Paie : ne donnez pas la même durée au calcul, au bulletin et au coffre-fort

Une fiche intitulée "logiciel de paie, conservation : 50 ans" masque le vrai traitement. Elle confond la production mensuelle, les justificatifs sociaux, le double du bulletin détenu par l'employeur et le service de disponibilité du bulletin électronique au bénéfice du salarié. L'astuce consiste à dessiner ces quatre circuits avant de rédiger le registre.

Cette fiche propose une méthode opérationnelle, pas une validation CNIL. Le référentiel RH est un cadre pour certains traitements courants, non un catalogue exhaustif des traitements de chaque employeur. Les exemples ci-dessous sont fictifs.

1. Partir de la sortie utile, puis remonter les flux

Intitulé possible : Calcul et versement des rémunérations, édition des bulletins et déclarations sociales afférentes. Associer une fiche ou un sous-périmètre identifiable à la mise à disposition durable des bulletins. Ne pas y englober automatiquement recrutement, médecine du travail, contrôle d'activité, contentieux ou avantages sociaux : les données et les accès diffèrent.

En entretien, demander au gestionnaire de refaire un mois de paie avec des données de démonstration : d'où viennent les variables, qui les corrige, qui valide, quel fichier part en banque, qui reçoit la DSN, où restent les exports ? Faire apparaître les tableurs, messageries, répertoires et copies du cabinet, pas seulement le SIRH. Demander aussi ce qui se passe pour une régularisation après départ.

Le registre doit identifier la personne morale employeur responsable du traitement, ses coordonnées, le DPO le cas échéant, le pilote RH, les établissements et populations couverts. Une direction RH est un service, pas nécessairement le responsable du traitement au sens juridique. Dans un groupe, vérifier la répartition réelle des décisions avant de qualifier une société de services de sous-traitante.

2. Une base par opération, pas trois cases cochées au hasard

Pour un employeur privé, distinguer l'exécution du contrat pour les opérations qui lui sont nécessaires et les obligations légales de paie et de déclaration, en citant les textes effectivement applicables. Pour un employeur public, identifier les textes statutaires et les obligations qui gouvernent la rémunération ; une mission d'intérêt public doit être étayée par son fondement juridique, non par la seule qualité publique. Ne pas retenir par défaut le consentement du personnel. Une option de remise électronique n'est pas un consentement général à la paie. Le choix est à formaliser finalité par finalité conformément au référentiel RH, sections 3 et 4.

Pour des éléments révélant la santé ou une appartenance syndicale, examiner séparément la condition de l'article 9, notamment celle relative aux obligations en droit du travail et de la protection sociale quand elle s'applique. Ne pas assimiler le NIR à une donnée de santé par nature ; son utilisation relève d'un encadrement national spécifique et doit rester attachée aux opérations autorisées. RGPD, articles 6 et 9.

Décision à documenter : une ligne par finalité, avec l'article RGPD retenu, le texte sectoriel ou contractuel pertinent, les données indispensables et la personne qui a validé ce raisonnement. Éviter la formulation "obligation RGPD" : le RGPD ne crée pas l'obligation de payer un salaire.

3. Décrire ce que la paie reçoit réellement

Personnes : salariés et anciens salariés pour les régularisations, agents concernés selon statut, stagiaires rémunérés si inclus. Les ayants droit ne doivent figurer que si une prestation effectivement gérée le justifie. Pour les intérimaires, déterminer qui paie : l'entreprise utilisatrice n'a pas à importer tout le dossier paie de l'agence.

Inventaire à adapter : identité et matricule ; coordonnées nécessaires ; situation contractuelle et classification ; quotité, variables et montants ; coordonnées bancaires ; identifiants sociaux autorisés ; éléments fiscaux nécessaires au prélèvement ; seules informations d'absence utiles au calcul. Indiquer les sources : personne, RH, outil temps, organisme déclaratif, administration fiscale.

Test de minimisation proposé : pour chaque colonne de l'export, demander "quelle ligne du calcul ou quelle obligation échoue sans cette donnée ?". Un diagnostic médical, un récit de conflit ou un dossier familial complet n'a pas à entrer dans les commentaires du logiciel. Séparer les pièces justificatives sensibles des variables codifiées. Tester les droits d'un manager avec un compte de démonstration : valider une prime ne doit pas lui ouvrir les coordonnées bancaires de toute l'équipe.

4. Qualifier les destinataires et les prestataires

Construire une matrice indiquant, pour chaque acteur, données visibles, motif et mode d'accès. RH paie, validation financière et comptabilité n'ont pas nécessairement besoin du même contenu. Les organismes sociaux et fiscaux, banques et autorités destinataires ne deviennent pas des sous-traitants du seul fait d'une transmission. Un cabinet peut avoir des rôles différents selon sa mission ; qualifier la production de paie séparément de ses obligations propres.

Pour l'éditeur SaaS, le cabinet opérant sur instruction, l'hébergeur, l'archiviste ou l'opérateur de coffre-fort : consigner le rôle réel, le contrat applicable, les sous-traitants ultérieurs et les prestations couvertes. L'article 28 impose un encadrement des traitements confiés ; une page marketing "RGPD" ne suffit pas. RGPD, article 28.

Pièce utile à demander : une description de réversibilité précisant les formats restitués, les délais, les copies éliminées, les exceptions légales et la preuve d'effacement. Vérifier comment le salarié garde accès à ses bulletins après désactivation de son compte professionnel.

5. Construire plusieurs lignes de conservation

Le référentiel CNIL des durées RH, page 5, publié le 2 avril 2026 et mis à jour le 20 mai 2026, distingue les phases actives et intermédiaires. Il propose notamment un mois actif pour la mise à disposition du bulletin ; le double employeur est conservé cinq ans à compter de sa transmission, le mois actif étant inclus dans cette période ; six ans pour les éléments d'assiette et de DSN, depuis leur établissement ou réception. Ne pas convertir ces indications en une durée unique du dossier RH.

Sources des règles : L.243-16 du Code de la sécurité sociale, D.3243-8 du Code du travail, référentiel RH, ordre de virement, page 11. Le texte de D.3243-8 doit être préféré à un âge simplifié recopié d'une fiche ancienne. Un délai de prescription n'est pas, à lui seul, une obligation de garder toutes les données pendant ce délai.

Réserve public : le référentiel de durées 2026 ne couvre pas les documents du dossier individuel électronique des agents publics visé par l'arrêté du 21 décembre 2012. Vérifier statut, règles d'archives publiques et instructions de tri avant suppression. Ne pas transposer mécaniquement la grille du salarié privé.

6. Auditer les transferts sans s'arrêter à "hébergé en France"

Demander les pays de production, secours, sauvegarde, télémaintenance et support. Un accès depuis un pays tiers par une autre entité juridique peut constituer un transfert même si le serveur reste dans l'EEE ; le déplacement à l'étranger d'un salarié de la même entité n'est pas automatiquement un transfert au sens du chapitre V. Guide CNIL d'analyse d'impact des transferts, 2025.

La fiche de registre doit renvoyer à une analyse datée : entité importatrice, pays, catégories transférées, mécanisme juridique et garanties effectives. Tester le support avec un jeu fictif : peut-il ouvrir un bulletin réel sans autorisation ni journal ? L'absence de réponse du prestataire doit rester un point non vérifié, pas devenir "aucun transfert".

7. Sécurité : tester le mois de paie à risque

Mesures opérationnelles proposées, à adapter au risque : MFA pour administrateurs et gestionnaires ; comptes nominatifs ; contrôle séparé d'un changement d'IBAN ; validation des virements par un second acteur ; chiffrement des flux ; exports datés avec expiration ; journal des consultations et modifications ; correctifs suivis ; sauvegarde restaurée en test ; procédure d'envoi erroné de bulletin. Les habilitations doivent suivre arrivées, changements de fonction et départs.

Un test particulièrement révélateur consiste à faire partir un gestionnaire fictif : son accès disparaît-il aussi chez le cabinet, dans l'outil de transfert et sur le dossier partagé ? Un autre consiste à rechercher un bulletin périmé dans les exports de recette et les tickets de support. Ces propositions ne sont pas une liste de mesures imposée indistinctement par la CNIL.

8. Information, droits et AIPD : faire fonctionner le circuit

Informer les personnes des finalités, bases, destinataires, durées, transferts et modalités de droits, ainsi que du caractère obligatoire des champs et de ses conséquences. Une notice paie doit expliquer les circuits réellement utilisés. Accès et rectification doivent fonctionner pour un ancien salarié sans compte interne ; l'effacement n'est pas absolu lorsqu'une conservation légale reste applicable. Ne pas promettre opposition ou portabilité pour toutes les opérations. CNIL, gestion du personnel ; RGPD, droits.

La paie n'entraîne pas automatiquement une AIPD. La liste CNIL des traitements dispensés vise notamment certains traitements RH d'organismes de moins de 250 personnes, sans profilage, sous ses conditions exactes. Au-delà, absence de dispense ne signifie pas automatiquement obligation : analyser les risques et les listes applicables. Ajouter scoring, prédiction de départ ou croisement massif impose de réexaminer le périmètre. Liste CNIL sans AIPD, page 1.

9. Le dossier de preuve à joindre, sans encombrer la fiche

Conserver les références vers le schéma des flux, la matrice de droits, le tableau de conservation validé, les contrats, l'analyse des transferts, la notice, la décision AIPD motivée et un compte rendu des tests. Séparer trois états : déclaré par le métier, vérifié sur preuve, reste à corriger. Une case "conforme" ne remplace aucun de ces éléments.

Recontrôler les textes sectoriels lors de toute évolution. Cette ressource ne préjuge pas de l'analyse de chaque organisme.

10. Dans DPO SUITE : documenter les objets, pas seulement le logiciel

Les champs de traitement disponibles couvrent finalités générale et détaillée, base légale et justification, personnes, données, destinataires, logiciels, liens vers les sous-traitants, sécurité et transferts. Les champs documentaires permettent de référencer les notices, contrats et décisions. Renseigner le circuit réel de paie et laisser explicitement à vérifier ce qui n'a pas été confirmé.

Le tableau de conservation permet de distinguer document, phase, durée, type d'événement et déclencheur, base juridique, justification, copies, emplacement de référence, sort final et preuve attendue de suppression. Proposition : créer une ligne pour chaque objet du tableau ci-dessus, avec les copies de messagerie et de tableurs à part si leur régime diffère. Vous retrouvez ainsi la règle, sa preuve et sa limite dans le dossier du traitement. Vérifiez ensuite l'effacement dans le logiciel de paie et les espaces de copie : sa documentation dans DPO SUITE ne déclenche pas cette purge.

11. Mini-audit : sept preuves à demander

Noter date, périmètre échantillonné, preuve, écart et responsable de correction. Ce mini-audit ne remplace ni l'évaluation complète du traitement ni l'examen des règles de paie.