Envoyer un bulletin de paie par e-mail classique est interdit. Une boîte mail ne garantit ni le chiffrement des données ni le contrôle des accès — deux exigences du RGPD pour tout traitement de données personnelles sensibles. La dématérialisation, elle, est parfaitement légale depuis 2017 : c’est le canal qui pose problème, pas le principe de supprimer le papier. La voie conforme passe par un portail sécurisé ou un coffre-fort numérique, pas par une messagerie.
Une obligation légale sans exception
Les articles L. 3243-1 et L. 3243-2 du Code du travail imposent à tout employeur de remettre un bulletin de paie à chaque salarié, sans exception liée au type de contrat, au montant de la rémunération ou à la taille de l’entreprise. Cette obligation vaut pour une TPE d’un salarié comme pour un groupe de plusieurs centaines. Ce cadre ne laisse aucune marge : la question n’est pas de savoir si on remet le bulletin, mais comment.
Ce que le RGPD interdit – et pourquoi l’e-mail ne suffit pas
Un bulletin de paie concentre des données personnelles particulièrement sensibles : salaire net et brut, situation familiale, coordonnées bancaires, lignes de prévoyance et de mutuelle, cotisations sociales. Transmettre ces informations par e-mail classique expose l’employeur à un risque de violation de données, car la messagerie électronique n’est pas considérée comme un canal sécurisé au sens du RGPD.
En cas de contrôle, la sanction peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (selon le règlement européen, le montant le plus élevé des deux s’applique). Pour une TPE ou une PME, même le seuil le plus bas de cette échelle représente un risque opérationnel réel. Pour aller plus loin sur les implications du RGPD pour les TPE, les obligations concrètes sont souvent sous-estimées.
Certains envisagent de chiffrer les pièces jointes ou d’utiliser une messagerie sécurisée de bout en bout. Cette piste n’est pas explicitement validée comme conforme par les textes disponibles : elle ne doit pas être présentée comme une solution établie.
Ce que la loi autorise depuis 2017
Le décret n°2016-1762 du 16 décembre 2016 a modifié les règles : depuis le 1er janvier 2017, un employeur peut dématérialiser les bulletins de paie sans demander l’accord de ses salariés. Avant cette date, l’accord exprès de chaque salarié était obligatoire — une contrainte qui freinait le passage au numérique.
La conformité tient au canal retenu. Un portail RH sécurisé ou un coffre-fort numérique répond aux exigences : accès authentifié, traçabilité des consultations, données chiffrées au repos et en transit. Une boîte mail, même professionnelle, n’offre pas ces garanties.
Vérifier sa conformité en quatre points
- Obligation légale respectée : chaque salarié reçoit un bulletin à chaque paie, sans exception.
- Canal de transmission : un portail sécurisé ou un coffre-fort numérique est utilisé — pas une messagerie e-mail.
- Accord salarié : si la dématérialisation a été mise en place après le 1er janvier 2017, aucun accord préalable n’est requis.
- Historique : si des bulletins ont été envoyés par e-mail classique avant la mise en conformité, évaluer le risque résiduel avec un conseil juridique ou RH.
La prochaine étape est simple : identifier un outil de dématérialisation qui propose un accès authentifié et un hébergement chiffré, et migrer l’émission des bulletins vers ce canal avant la prochaine échéance de paie.