Sécurité et RGPD d'un logiciel de paie : hébergement, accès, sous-traitance et conservation
Les données de paie sont sensibles : ce que le RGPD impose à l'employeur, les garanties à demander à l'éditeur, la gestion des accès et les durées de conservation.
Un logiciel de paie concentre des données parmi les plus sensibles de l'entreprise : identité, adresse, numéro de sécurité sociale, rémunérations, coordonnées bancaires, arrêts maladie, saisies sur salaire. Le règlement général sur la protection des données (RGPD) impose à l'employeur, responsable de traitement, de les protéger, et à l'éditeur ou au prestataire, sous-traitant, de présenter des garanties écrites. Ce guide liste les points à vérifier avant de choisir un outil : contrat de sous-traitance, hébergement, gestion des accès, journalisation, conservation et restitution des données.
Les rôles : responsable de traitement et sous-traitant
L'employeur décide des finalités de la paie : c'est lui le responsable de traitement et il répond de la conformité. L'éditeur d'un logiciel en ligne, ou le cabinet qui produit les bulletins, traite les données pour son compte : c'est un sous-traitant. Le RGPD exige un contrat de sous-traitance précisant l'objet, la durée, la nature des traitements, les mesures de sécurité, le sort des données en fin de contrat et le recours éventuel à d'autres sous-traitants. Lisez ce document : il fait partie du prix que vous payez, même s'il n'y figure pas.
Les garanties à demander à un éditeur
| Sujet | Question à poser |
|---|---|
| Contrat de sous-traitance | Est-il fourni, conforme au RGPD, annexé au contrat ? |
| Hébergement | Où sont stockées les données (pays, hébergeur) ? |
| Transferts hors Union européenne | Y en a-t-il, et sur quelles garanties ? |
| Sous-traitants ultérieurs | Lesquels, et comment êtes-vous informé d'un changement ? |
| Sécurité | Chiffrement, sauvegardes, plan de reprise, tests, certifications éventuelles |
| Accès du personnel de l'éditeur | Qui peut voir vos données, avec quelle traçabilité ? |
| Incident | Quel engagement de notification en cas de violation de données ? |
| Restitution et effacement | Que devient la base à la fin du contrat, dans quel délai ? |
Les réponses doivent être écrites. Une réponse commerciale orale n'a pas la même valeur qu'une clause de contrat.
Gérer les accès en interne
La principale source de risque est souvent interne. Quelques règles simples :
- limiter l'accès au logiciel aux personnes qui en ont besoin, avec des profils distincts (saisie, validation, consultation) ;
- utiliser des comptes nominatifs et une authentification renforcée lorsqu'elle est disponible ;
- retirer immédiatement les accès d'une personne qui quitte l'entreprise ;
- éviter l'envoi de bulletins ou d'exports par messagerie non protégée ;
- vérifier la journalisation : qui a modifié quoi, et quand.
Dans une petite structure, la tentation de partager un seul identifiant est forte : c'est une pratique à proscrire, car elle supprime toute traçabilité.
Les bulletins dématérialisés
Le bulletin sous forme électronique est possible sauf opposition du salarié, avec des garanties d'intégrité et de disponibilité, souvent via un coffre-fort numérique. Vérifiez l'accès du salarié, la durée de conservation dans le coffre-fort, la restitution en cas de départ et l'information donnée au salarié. Voir mentions du bulletin et remise électronique.
Durées de conservation
Il n'y a pas de durée unique : elle dépend de la nature des documents. Repères généraux à vérifier auprès de la CNIL et des textes :
- l'employeur doit conserver un double des bulletins de paie pendant cinq ans ;
- certaines données de paie et pièces sociales ont des durées différentes selon leur usage et les obligations de preuve ;
- passé la durée utile, les données doivent être supprimées ou archivées de façon limitée.
Demandez à l'éditeur comment l'outil gère l'archivage et la purge. Si l'outil conserve tout indéfiniment sans option de suppression, il peut être difficile de respecter le principe de limitation de la conservation.
Exemple de grille d'évaluation
Exemple illustratif pour comparer deux offres sur la sécurité, avec une notation de 0 à 2 par critère (0 insuffisant, 1 acceptable, 2 solide) :
- Contrat de sous-traitance : offre A 2, offre B 1.
- Hébergement documenté dans l'Union européenne : offre A 2, offre B 0 (non précisé).
- Gestion des profils et journalisation : offre A 1, offre B 2.
- Procédure d'incident et notification : offre A 2, offre B 1.
- Restitution et effacement : offre A 1, offre B 1.
Total : offre A 8 sur 10, offre B 5 sur 10. Cette grille est un outil de comparaison interne, sans valeur d'audit : en cas d'enjeu fort, faites appel à un spécialiste de la conformité. Intégrez ces critères dans votre liste de contrôle.
En cas d'incident
Si vous constatez une perte, un accès non autorisé ou une divulgation de données de paie, le RGPD prévoit une obligation de documenter la violation et, selon sa gravité, de la notifier à la CNIL dans un délai bref, ainsi que d'informer les personnes concernées si le risque pour elles est élevé. Consultez la CNIL pour la procédure à jour et prévenez immédiatement votre éditeur. La préparation en amont (qui prévient qui, quelles preuves conserver) fait gagner un temps précieux.
Cas particuliers : externalisation, export, tableur
- Externalisation : le cabinet ou le prestataire est sous-traitant, avec contrat dédié. Voir paie externalisée ou logiciel interne.
- Export vers un autre outil : lors d'une migration, les fichiers d'export sont des données sensibles : transmettez-les par canal sécurisé, supprimez-les après usage et tracez l'opération. Voir reprise des données.
- Tableur : fichiers circulant par courriel, sans journal d'accès, peu protégés. Voir faire la paie sur Excel.
Erreurs à éviter
- Signer un contrat sans contrat de sous-traitance RGPD.
- Partager un identifiant unique entre plusieurs personnes.
- Garder indéfiniment des exports de paie sur des postes non protégés.
- Utiliser des données réelles de salariés dans un environnement d'essai non encadré.
- Oublier de supprimer les accès d'un ancien collaborateur.
Questions fréquentes
L'employeur est-il responsable en cas de faille chez l'éditeur ?
Il reste responsable de traitement, mais le contrat de sous-traitance répartit les obligations. Une faille imputable à l'éditeur peut engager sa responsabilité ; la gestion de l'incident vis-à-vis des salariés et de la CNIL reste à organiser avec lui.
Faut-il désigner un délégué à la protection des données ?
La désignation est obligatoire dans certains cas seulement. Consultez la CNIL pour savoir si votre organisation est concernée.
Les données doivent-elles être hébergées en France ?
Le RGPD n'impose pas systématiquement un hébergement en France, mais encadre les transferts hors de l'Union européenne. Demandez la localisation et les garanties.
Sources
- CNIL — RGPD, sous-traitance, durées de conservation et violations de données
- Service-Public.fr — conservation du bulletin de paie
- Légifrance — textes applicables
