La conservation des bulletins de salaire obéit depuis 2026 à un cadre clarifié par la CNIL. Pour les bulletins papier, l’employeur les conserve 5 ans en archivage intermédiaire. Pour les bulletins émis sous forme électronique, la durée atteint 50 ans, ou l’âge légal de la retraite du salarié augmenté de six ans — la durée la plus longue s’applique. Les autres éléments de paie (assiette de cotisations, identification du travailleur, DSN) sont conservés 6 ans en archivage intermédiaire. Le référentiel CNIL du 2 avril 2026 couvre l’ensemble des données RH, du recrutement aux alertes professionnelles.
Une fiche de paie produite en 2026 sous forme électronique pourra encore être consultée en 2076. Cinquante ans de conservation : la durée ne sort pas d’une fantaisie administrative. Elle figure noir sur blanc à l’article D. 3243-8 du Code du travail, et la CNIL vient de le rappeler dans un référentiel publié le 2 avril 2026, qui passe en revue dix traitements RH et leurs durées de conservation respectives.
Pour les services RH, ce document a une vertu rare : il regroupe en treize pages des règles éparpillées entre le code du travail, le code général des impôts, le code de la sécurité sociale et plusieurs lignes directrices européennes. Reste que les chiffres qui en ressortent appellent un réexamen des pratiques de conservation, parfois héritées d’une époque où la fiche de paie tenait dans un classeur.
50 ans, ou l’âge de la retraite augmenté de six ans
L’article D. 3243-8 du Code du travail, dans sa rédaction issue du décret n° 2016-1762 du 16 décembre 2016 qui a généralisé le bulletin électronique, fixe une obligation précise : lorsqu’un employeur produit des bulletins de paie sous forme électronique, il doit en garantir la disponibilité soit pendant cinquante ans, soit jusqu’à ce que le salarié ait atteint l’âge mentionné au dernier alinéa de l’article L. 1237-5, augmenté de six ans — la plus longue des deux durées l’emporte.
L’âge auquel renvoie l’article L. 1237-5, c’est celui de la mise à la retraite d’office, fixé aujourd’hui à 70 ans. Augmenté de six ans, le seuil atteint donc 76 ans pour le salarié concerné. En clair : pour un salarié entré jeune dans l’entreprise, c’est systématiquement la règle des cinquante ans qui s’applique, puisqu’elle aboutit à une échéance plus lointaine. La logique du législateur : protéger les droits à la retraite des salariés en s’assurant qu’une preuve de rémunération reste accessible bien au-delà de la fin du contrat.
Cette obligation ne pesait pas sur les bulletins papier, conservés seulement cinq ans à titre probatoire. Le bulletin électronique, supposé alléger la charge administrative, a en réalité allongé la durée de conservation pour l’employeur. La nuance est de taille.
Un référentiel CNIL publié le 2 avril 2026
L’autorité de protection des données a mis en ligne le 2 avril 2026 son référentiel sur les durées de conservation des données à caractère personnel dans la gestion des ressources humaines. Le document, élaboré comme un outil opérationnel, distingue deux types de durées : celles qui découlent d’une obligation réglementaire (signalées en bleu) et celles qui relèvent d’une recommandation CNIL (signalées en gris).
La distinction n’est pas anodine. Une durée obligatoire engage juridiquement le responsable de traitement : trop courte, il risque la sanction pour non-respect d’une obligation légale ; trop longue, il s’expose à une violation du principe de minimisation posé par l’article 5 du RGPD. Une durée recommandée, en revanche, donne un point de repère — à ajuster en fonction des spécificités du traitement.
Dix domaines sont couverts : recrutement, gestion administrative du personnel, rémunérations, sécurisation des personnes et des biens, véhicules professionnels, écoute téléphonique, relations collectives de travail, accidents du travail, contentieux et alertes professionnelles. Aucun champ RH n’y échappe, à l’exception notable du dossier individuel des agents publics, régi par un texte spécifique de 2012.
Conservation des bulletins de salaire : papier ou électronique, deux régimes
Le référentiel CNIL détaille précisément les durées applicables à chaque catégorie de données de paie. Trois traitements doivent être distingués :
| Donnée concernée | Base active | Archivage intermédiaire | Fondement |
|---|---|---|---|
| Éléments d’identification du travailleur | Durée du contrat | 6 ans glissants après DSN | L. 102 B CGI / L. 243-16 CSS |
| Mise à disposition du bulletin (papier) | 1 mois après transmission | 5 ans | L. 3243-4 / D. 3243-8 CT |
| Mise à disposition du bulletin (électronique) | 1 mois après transmission | 50 ans ou âge retraite + 6 ans (la plus longue) | D. 3243-8 CT |
| Action en paiement des salaires | N/A | 3 ans | L. 3245-1 CT |
| Éléments de calcul de l’assiette de cotisations | 1 mois maximum | 6 ans | L. 243-16 CSS |
Le tableau a le mérite de mettre fin à un flou récurrent dans les services paie : la durée de cinq ans, héritée du délai de prescription pour les actions probatoires, ne s’applique qu’aux bulletins papier. Dès lors qu’une entreprise bascule en bulletin électronique, sa logique d’archivage doit être repensée — l’outil SIRH doit pouvoir conserver les bulletins pendant cinquante ans, ce qui pose des questions concrètes de pérennité technique et de chiffrement.
Base active et archivage intermédiaire : la distinction qui structure tout
Le référentiel repère systématiquement deux phases de vie de la donnée RH. La base active correspond à l’environnement opérationnel immédiat : les données y sont accessibles aux services qui en ont l’usage quotidien. L’archivage intermédiaire intervient lorsque la finalité initiale est éteinte mais qu’une obligation légale ou un intérêt administratif justifie une conservation prolongée — typiquement, la défense en cas de contentieux.
La CNIL exige une séparation réelle entre les deux. Séparation physique, par extraction des données vers une base dédiée ; ou séparation logique, par restriction des habilitations. En pratique, cela signifie qu’un service paie qui clos un dossier ne doit plus pouvoir y accéder librement — seules des personnes spécifiquement habilitées y reviennent, sur motif documenté.
L’archétype du manquement : l’ancien salarié dont le profil reste consultable cinq ans après son départ, dans le même logiciel, par les mêmes utilisateurs, sans aucun changement de droits. La CNIL a sanctionné ce type de configuration à plusieurs reprises depuis 2020.
Au-delà des bulletins, dix traitements RH à aligner
Le référentiel ne se limite pas à la paie. Il fixe pour chaque traitement RH une durée cible, dont voici les repères les plus structurants pour les directions des ressources humaines.
| Traitement | Durée clé | Fondement |
|---|---|---|
| Candidature non retenue (preuve de non-discrimination) | 5 ans à compter du pourvoi du poste | L. 1134-5 CT |
| CV-thèque (vivier candidats) | 2 ans depuis le dernier contact | Recommandation CNIL |
| Registre unique du personnel | 5 ans après départ du salarié | R. 1221-26 CT |
| Vidéosurveillance des locaux | 1 mois maximum | RGPD art. 5 / L. 252-5 CSI |
| Données biométriques (gabarits) | Suppression au retrait d’habilitation | Règlement type Biométrie |
| Géolocalisation véhicules (optimisation tournées) | 2 mois actif, 1 an archive | Fiche CNIL géolocalisation |
| Enregistrement des appels (formation, qualité) | 6 mois maximum | Recommandation CNIL |
| Mandats des représentants du personnel | Durée du mandat + 6 mois | L. 2411-5 CT |
| Déclaration des accidents du travail | 5 ans en archivage | D. 4711-3 CT |
| Signalements (alertes professionnelles) | Jusqu’à décision motivée | Loi Waserman 2022-401 |
Une lecture transversale s’impose : les durées les plus longues (50 ans pour les bulletins électroniques, 5 ans pour les candidatures non retenues) ont une fonction probatoire, en prévision d’un éventuel contentieux. Les plus courtes (un mois pour la vidéosurveillance, six mois pour les enregistrements téléphoniques) reflètent un principe de minimisation strict. Au fond, le référentiel ne fait qu’appliquer méthodiquement le RGPD à la réalité des services RH français.
Obligations légales et recommandations CNIL : ce qui engage l’employeur
La CNIL précise dans la grille de lecture du référentiel : les durées en bleu sont imposées par les textes, celles en gris sont des points de repère. Cette graduation a une conséquence pratique. Lorsqu’un délégué à la protection des données construit la politique de conservation de son organisation, il doit traiter les premières comme un plancher non-négociable, et les secondes comme un cadre indicatif à ajuster.
Le référentiel CNIL ne couvre pas les dossiers individuels des agents publics, régis par l’arrêté du 21 décembre 2012. Les administrations conservent leurs propres règles — ce qui crée une asymétrie persistante entre secteur public et secteur privé en matière d’archivage RH.
L’employeur qui s’écarterait d’une recommandation devrait pouvoir documenter sa décision : quel risque spécifique justifie une durée différente, quelles mesures compensatoires sont mises en place. Cette obligation de motivation, que la CNIL réclame systématiquement lors de ses contrôles, n’est pas une formalité. Elle est la trace que le responsable de traitement a réellement réfléchi à sa politique de données.
Quatre actions prioritaires pour les services RH
Le référentiel ne crée pas d’obligation nouvelle — il rassemble des règles existantes. Mais cette consolidation oblige les directions RH à vérifier que leur politique interne est alignée. Quatre chantiers s’imposent.
- Cartographier les traitements RH existants et leur affecter une durée de conservation conforme au référentiel. Un fichier de données, qu’il s’appelle « dossier salarié » ou « suivi candidat », doit pouvoir être rattaché à l’une des dix finalités du document.
- Auditer la séparation entre base active et archivage intermédiaire dans le SIRH ou le logiciel de paie. Cette séparation est rarement effective, et c’est l’un des points de contrôle les plus systématiques de la CNIL.
- Vérifier la durée effective de conservation des bulletins de salaire électroniques dans le coffre-fort numérique de l’entreprise. La pérennité technique sur cinquante ans suppose un prestataire qui le garantisse contractuellement, et une réversibilité en cas de changement d’outil.
- Documenter les choix qui s’écartent des recommandations CNIL par une note interne. En cas de contrôle, l’absence de motivation se retourne contre l’employeur.
Le calendrier joue contre les services RH. La CNIL a publié ce référentiel après plusieurs années de jurisprudence convergente sur les durées excessives — notamment la décision Carrefour de 2020 (sanction de 2,25 millions d’euros) ou la série de mises en demeure de 2023 sur les CV-thèques. Disposer aujourd’hui d’un document opérationnel rend l’ignorance plus difficile à justifier.
Reste à observer comment les SIRH du marché s’adapteront. Sur la conservation des bulletins de salaire en particulier, la fonctionnalité « coffre-fort 50 ans » n’est pas encore standardisée — et la question pratique de la réversibilité, lorsqu’une entreprise change de prestataire au bout de dix ans, reste largement non résolue.
FAQ — Conservation des bulletins de salaire et données RH
Combien de temps un employeur doit-il conserver les bulletins de salaire ?
Pour les bulletins papier, l’employeur doit les conserver 5 ans en archivage intermédiaire (article L. 3243-4 du Code du travail). Pour les bulletins émis sous forme électronique, la durée est de 50 ans, ou jusqu’à ce que le salarié ait atteint l’âge de la retraite augmenté de 6 ans — la durée la plus longue s’applique (article D. 3243-8 du Code du travail).
Pourquoi 50 ans pour les bulletins électroniques ?
Cette durée a été fixée par le décret n° 2016-1762 du 16 décembre 2016 ayant généralisé le bulletin de paie électronique. L’objectif est de protéger les droits à la retraite des salariés : la fiche de paie reste la preuve de cotisation pendant toute la carrière, même bien après la fin du contrat de travail. L’alternative prévue par le texte (âge de l’article L. 1237-5 augmenté de 6 ans) renvoie à l’âge de mise à la retraite d’office, soit 76 ans pour le salarié concerné.
Combien de temps conserver une candidature non retenue ?
5 ans à compter de la date à laquelle le poste a été pourvu, à des fins probatoires en cas d’action en discrimination (article L. 1134-5 du Code du travail). Pour une CV-thèque (vivier de candidats), la CNIL recommande 2 ans à compter du dernier contact.
Quelle différence entre base active et archivage intermédiaire ?
La base active correspond à l’environnement opérationnel immédiat : les données y sont accessibles aux services qui en ont l’usage quotidien. L’archivage intermédiaire intervient lorsque la finalité initiale est éteinte mais qu’une obligation légale ou un intérêt administratif (contentieux) justifie une conservation prolongée. La CNIL exige une séparation réelle, physique ou logique, entre les deux.
Le référentiel CNIL est-il obligatoire ?
Le document mixe deux types de durées : celles imposées par la réglementation (Code du travail, Code de la sécurité sociale, Code général des impôts) sont obligatoires ; celles recommandées par la CNIL constituent des points de repère. Un employeur peut s’écarter d’une recommandation, mais il doit alors documenter ses choix par une motivation crite.
Que risque l’employeur en cas de conservation excessive ?
Une conservation au-delà des durées légales contrevient au principe de limitation posé par l’article 5 du RGPD. Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. La CNIL a sanctionné Carrefour France de 2,25 millions d’euros en 2020 pour ce type de manquement.
Combien de temps conserver les images de vidéosurveillance en entreprise ?
1 mois maximum à compter de la captation, par analogie avec l’article L. 252-5 du Code de la sécurité intérieure. Au-delà, les images doivent être supprimées — sauf si une procédure disciplinaire ou pénale est engagée, auquel cas les enregistrements sont extraits du dispositif et conservés pour la durée de la procédure dans un autre traitement.
Sources
- CNIL, Référentiel sur les durées de conservation des données à caractère personnel — gestion des ressources humaines, 2 avril 2026
- Code du travail, articles L. 1134-5, L. 3243-4, D. 3243-8, L. 3245-1, R. 1221-26, D. 4711-3, L. 2411-5
- Code de la sécurité sociale, article L. 243-16
- Code général des impôts, article L. 102 B
- Règlement général sur la protection des données (UE) 2016/679, article 5
- Loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte