préciser qui peut modifier et qui approuve.
3. Production : calcul, contrôle du bulletin, génération du document et des déclarations.
4. Sortie : remise au salarié, paiement, déclarations ; distinguer flux, destinataires et supports.
5. Après émission : rectification, historique, archivage, accès ancien salarié, suppression, fin de contrat prestataire.

Inclure les tableurs intermédiaires, dossiers partagés, fichiers de virement, transmissions de support, sauvegardes et copies papier. Ne pas écrire "traitement automatisé" pour faire disparaître une validation humaine réelle ; ne pas écrire "humain" si le système prend une décision sans intervention significative.

Exemples et contre-exemples

Description utile : "Les variables validées par la fonction RH sont importées mensuellement. Le gestionnaire contrôle les écarts et soumet les bulletins à validation. Après émission, le document est remis par le canal choisi conformément aux règles applicables. Les doubles sont isolés dans un espace d'archive à accès restreint."

Description insuffisante : "Le logiciel gère la paie de manière sécurisée et conforme." Elle ne décrit ni entrée, ni acteur, ni transfert, ni phase.

Preuve : démonstration avec données fictives, schéma signé par le métier et captures expurgées. Une description de processus futur doit être identifiée comme telle tant qu'il n'est pas en place.

9. Destinataires internes, externes et logiciels

Définition et utilité

Un destinataire reçoit les données, y compris par consultation. Distinguer les personnes sous l'autorité de l'employeur, les organismes destinataires poursuivant leurs missions propres et les prestataires traitant sur instruction. Le nom d'un logiciel ne remplace pas le nom ou la catégorie de l'entité qui opère le service.

Construire une matrice d'accès utile

Ne pas annoncer aux salariés un destinataire vague "partenaires" si les catégories réelles peuvent être précisées. À l'inverse, le registre n'a pas à devenir un annuaire des personnes physiques de chaque administration ; les catégories doivent permettre d'identifier le rôle et le flux.

Logiciels et outils : quoi inclure ?

Dans DPO SUITE, relier les outils effectivement utilisés : production, remise, stockage d'archive, échange et éventuellement tableur. Les données saisies dans l'inventaire logiciel doivent permettre de retrouver l'opérateur et la prestation. Un tableur utilisé chaque mois n'est pas hors périmètre parce qu'il ne s'appelle pas "logiciel de paie".

Exclure les outils simplement évalués en démonstration sans données réelles, ou les identifier comme projet. Ne pas renseigner "aucun sous-traitant" parce que l'outil est installé localement : la maintenance peut accéder aux données. À l'inverse, une licence sans traitement de données pour le compte de l'employeur ne suffit pas à qualifier l'éditeur de sous-traitant.

10. Sous-traitance : du contrat à la preuve de fonctionnement

Qualifier avant de demander le questionnaire

Un prestataire de production peut agir sur instructions ; un cabinet peut aussi avoir des obligations propres dans d'autres missions. Qualifier la prestation précise, pas toute l'entreprise en bloc. La banque et les organismes sociaux ne deviennent pas des sous-traitants simplement parce qu'ils reçoivent des données.

Pour chaque catégorie de prestataire, noter les opérations confiées, les données, les populations, les lieux, les accès, la chaîne de sous-traitance et la fin de prestation. L'article 28 exige un contrat ou acte juridique adapté, notamment sur les instructions, la confidentialité, la sécurité, l'assistance, les sous-traitants ultérieurs, le sort des données et les audits. RGPD, article 28.

Audit ciblé de prestataire de paie

La CNIL recommande de vérifier l'effectivité des garanties, pas uniquement d'obtenir un engagement documentaire. Une certification constitue un indice à examiner dans son périmètre, pas un certificat de conformité de la paie de l'employeur. CNIL, gérer la sous-traitance, 14 mars 2024.

Dans DPO SUITE

Relier la fiche traitement aux prestataires concernés et au registre des sous-traitants ; conserver contrats, preuves et réserves dans les espaces autorisés. Le suivi peut distinguer pièce demandée, reçue, analysée, insuffisante et action à vérifier. Ne pas remplacer une absence de preuve par un statut favorable. L'existence d'un module d'audit ne démontre pas qu'un contrôle technique a été réalisé.

11. Transferts internationaux : répondre à la question réelle derrière Oui/Non

Définition et périmètre

La rubrique doit permettre d'identifier les destinataires situés dans des pays tiers, les flux et les garanties applicables. La notice DPO SUITE emploie "hors Union européenne" ; le périmètre du chapitre V s'analyse au regard de l'EEE. Un pays hors UE mais dans l'EEE ne doit donc pas recevoir automatiquement le même traitement juridique qu'un pays tiers. Expliquer cette nuance dans les notes plutôt que laisser une case produire une conclusion erronée.

Le support étranger et les sous-traitants ultérieurs comptent autant que l'hébergement principal. La mise à disposition à une autre entité dans un pays tiers peut constituer un transfert ; le voyage d'un salarié de la même entité ne constitue pas à lui seul un transfert au sens du chapitre V. Il peut néanmoins créer un risque de sécurité à gérer. CNIL, guide d'analyse d'impact des transferts, 2025.

Comment choisir et documenter

Pour chaque flux, décrire exportateur, importateur, pays, service, données, fréquence et accès. Puis vérifier le mécanisme adapté : décision d'adéquation applicable à l'entité et au service, garanties de l'article 46, ou dérogation exceptionnelle réellement pertinente. Des clauses article 28 ne sont pas nécessairement des clauses de transfert. Une dérogation n'est pas une solution routinière au défaut de cartographie. CNIL, cadre des transferts.

Si la réponse n'est pas connue, ouvrir une action et préciser ce qui manque. Ne pas sélectionner "Non" uniquement parce que le commercial a écrit "données européennes". Les conditions de support peuvent autoriser des accès ailleurs.

Mesures et analyses : renseigner seulement ce qui existe

Le chiffrement est utile, mais il faut préciser qui détient les clés et qui peut accéder au clair. La pseudonymisation ne fait pas disparaître le transfert de données personnelles ; une anonymisation réellement irréversible doit être distinguée d'un simple remplacement du nom. Une analyse d'impact des transferts et une AIPD ne sont pas interchangeables.

Exemple de note, sans inventer une conclusion :

Hébergement principal déclaré dans l'EEE ; justificatifs de localisation reçus. Pays et entités de support à confirmer. Décision sur la qualification du transfert et ses garanties suspendue à cette confirmation. Les clauses contractuelles, leurs annexes et les mesures techniques seront rapprochées du flux réel avant validation.

12. Conservation : un tableau par document et par phase

12.1 Les quatre questions indispensables

1. Quel objet ? Bulletin, donnée de calcul, pièce d'assiette, déclaration, fichier bancaire, justificatif, journal ou copie temporaire.
2. Pourquoi le garder ? Usage opérationnel, obligation, preuve d'une demande déterminée, disponibilité due à la personne.
3. À partir de quand et jusqu'à quand ? Événement déclencheur, durée et éventuelle règle de calcul. La date de départ du salarié n'est pas le déclencheur universel.
4. Avec quels accès et quel sort final ? Base active, archive restreinte, suppression, anonymisation effective ou versement d'archives publiques selon régime.

Le référentiel CNIL des durées RH, publié le 2 avril 2026 et mis à jour le 20 mai 2026, distingue obligations issues des textes et recommandations. La séparation active/intermédiaire doit se traduire dans les habilitations ou les espaces, pas seulement dans le registre. CNIL, référentiel durées RH.

12.2 Grille de travail pour un employeur privé

Sources légales : L.3243-4, D.3243-8, L.243-16. Pour l'ordre de virement : référentiel RH, page 11. La formule de D.3243-8 est préférable à un âge arrondi recopié d'une ancienne fiche ; le texte de référence doit être revérifié.

12.3 Exemple de calcul d'échéance

Cas fictif : un bulletin transmis le 30 novembre 2026 relève de la conservation du double pendant cinq ans. L'échéance se calcule depuis cette transmission, non depuis la fin du contrat, et non en ajoutant un mois actif puis cinq ans. En revanche, la disponibilité électronique de ce bulletin répond à son propre régime. Un salarié quittant l'entreprise en décembre 2026 ne déclenche donc pas la suppression de son accès électronique dû.

Ce calcul ne préjuge pas d'un gel ciblé ou d'une autre obligation applicable. Si le logiciel n'utilise que la date de création du document, vérifier qu'elle correspond réellement au déclencheur juridique ; sinon prévoir une métadonnée ou un processus correctif.

12.4 Conservation probatoire : ne pas confondre délai d'action et obligation

Une prescription est une donnée de l'analyse de conservation, pas une instruction universelle de garder toute pièce. Identifier le risque juridique, les documents utiles, le point de départ et les éventuels événements affectant le délai. Les actions en paiement de salaire appellent l'examen de L.3245-1 ; elles ne remplacent pas les obligations de conservation du bulletin ou des pièces sociales.

Une décision "conservation longue pour carrière" doit préciser la nécessité, la base et les garanties. La seule préférence de l'employeur ne suffit pas. Si des données sont gardées uniquement pour répondre à une demande exceptionnelle, elles ne devraient pas rester dans les vues courantes de tous les gestionnaires.

12.5 Copies, sauvegardes, papier et réversibilité

Pour chaque objet, identifier l'emplacement de référence et les duplications : boîte du gestionnaire, export local, ticket de support, imprimante, archive du cabinet, sauvegarde. Décider si chaque copie suit la même durée ou doit disparaître plus tôt. Décrire le délai de rotation des sauvegardes et les restrictions d'accès ; après restauration, éviter la réintroduction durable de données dont la suppression avait été décidée.

Une preuve de suppression peut être un journal de tâche, un rapport d'opération, une attestation contextualisée du prestataire ou un test de recherche. Sa force dépend de son périmètre. "Compte supprimé" ne prouve pas que tous les bulletins et exports ont disparu.

12.6 Employeurs publics : une variante à instruire, pas une note de bas de page

Le référentiel de durées 2026 exclut les documents du dossier individuel électronique des agents publics visé par l'arrêté du 21 décembre 2012. Identifier si le document relève de ce dossier, d'un système de paie distinct ou de pièces comptables publiques ; appliquer la règle correspondante et les obligations d'archives publiques. Ne pas appliquer indistinctement à tous les objets la durée longue d'une rubrique de carrière. Arrêté du 21 décembre 2012 et nomenclature.

La nature publique de l'employeur ne suffit pas à déterminer le statut de chaque personne : un apprenti employé par un organisme public est titulaire d'un contrat de droit privé. Repartir du statut et du document avant de choisir la durée. Service Public, apprentissage dans la fonction publique.

13. Sécurité et habilitations : décrire des mesures appliquées

Définition et utilité

La sécurité protège la confidentialité, l'intégrité et la disponibilité. Pour la paie, une divulgation de bulletin, un IBAN altéré ou une impossibilité d'émettre les salaires ont des conséquences différentes. La fiche doit rendre ces scénarios compréhensibles et renvoyer aux dispositifs effectivement en place.

Les habilitations répondent à "qui peut faire quoi, sur quelles populations et pendant combien de temps ?". Un rôle lié dans DPO SUITE documente la décision ; il ne remplace pas le paramétrage de l'outil paie, de la messagerie ou du prestataire.

Mesures à sélectionner et à décrire

Une case "chiffrement" sans périmètre est insuffisante. Une sauvegarde non restaurée en test n'apporte pas la même assurance qu'une restauration réussie. Éviter de présenter toutes les mesures de ce tableau comme obligatoires à l'identique : l'article 32 impose un niveau adapté au risque, pas un catalogue universel. RGPD, sécurité et violations.

Incidents : expliquer l'effet sur les personnes

En cas d'envoi de bulletin à un tiers, conserver les faits, limiter la diffusion, évaluer les risques, solliciter le prestataire et appliquer les obligations de notification et de communication si leurs conditions sont remplies. Le délai de notification à l'autorité prévu par l'article 33 ne signifie pas que tout incident doit automatiquement être déclaré, ni qu'on peut attendre ce délai pour commencer à agir. Une erreur de paie peut également porter sur l'exactitude sans constituer automatiquement une violation de sécurité : qualifier les faits.

14. Exercice des droits et information des personnes

14.1 Que renseigner dans "Modalité de réponse" ?

Décrire un circuit : réception, enregistrement, identification proportionnée, qualification du droit, recherche des données chez l'employeur et les prestataires, protection des tiers, validation, réponse et traçabilité. Indiquer le service ou la personne de contact et un lien utilisable vers la procédure. Un lien intranet inaccessible à un ancien salarié ne constitue pas son seul canal possible.

Exemple :

Les demandes sont reçues par le canal de contact indiqué dans la notice. Le service chargé des droits coordonne la recherche avec la paie et les prestataires autorisés. L'identité et, le cas échéant, la qualité du représentant sont vérifiées de manière proportionnée. La réponse distingue les données remises, les rectifications opérées et les éventuelles limites motivées. Un canal reste disponible après départ.

14.2 Délai et portée des droits

Le délai RGPD est en principe d'un mois à compter de la réception ; une prolongation de deux mois peut être possible en raison de la complexité ou du nombre, avec information dans le premier mois. Ne pas sélectionner un délai plus long simplement parce que l'outil le propose. Les demandes manifestement infondées ou excessives répondent à des conditions spécifiques et ne doivent pas devenir une catégorie de refus par commodité. RGPD, article 12.

14.3 Information initiale et changements

Informer sur responsable, finalités, bases, données obligatoires/facultatives et conséquences, destinataires, conservation, transferts éventuels, droits et réclamation. Lorsque les données ne viennent pas de la personne, examiner également l'article 14 et ses conditions. La notice doit distinguer les circuits réellement utilisés et permettre un contact après départ. RGPD, articles 13 et 14.

Pour un mineur, rendre l'information compréhensible sans supposer qu'il maîtrise le vocabulaire fiscal ou RGPD. Pour un représentant dont les coordonnées sont recueillies, examiner l'information qui lui est due sur ses propres données. Une signature de remise de notice prouve éventuellement sa réception ; elle ne transforme pas l'ensemble du traitement en traitement consenti.

15. AIPD, systèmes d'IA et décisions automatisées

AIPD : documenter une décision, pas une impression

La paie n'entraîne pas automatiquement une AIPD, et le seul fait de dépasser 250 personnes ne suffit pas à rendre toute paie soumise à AIPD. La liste CNIL sans AIPD prévoit certains traitements RH d'organismes de moins de 250 personnes, sans profilage et sous les conditions prévues. Vérifier ensuite les listes obligatoires et les critères de risque élevé quand une dispense ne couvre pas la situation. CNIL, liste sans AIPD, CNIL, AIPD.

Un apprenti mineur, des données de santé, un traitement massif ou un croisement peuvent modifier l'analyse ; aucun de ces mots ne dispense d'examiner les faits. La prédiction de départ ou le scoring individuel ne sont pas de simples options de paie. Consigner les caractéristiques observées, la liste examinée, l'avis du DPO, la décision et les événements de réexamen.

Champ "Traitement utilisant un système d'IA"

Distinguer l'IA utilisée pour rédiger la fiche de registre et l'IA réellement utilisée dans l'activité de paie. Une assistance rédactionnelle du registre ne signifie pas que le traitement de paie utilise un système d'IA. À l'inverse, un module de détection, de classification ou de recommandation intégré au SaaS doit être analysé selon son fonctionnement, ses données et ses usages.

Avant de choisir, demander au fournisseur la fonction exacte, si elle est activée, les données envoyées, leur conservation, l'entraînement éventuel, la possibilité de désactivation et l'intervention humaine. Ne pas déclarer "non" sans examen lorsque la documentation est ambiguë. Ne pas coller de bulletins réels dans une IA généraliste pour remplir le registre.

Exemple de note d'analyse

Le traitement décrit produit les bulletins à partir de règles de calcul et d'une validation humaine documentée. L'existence et l'activation éventuelle de fonctions d'IA de l'outil restent à confirmer par le fournisseur. La décision AIPD sera revue si sont ajoutés profilage, nouvelles données, changement d'échelle ou décision automatisée affectant les personnes.

Cet exemple illustre une analyse en cours, pas une conclusion d'absence d'AIPD.

16. Documentation : rattacher une preuve, sans dupliquer les dossiers des salariés

Extrait de la notice DPO SUITE. Les références de pièces et leurs droits d'accès doivent être maîtrisés ; l'écran n'atteste ni l'existence ni l'examen des preuves.

Définition et utilité

La documentation relie les déclarations de la fiche à leurs sources. Les cases "AIPD", "politique de confidentialité", "registre des sous-traitants" ou "procédures internes" doivent correspondre à des documents réellement existants et pertinents. Une case cochée ne crée pas la pièce.

Privilégier les références vers des espaces autorisés et correctement habilités : schéma de flux, notices, contrats, analyse des transferts, tableau de conservation, matrice d'accès, décision AIPD, comptes rendus de tests. Une pièce de preuve peut elle-même contenir des données personnelles ou des informations sensibles de sécurité : limiter son audience.

Ne pas joindre à la fiche de registre des bulletins réels, un export nominatif complet ou les identifiants de connexion du prestataire pour "prouver" les catégories. Utiliser un exemple fictif ou une capture correctement expurgée. La rubrique "nom des données" attend "IBAN", pas l'IBAN d'un salarié.

Exemple de liste documentaire

Notice d'information paie : version/date ; schéma des flux : version/date ; contrat prestataire et annexe données : référence ; matrice d'habilitations : référence ; tableau de conservation : version/date ; décision AIPD : date et conclusion motivée ; compte rendu d'audit ciblé : périmètre et réserves ; procédure de droits : lien accessible aux personnes habilitées.

17. Suivi et statut : valider une fiche n'est pas certifier le traitement

Définition et utilité

Le statut indique l'avancement documentaire. La date de création, la dernière mise à jour, la personne ayant validé et les commentaires internes permettent de comprendre qui a relu quoi et quand. Une validation sans périmètre ou sans réserve peut donner une assurance trompeuse.

Quand choisir quel état ?

• En cours : entretien ou preuves incomplets ; distinguer données connues et points ouverts.
• À revoir : évolution, incohérence, nouvel outil, nouvel accès ou preuve insuffisante exigeant une décision.
• Validée : contenu revu par la personne compétente selon la procédure interne, en conservant les réserves et actions. Ce statut n'est pas une attestation CNIL.
• Archivée : fiche retirée de l'activité courante selon le cycle documentaire ; ne signifie pas que les données métier ont été supprimées ni que toutes les obligations de conservation sont terminées.

Les intitulés décrivent les états documentés dans la notice produit ; vérifier leur présentation dans la version utilisée.

Événements de réexamen

Changement de prestataire, de pays de support, de modèle de remise, de populations, de convention ou statut affectant les données, nouvelle fonctionnalité d'IA, migration, incident, contrôle révélant un écart, évolution d'une source juridique ou fin d'une prestation. Fixer aussi une revue périodique proportionnée au risque ; ce guide ne prétend pas qu'une fréquence unique est imposée pour toute fiche.

Exemple de commentaire utile : "Notice et catégories revues avec la paie. Réversibilité testée sur jeu fictif. Pays du support non confirmé : action affectée à la fonction achats, preuve attendue avant validation du transfert."

Commentaire inutile : "Conforme RGPD, validé par le DPO" sans périmètre ni pièces.

18. Parcours de saisie dans DPO SUITE : les douze sections

Ce parcours s'appuie sur la notice "Traitements et données" et sur les champs documentaires de conservation observés dans des fiches. Les libellés et contrôles peuvent évoluer selon la version et la configuration. Les règles juridiques exposées ne dépendent pas du nombre de cases de l'interface. Aucun menu non documenté n'est supposé ici.

Cas de saisie des mineurs : trois configurations

Un apprenti de 17 ans. Catégorie salariés ; sous-catégorie "apprenti mineur, 16–17 ans". Ne pas cocher "Enfants (-16 ans)" uniquement parce qu'il est mineur. Ajouter la vulnérabilité dans l'analyse pertinente et l'information adaptée.

Un apprenti de moins de 16 ans dans une situation légalement admise. La catégorie salariés demeure pertinente ; la catégorie moins de 16 ans peut aussi documenter la caractéristique si la configuration le permet. Cela ne dispense pas de vérifier la licéité de la situation d'apprentissage, ni ne justifie une collecte familiale générale.

Un salarié dont l'enfant est ayant droit d'une prestation. L'enfant n'est pas un salarié. Ne l'ajouter que si ses propres données sont effectivement traitées pour la prestation ; décrire cette finalité et envisager un traitement distinct. Ne pas confondre cette situation avec celle du salarié mineur.

Cas de saisie de la conservation selon la version

La notice décrit des lignes document/durée/unité, une case d'archivage intermédiaire, une justification et des modalités de purge. Des fiches peuvent présenter un tableau plus détaillé : phase, type d'événement, déclencheur, base, justification, copies, emplacement de référence, sort final, preuve attendue et état à vérifier. Utiliser les champs présents. Si un élément n'a pas de colonne dédiée, l'inscrire clairement dans la justification ou une annexe liée ; ne pas omettre le déclencheur parce que l'écran ne le demande pas séparément.

19. Exemple de fiche synthétique : suffisamment remplie, sans faits inventés

Cet exemple correspond à une trame fictive d'employeur privé, pas à une fiche à importer telle quelle. Les mentions "à confirmer" sont volontaires.

20. Entretien métier : les questions qui révèlent les erreurs de registre

Avant l'entretien

Demander un schéma existant, un modèle de bulletin fictif ou expurgé, un dictionnaire de données, les contrats de service, la politique de conservation, la notice et la matrice de rôles. Ne pas demander une extraction nominative complète pour préparer une simple description de catégories.

Pendant l'entretien

1. Qui figure réellement dans une paie de ce mois : salariés, apprentis, stagiaires, dirigeants, agents ? Qui est payé ailleurs ?
2. Quelle variable arrive d'un autre traitement, sous quelle forme et avec quel niveau de détail ?
3. Où un gestionnaire conserve-t-il ses contrôles personnels et ses exports ?
4. Que se passe-t-il si le bulletin est faux, si le salarié a quitté l'organisme ou si le compte professionnel est supprimé ?
5. Qui peut modifier un IBAN et qui valide le paiement ?
6. Le support peut-il voir les données sans qu'on le sache ? Depuis quelles entités et quels pays ?
7. Quelle donnée supplémentaire est collectée pour un apprenti mineur, et quelle règle rend chacune nécessaire ?
8. Comment la personne s'oppose-t-elle à la remise électronique sans bloquer sa paie ?
9. Quelle est la date la plus ancienne encore accessible dans l'outil, les dossiers partagés et les copies du prestataire ?
10. Qu'est-ce qui déclenche la purge et quelle preuve peut-on produire ?
11. Quelles fonctions d'IA ou décisions automatisées existent réellement ?
12. Quelle modification récente n'a pas encore été reportée dans le registre ?

Après l'entretien

Envoyer une synthèse de décisions et de points ouverts, pas seulement une fiche à signer. Rattacher chaque affirmation importante à sa preuve ; affecter les actions aux fonctions capables de les traiter. Faire relire les choix juridiques, les paramètres techniques et les durées par les interlocuteurs appropriés. Le DPO ne peut pas certifier par son seul visa un réglage qu'il n'a pas observé.

21. Mini-audit de clôture du chapitre

Un résultat favorable sur ces huit points ne vaut pas conformité globale. Il indique seulement que les contrôles définis ont été réalisés sur le périmètre décrit. Conserver les écarts ouverts jusqu'à obtention d'une preuve de correction.

22. Démonstration et classeur pédagogique

Une démonstration utile suit une seule émission fictive : sélection des personnes, minimisation des données, justification de la base, comparaison des durées, rattachement du prestataire et revue des preuves. Les cellules et exemples ne doivent contenir aucune donnée réelle de salarié.

Classeur de démonstration à télécharger. Télécharger le classeur DPO FRANCE de démonstration du registre "Émission des bulletins de paie" (Excel). Il reprend la méthode de ce tutoriel en sept onglets : prise en main, personnes et périmètre, données, finalités et bases, conservation, prestataires et preuves, questions et actions, références. Toutes les données sont fictives.

Sources, méthode et actualisation

Le texte distingue les règles juridiques, les repères CNIL et les méthodes proposées. Les principales sources à maintenir sont :

• CNIL : Registre des activités de traitement, pour le socle du registre.
• CNIL : Référentiel gestion des ressources humaines, adopté en 2019, modifié en 2022 ; le millésime du chemin de fichier n'est pas la date de son adoption.
• CNIL : Référentiel durées RH, publié le 2 avril 2026, mis à jour le 20 mai 2026 ; privilégier ce document pour les rubriques actualisées.
• Code du travail : Bulletin de paie, notamment règles de contenu, remise et disponibilité.
• CNIL : RGPD, principes, droits, responsable et sous-traitant et transferts.
• Service Public : Contrat d'apprentissage ; compléter par les textes conventionnels et statuts réellement applicables.

Un champ applicatif ne décide pas du droit applicable. Revoir le chapitre et la fiche de l'organisme lorsqu'un texte, une population, une finalité, une fonction, un prestataire ou un pays d'accès change.