Votre employeur vous annonce que les bulletins de paie passent au tout-électronique, logés dans un coffre-fort numérique géré par un prestataire que vous n’avez jamais choisi. Ou bien vous avez quitté l’entreprise depuis des mois et, au moment de reconstituer votre carrière pour la retraite ou de répondre à une administration, vos codes d’accès ne fonctionnent plus et le service RH vous renvoie vers un éditeur qui ne répond pas. Dans les deux cas, la même question se pose : qui détient réellement vos données de paie, pendant combien de temps, et avec quels moyens les récupérer ou les faire effacer.
La paie concentre des données parmi les plus sensibles de la vie salariée : identité, adresse, numéro de sécurité sociale, salaire, absences, κατάσταση familiale parfois, coordonnées bancaires. Lorsque l’entreprise externalise la paie auprès d’un prestataire ou dépose les bulletins dans un coffre-fort électronique, elle ne transfère jamais sa responsabilité. L’employeur reste le responsable du traitement au sens du règlement européen sur la protection des données, tandis que le prestataire n’est en principe que son sous-traitant. Cette répartition commande tout : le salarié peut refuser la dématérialisation, exiger l’accès à ses bulletins pendant des décennies, puis obtenir l’effacement des conservations devenues abusives. Et quand le prestataire retient les données à la fin du contrat, le juge des référés ordonne la restitution.
Ce point fait le tour des leviers concrets, côté salarié comme côté entreprise, avec les textes applicables et deux décisions récentes qui éclairent la sortie de contrat et les limites de la plainte CNIL.
I. Refuser le bulletin électronique et garder l’accès à sa paie
A. Dire non à la dématérialisation, avant comme après la première paie
Le passage au bulletin de paie électronique n’est jamais une décision unilatérale de l’employeur. L’article L. 3243-2 du code du travail dispose que « Sauf opposition du salarié, l’employeur peut procéder à la remise du bulletin de paie sous forme électronique, dans des conditions de nature à garantir l’intégrité, la disponibilité pendant une durée fixée par décret et la confidentialité des données ». Le régime repose donc sur un accord implicite : l’employeur propose, le salarié dispose. Aucune case pré-cochée dans le règlement intérieur, aucune clause du contrat de travail ne peut priver le salarié de ce droit d’opposition.
Le décret d’application organise concrètement ce refus. Lorsqu’il décide de dématérialiser, l’employeur doit informer chaque salarié, par tout moyen conférant date certaine, un mois avant la première émission électronique ou au moment de l’embauche. Surtout, « Le salarié peut faire part de son opposition à tout moment, préalablement ou postérieurement à la première émission d’un bulletin de paie sous forme électronique. » Un salarié qui avait accepté le coffre-fort à l’embauche peut donc changer d’avis deux ans plus tard, sans avoir à motiver sa décision. La notification se fait par tout moyen conférant date certaine, ce qui recouvre la lettre recommandée, l’email avec accusé de réception ou la remise en main propre contre décharge. Et « La demande du salarié prend effet dans les meilleurs délais et au plus tard trois mois suivant la notification. » Passé ce délai de trois mois, l’employeur qui continuerait d’alimenter uniquement le coffre-fort manquerait à son obligation de remise du bulletin.
En pratique, le salarié qui s’oppose doit recevoir ses bulletins au format papier, sans frais ni pénalité déguisée. L’employeur ne peut pas conditionner le retour au papier à un délai de préavis, ni réserver certains services aux seuls utilisateurs du coffre-fort. Pour l’entreprise, la prudence commande de conserver la preuve de l’information préalable et de chaque opposition reçue : en cas de litige prud’homal sur la remise des bulletins, c’est à l’employeur de démontrer qu’il a respecté la procédure. Les représentants du personnel ont ici un rôle de vigilance, car une bascule collective vers le tout-électronique sans information individuelle expose l’entreprise à autant de retours au papier que de salariés opposés.
Un point mérite l’attention des salariés déjà partis : l’opposition reste possible après la rupture du contrat. Un ex-salarié dont les bulletins sont restés au format électronique peut exiger le retour au papier pour la période restant couverte par l’obligation de conservation de l’employeur, ou à tout le moins la restitution de ses bulletins dans un format lisible. Lorsque l’accès au coffre-fort a été coupé le jour du départ, cette demande s’accompagne normalement d’une demande d’accès aux données, examinée plus loin.
B. Cinquante ans d’accès, cinq ans de double : les durées qui protègent le salarié
La dématérialisation n’a été acceptée par le législateur qu’en contrepartie d’une garantie de disponibilité exceptionnellement longue. L’article D. 3243-8 du code du travail impose à l’employeur de garantir l’accès du salarié à ses bulletins électroniques « soit pendant une durée de cinquante ans », soit jusqu’à ce que le salarié ait atteint l’âge de la mise à la retraite d’office augmenté de six ans. Cinquante ans : c’est la durée qui permet à chacun de reconstituer sa carrière complète au moment de liquider ses droits à retraite. L’employeur choisit entre les deux branches de l’alternative, mais il ne peut descendre en dessous d’aucune.
Cette garantie suit le salarié après son départ. Le changement de prestataire de coffre-fort, la résiliation du contrat de paie externalisée ou même la disparition de l’employeur ne doivent pas priver l’ex-salarié de ses bulletins. Le même article prévoit qu’en cas de fermeture du service, les utilisateurs sont informés au moins trois mois avant la date de fermeture pour récupérer leurs bulletins stockés. Et à tout moment, « Les utilisateurs sont mis en mesure de récupérer à tout moment l’intégralité de leurs bulletins de paie émis sous forme électronique, sans manipulation complexe ou répétitive, et dans un format électronique structuré et couramment utilisé. » Un export page par page avec captcha à chaque document, un format propriétaire illisible sans le logiciel du prestataire ou une récupération facturée au document ne satisfont pas cette exigence. Le salarié peut exiger un export complet, structuré et réutilisable.
En miroir, l’employeur est tenu de conserver un double des bulletins. L’article L. 3243-4 du code du travail énonce que « L’employeur conserve un double des bulletins de paie des salariés ou les bulletins de paie remis aux salariés sous forme électronique pendant cinq ans. » Cinq ans à compter de la fin de la relation de travail pour l’essentiel : c’est le délai de droit commun qui couvre la prescription des créances salariales et les contrôles des organismes sociaux. La Commission nationale de l’informatique et des libertés retient la même approche dans ses règles pour la gestion du personnel, en indiquant que certaines informations doivent être conservées par l’employeur sur un support d’archive, « 5 ans après le départ du salarié ». Son référentiel des durées de conservation des données de ressources humaines, publié au printemps 2026, détaille ces durées par catégorie de documents et sert de grille de lecture aux contrôles : l’entreprise qui conserve les dossiers complets de paie en base active dix ans après le départ s’expose à un rappel à l’ordre, puis à une mise en demeure.
Il faut distinguer trois états des données, car chacun obéit à un régime différent. En base active figurent les données couramment utilisées pour la gestion de la paie des salariés présents. En archivage intermédiaire sont placées les données conservées pour satisfaire une obligation légale, comme le double quinquennal des bulletins, avec un accès restreint aux seules personnes habilitées. Au-delà, la conservation n’est licite que pour des finalités précises, par exemple un contentieux en cours ou une procédure de contrôle : le règlement européen exige que la durée de conservation des données soit « limitée au strict minimum ». Une base de paie historique consultable par l’ensemble du service RH dix ans après le départ des salariés méconnaît ce principe de limitation de la conservation, même si personne ne s’en plaint.
Les salariés disposent en outre d’un accès parallèle via leur compte personnel d’activité. L’article L. 5151-6 du code du travail ouvre à chaque titulaire du compte un service de consultation de ses bulletins de paie, lorsqu’ils ont été transmis par l’employeur sous forme électronique dans les conditions prévues par la loi. Ce canal, géré par la Caisse des dépôts et consignations, ne remplace pas le coffre-fort de l’employeur, mais il offre une porte d’entrée supplémentaire quand l’accès direct est bloqué. En pratique, le salarié qui ne retrouve plus ses bulletins commence par vérifier ce service avant d’engager une demande formelle auprès de l’ancien employeur.
II. Quand l’employeur ou le prestataire de paie bloque : contraindre et réparer
A. Accès, effacement, réparation : les droits qui font bouger le dossier
Face à un employeur ou un prestataire qui ne répond pas, le salarié n’est pas démuni. Le règlement européen lui ouvre une série de droits directement invocables, avec un délai de réponse contraint. Le responsable du traitement doit répondre « dans un délai d’un mois » Ce délai d’un mois vaut pour les demandes d’accès, de rectification, d’effacement ou de limitation. Il peut être prolongé de deux mois pour les demandes complexes, à condition d’en avertir la personne dans le premier mois. Le silence gardé au-delà caractérise un manquement qui fonde une plainte devant la CNIL puis, si nécessaire, une action devant le juge.
Le droit d’accès permet d’abord de savoir ce que l’entreprise détient. Toute personne peut obtenir « l’accès auxdites données », ainsi que les informations sur les finalités, les catégories de données, les destinataires et la durée de conservation. Pour un ex-salarié, la demande porte utilement sur l’ensemble du dossier de paie : bulletins, solde de tout compte, attestations, mais aussi journaux d’accès au coffre-fort et liste des destinataires auxquels ses données ont été transmises, dont le prestataire de paie et l’éditeur du coffre-fort. La réponse doit intervenir dans le délai d’un mois et, lorsque la demande est électronique, par voie électronique sauf demande contraire. L’employeur ne peut exiger du salarié qu’il justifie d’un motif : le droit d’accès est inconditionnel.
Le droit à l’effacement prend le relais quand la conservation n’a plus de base. En droit français, « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 », comme le rappelle le Conseil d’État. Et l’article 17 ouvre l’effacement notamment lorsque « plus nécessaires au regard des finalités » Concrètement, une fois expirés le délai de cinq ans du double des bulletins et les prescriptions applicables, l’ex-salarié peut exiger la suppression de ses données de paie conservées en base active, y compris les copies détenues par l’ancien prestataire. L’effacement n’est pas absolu : l’employeur peut le refuser pour les données nécessaires à la constatation, à l’exercice ou à la défense de droits en justice, par exemple pendant un litige prud’homal en cours, ou pour respecter une obligation légale de conservation. Mais passé ces exceptions, le maintien des données devient une violation qui engage la responsabilité de l’entreprise.
Car la violation ouvre droit à réparation. Le règlement prévoit que « réparation du préjudice subi » L’ex-salarié privé de ses bulletins au moment de faire valoir ses droits à la retraite, ou dont les données de paie ont circulé sans base légale vers un nouveau prestataire, peut demander au juge la réparation de son préjudice, matériel et moral. L’action se porte devant le tribunal judiciaire, indépendamment de toute sanction prononcée par la CNIL. La plainte devant la CNIL et l’action en justice sont complémentaires : la première vise la mise en conformité et la sanction, la seconde l’indemnisation.
Une limite procédurale mérite d’être connue des entreprises comme des salariés : la plainte devant la CNIL n’est pas la voie pour régler un différend contractuel entre un responsable de traitement et son prestataire. Le Conseil d’État l’a rappelé le 27 août 2026 dans une affaire où un médecin, responsable du traitement des données de ses patients, demandait à la CNIL d’ordonner à son sous-traitant informaticien la restitution de ces données. La Haute juridiction juge que cette saisine, formée en qualité de responsable du traitement et non de personne concernée, « Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD », et rejette le recours. Autrement dit, l’employeur qui veut récupérer les données de paie retenues par son prestataire ne saisit pas la CNIL comme plaignant : il agit devant le juge du contrat, en exigeant la restitution prévue par le règlement et par ses clauses. En revanche, le salarié dont les données sont concernées peut toujours saisir la CNIL d’une réclamation en son nom propre.
B. Paie externalisée : imposer au prestataire contrat, restitution et référé
Externaliser la paie ne déplace pas la responsabilité : l’employeur demeure responsable du traitement et le prestataire n’agit que sur ses instructions documentées. Le fondement du traitement des données de paie se trouve d’ailleurs dans le contrat de travail lui-même, puisque le règlement juge licite le traitement quand « nécessaire à l’exécution d’un contrat », ainsi que pour respecter les obligations légales de l’employeur en matière sociale et fiscale. Le prestataire qui reçoit les variables de paie, calcule les bulletins, télédéclare les données sociales nominatives et archive les documents ne peut donc utiliser ces données pour son propre compte, les revendre, les exploiter à des fins statistiques ou les transférer hors d’Europe sans instruction et sans encadrement. Toute réutilisation autonome l’expose à être requalifié de responsable du traitement, avec les sanctions attachées.
Le contrat de prestation de paie doit dès lors contenir les mentions protectrices qu’exige le règlement. Avant de signer, l’entreprise vérifie que le prestataire présente des garanties suffisantes en matière de sécurité, d’hébergement et de gestion des incidents. Le contrat décrit l’objet, la durée, la nature et les finalités du traitement, les types de données et les catégories de personnes concernées, prévoit l’assistance due à l’employeur pour répondre aux demandes d’accès et d’effacement des salariés, organise les audits et encadre le recours à d’éventuels sous-traitants ultérieurs, comme l’hébergeur du coffre-fort. Il fixe enfin le sort des données à la fin de la relation : le règlement impose au sous-traitant, « selon le choix du responsable du traitement », de supprimer toutes les données ou de les renvoyer au responsable au terme de la prestation, puis de détruire les copies existantes. L’entreprise a intérêt à préciser ce choix dès la signature : restitution dans un format structuré et courant, calendrier de réversibilité avec période de recouvrement pendant laquelle l’ancien et le nouveau prestataire coopèrent, destruction attestée des copies, sort des sauvegardes et des journaux. Sans clause de réversibilité détaillée, la sortie de contrat devient un rapport de force où le prestataire sortant facture chaque extraction au prix fort.
Quand le prestataire sortant retient les données, le juge des référés tranche vite. Le tribunal des activités économiques de Nanterre l’a illustré le 9 juin 2026 dans un litige opposant deux sociétés de travail temporaire à leur franchiseur, qui assurait notamment le paiement des salaires et charges sociales, les déclarations sociales et la déclaration sociale nominative. À la rupture, la restitution des données et documents de paie s’est trouvée bloquée. Le juge a ordonné la communication et la restitution des documents conservés pour l’exécution des contrats, dont les prestations de paiement des salaires et charges sociales, les déclarations sociales relatives à la paie et la déclaration mensuelle sociale nominative, « au moyen d’un ou plusieurs supports informatiques physiques remis et après avoir vérifié l’existence des données », avec procès-verbal de commissaire de justice, et « sous astreinte de 500 € par jour » passé un bref délai après signification (ordonnance de référé du 9 juin 2026, RG 2026R00586). La leçon vaut pour tout contrat de paie externalisée : face à un prestataire qui conditionne la restitution au paiement de factures contestées ou qui fait traîner l’extraction, l’assignation en référé pour trouble manifestement illicite, avec demande d’astreinte et de constat par commissaire de justice, produit des effets en quelques semaines. L’entreprise prend soin de mettre en demeure au préalable, de décrire précisément les données attendues et de prévoir le support de restitution, car le juge ordonne d’autant mieux qu’on lui demande une mesure précise.
Les salariés sont les bénéficiaires indirects de cette discipline contractuelle. Quand l’employeur change de prestataire de paie, il doit informer les salariés du transfert de leurs données vers le nouvel outil, mettre à jour son registre des traitements et vérifier que l’ancien prestataire a bien détruit ses copies après restitution. Le salarié qui reçoit un email du nouveau prestataire sans en avoir été averti peut interroger l’employeur sur la base légale et les garanties du transfert. Pour approfondir la répartition des rôles dans ces chaînes de traitement, on peut se reporter à l’analyse de qui répond des données personnelles dans une chaîne de sous-traitance informatique et cloud. Et lorsque c’est l’accès même aux données qui est refusé, la démarche complète figure dans le guide pour obtenir la copie complète de ses données en un mois et saisir la CNIL et le juge.
Reste la question des transferts hors d’Europe, fréquente quand l’éditeur du logiciel de paie ou du coffre-fort héberge les données aux États-Unis. Aucun transfert ne peut reposer sur la seule commodité technique : il faut une décision d’adéquation, des clauses contractuelles types ou une autre garantie appropriée, avec information des salariés. L’employeur qui découvre que son prestataire de paie a sous-traité l’hébergement hors d’Europe sans l’en avertir doit exiger la régularisation immédiate, voire suspendre les flux. Le salarié, de son côté, peut interroger l’employeur sur le lieu d’hébergement de ses bulletins dans le cadre de son droit d’accès : la localisation des données fait partie des informations que le responsable du traitement doit fournir.
En somme, la paie externalisée et dématérialisée n’est sûre que si trois verrous tiennent ensemble. Le premier est individuel : le salarié connaît son droit d’opposition et son droit de récupération, et les exerce par écrit avec date certaine. Le deuxième est contractuel : l’employeur impose à son prestataire un contrat complet, avec audit, assistance aux demandes des salariés et réversibilité chiffrée. Le troisième est juridictionnel : à défaut d’exécution amiable, le référé restitue les données sous astreinte et le juge indemnise les préjudices. Les entreprises qui négligent l’un de ces verrous paient deux fois : en mise en conformité précipitée et en contentieux.
Conclusion
Le bulletin de paie électronique et la paie externalisée obéissent à une logique simple : la technique ne déplace ni le droit du salarié ni la responsabilité de l’employeur. Refuser la dématérialisation à tout moment, récupérer l’intégralité de ses bulletins dans un format courant même après son départ, exiger l’effacement des données conservées au-delà des délais : ces leviers appartiennent à chaque salarié et s’exercent par des demandes écrites, puis devant la CNIL et le juge si nécessaire. Côté entreprise, un contrat de paie précis, une réversibilité organisée et des durées de conservation respectées évitent la sanction comme le contentieux. Quand le dialogue se bloque, les décisions récentes montrent que le juge ordonne la restitution sous astreinte et que la CNIL sanctionne les conservations excessives.
Besoin d’un avis rapide sur votre dossier
Vous êtes salarié ou ex-salarié et vos bulletins de paie électroniques sont inaccessibles, ou votre prestataire de paie retient vos données à la fin du contrat et vous voulez obtenir leur restitution, leur effacement ou la réparation de votre préjudice. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la demande à adresser, la plainte à déposer et l’action à engager. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.