RGPD et fiche de paie : comment respecter la Loi ?

1- Comment s’applique le RGPD à la fiche de paie ?

Qu’est-ce que le RGPD ?

💡 Le RGPD (règlement général sur la protection des données) encadre le traitement des données personnelles au sein l’Union européenne et vise à renforcer le contrôle de leur collecte et de leur utilisation. L’objectif est de protéger la vie privée des personnes concernées. En France, le texte européen s’inscrit dans la continuité de la loi française Informatique et Libertés de 1978.

Le RGPD s’applique à la gestion de la paie car ces processus nécessitent la manipulation de très nombreuses données personnelles. La « donnée personnelle » est décrite comme « toute information se rapportant à une personne physique identifiée ou identifiable ».

Pour produire la paie, les gestionnaires paie sont amenés à réaliser un traitement de données. Le traitement de données est défini à l’article 4 du RGPD comme « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ».

Or, un traitement de données personnelles doit obligatoirement avoir une finalité. Il n’est pas autorisé de stocker des informations personnelles sans objectif, juste « au cas où » !

Fiche de paie et finalité de traitement

📝 La finalité du traitement est l'objectif principal de l'utilisation de données personnelles. Les données :

1. doivent être collectées dans un but déterminé et légitime ;
2. ne doivent pas être traitées ultérieurement dans une finalité incompatible avec l’objectif initial.

💼 La gestion des paies est une finalité de traitement. Autrement dit, l’employeur est autorisé à collecter et à utiliser des données personnelles dans le but de :

• Editer un bulletin de paie,
• Accomplir les différentes formalités administratives tout au long de la collaboration : formalités d’embauche, traitement de la paie, édition des contrats de travail, paiement des salaires etc.,
• Gérer l’organisation du travail et notamment les plannings,
• Organiser les évaluation professionnelles et les formations continues.

🔎 Sur quoi se fonde la finalité de traitement en paie ? Il existe 6 bases légales listées à l’article 6 du RGPD :

• Intérêt légitime
• Obligation légale
• Sauvegarde des intérêts vitaux
• Mission d’intérêt public
• Consentement
• Contrat

En l’occurrence, la base légale qui vous autorise à collecter des données personnelles dans le cadre de la gestion de la paie est le contrat.

Ainsi, la licéité du traitement étant fondée sur le contrat de travail, il n’est pas nécessaire de recueillir le consentement des salariés préalablement à l’établissement d’une fiche de paie.

2- Fiche de paie et RGPD : quelles sont les données personnelles à protéger ?

🔎 Comme nous l’avons vu, la base légale de la finalité de traitement en matière de gestion de la paie est le contrat. De ce fait l’employeur n'est autorisé à collecter et à stocker les données personnelles d’un salarié qu’une fois le contrat de travail conclu. Il est également autorisé à conserver ces données personnelles ultérieurement à la cessation du contrat de travail, pour une certaine durée. En effet, certains documents font l’objet d’une obligation de conservation. Par exemple, une fiche de paie doit être conservée 5 ans par l’entreprise.

Quelles sont ces données personnelles à protéger ? Les données personnelles qui doivent faire l’objet d’une protection sont celles qui permettent d’identifier la personne physique directement ou indirectement.

Sur une fiche de paie, il s’agit des informations figurant dans les mentions obligatoires :

• Identification directe : l’identité (nom, prénom),
• Identification indirecte : matricule, numéro de sécurité sociale, date de naissance, fonction occupée, adresse postale. 

Mais la protection ne s’arrête pas là. En effet, toutes les informations relatives à la rémunération du salarié sont concernées par l’obligation de protection des données personnelles :

• Salaire de base
• Compléments de rémunération ; 
• Congés payés ; 
• Informations relatives au prélèvement à la source (PAS) comme le taux d’imposition ; 
• Congés maladie ou accident du travail qui sont des données sensibles relatives à l’état de santé du salarié ; 
• etc.

📝 Le RGPD a été instauré dans le but de protéger les données personnelles des personnes concernées. Ainsi, un employeur est autorisé à traiter les données personnelles de ses salariés dans un cadre RH uniquement, il ne peut jamais les utiliser dans une démarche commerciale. Autrement dit, l’employeur ne peut pas vendre les données de ses salariés à des partenaires commerciaux.

3- Comment mettre une fiche de paie en conformité avec le RGPD ?

Peut-on envoyer une fiche de paie par email ?

❌ Transmettre une fiche de paie par mail, y compris par la messagerie professionnelle, n’est pas autorisé par le RGPD en raison des risques pour la sécurité des données à caractère personnel. Les risques sont en effet multiples : fuite de données, modification illicite de données ou encore le vol de données (notamment pour usurper une identité).

Pour répondre à la réglementation en vigueur, Fiche-Paie.net met à disposition des salariés un espace employés où ils peuvent :

• Consulter et télécharger leurs fiches de paie
• Effectuer leurs demandes de congés
• Transmettre un arrêt de travail ou de maladie
• Demander un acompte
• Effectuer leurs notes de frais et leurs indemnités kilométriques

Mettez en place dès à présent l'espace employé pour vos salariés.

En effet, la CNIL a rendu un avis au sujet de la transmission des bulletins de salaire par courrier électronique  : « La messagerie électronique ne constitue pas un moyen de communication sûr pour transmettre des données personnelles, sans mesure complémentaire. Une simple erreur de manipulation peut conduire à divulguer à des destinataires non habilités des données personnelles et à porter ainsi atteinte au droit à la vie privée des personnes. En outre, toute entité ayant accès aux serveurs de messagerie concernés (notamment ceux des émetteurs et destinataires) peut avoir accès à leur contenu ».

Or, si le bulletin de paie dématérialisé n’est pas une obligation pour les employeurs, la loi en facilite la mise en œuvre. En effet, lorsque le salarié souhaite recevoir ses fiches de paie sous format papier, il doit indiquer son refus de la fiche de paie dématérialisée par écrit.

Or, pour être conforme au RGPD, la fiche de paie dématérialisée doit obligatoirement être inviolable et les salariés doivent pouvoir la consulter facilement à tout moment, d'où l'importance d'utiliser l'espace employés disponible sur notre logiciel de paie.

Fiche de paie : comment respecter le RGPD ?

📝 Pour gérer la paie et produire des bulletins de salaire en conformité avec le RGPD, veillez à respecter ces obligations :

• Information des salariés concernant :
  

> la durée de conservation de leurs données personnelles,
> les différents traitements de leurs données personnelles,
> l’identité des personnes ayant accès à leurs données personnelles et habilités à les traiter (gestionnaire paie, RH, manager etc.)

• Insérer une clause de données personnelles dans le contrat de travail : cette clause permet d’informer les salariés de l’utilisation qui est faite des données ainsi que de leurs droits. A défaut d’avoir à recueillir leur consentement, les salariés doivent être informés du fait que leurs données personnelles vont être l’objet de communications internes au sein de l’entreprise. Par exemple, un manager opérationnel remonte un arrêt maladie au responsable RH, qui le communique au gestionnaire paie pour éditer le bulletin de salaire. Cette clause permet de s’assurer que le salarié a bien reçu l’information.
  
• Assurer la sécurité et la confidentialité des données : créez un accès sécurisé aux données personnelles et assurez-vous que seules les personnes habilitées peuvent les consulter et les traiter. Par exemple, il s’agit d’être scrupuleux concernant le périmètre de confidentialité dans un logiciel de paie.

4- Quelles sanctions en cas de non-respect du RGPD ?

⚠️ Si un employeur ne respecte pas ses obligations au regard du RGPD, l’autorité de contrôle Française, la CNIL, peut prendre des sanctions à son encontre. Ces sanctions sont progressives selon la gravité du manquement, ainsi qu'en cas de non correction dudit manquement après un premier contrôle.

🔎 Les sanctions que peut prononcer la CNIL sont de 3 ordres :

1. La CNIL peut rappeler l’entreprise à l’ordre par un simple avertissement, une mise en demeure ou encore une obligation de rectification ou d’effacement : l’entreprise est alors tenue de mettre en place des mesures correctrices;
2. Si lors d’un contrôle ultérieur, les mesures correctrices n’ont pas été apportées, la CNIL peut prononcer une sanction administrative : ces sanctions consistent en des amendes pouvant aller jusqu’à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.
3. Dans les cas les plus graves, par exemple le détournement de données, la CNIL peut prononcer une sanction pénale :

> Une amende pouvant aller jusqu’à 300 000 € ;
> Une peine jusqu’à 5 ans de prison.

Vous l’aurez compris : ne négligez pas la confidentialité des données personnelles de vos salariés dans le cadre de la gestion RH !

👉 Créez simplement une fiche de paie conforme en cliquant ci-dessous :

CRÉER UNE FICHE DE PAIE