Coffre-fort numérique bulletin de paie : le guide employeur 2026

Depuis le 1er janvier 2017, l’employeur peut remettre le bulletin de paie sous forme électronique sans accord préalable, sauf opposition du salarié. Pour un dirigeant de TPE-PME, un DRH ou un expert-comptable, la question n’est donc plus « peut-on dématérialiser ? » mais « comment le faire sans se mettre en faute ». C’est là que la recherche « coffre-fort numérique bulletin de paie » prend son sens : la loi n’impose aucun outil précis, mais elle exige des garanties concrètes (intégrité, confidentialité, disponibilité pendant des décennies, restitution) que seul un dispositif pensé pour durer peut tenir. Ce guide résume les textes, les obligations, les critères de choix et les erreurs fréquentes.

Ce que dit la loi sur la dématérialisation du bulletin de paie

L’article L3243-2 : l’électronique au choix de l’employeur, sauf opposition du salarié

Le cadre tient en un article du Code du travail, l’article L3243-2, réécrit par la loi n° 2016-1088 du 8 août 2016 et en vigueur depuis le 1er janvier 2017. Sauf opposition du salarié, l’employeur peut remettre le bulletin de paie sous forme électronique, dans des conditions « de nature à garantir l’intégrité, la disponibilité pendant une durée fixée par décret et la confidentialité des données ainsi que leur accessibilité » via le service associé au compte personnel d’activité.

Conséquences pratiques :

• Plus d’accord préalable à recueillir : c’est au salarié de s’opposer s’il veut rester au papier.
• Aucun support imposé : un PDF déposé dans un espace sécurisé convient, si les garanties sont tenues.
• Ces garanties sont cumulatives : chiffrer sans garantir la disponibilité dans le temps ne suffit pas.

Les articles D3243-7 et D3243-8 : information, opposition et durée d’accès

Le décret n° 2016-1762 du 16 décembre 2016 a fixé les modalités dans trois articles : D3243-7, D3243-8 et R3243-9.

Article D3243-7, information et opposition. L’employeur informe le salarié « par tout moyen conférant date certaine », un mois avant la première émission électronique ou au moment de l’embauche, de son droit de s’opposer. Le salarié peut s’opposer à tout moment, avant ou après le premier bulletin électronique, et sa demande prend effet « dans les meilleurs délais et au plus tard trois mois suivant la notification ».

Article D3243-8, disponibilité et restitution. L’employeur « arrête les conditions dans lesquelles il garantit la disponibilité » du bulletin électronique, au choix :

• pendant une durée de cinquante ans ;
• ou jusqu’à ce que le salarié ait atteint l’âge mentionné au dernier alinéa de l’article L1237-5, augmenté de six ans ; ce dernier alinéa visant le soixante-neuvième anniversaire du salarié, cela revient à ses 75 ans.

Le même article impose deux garanties de sortie : en cas de fermeture du service (cessation d’activité du prestataire, ou de l’employeur s’il héberge lui-même), les utilisateurs sont informés au moins trois mois avant ; et ils doivent pouvoir récupérer à tout moment l’intégralité de leurs bulletins, « sans manipulation complexe ou répétitive, et dans un format électronique structuré et couramment utilisé ».

Le compte personnel d’activité

L’article R3243-9, issu du même décret, prévoit que le service en ligne associé au compte personnel d’activité (CPA) permet à son titulaire de consulter tous ses bulletins électroniques, quels que soient ses employeurs. Ce raccordement est une condition légale, pas une option : demandez au prestataire comment il l’assure.

Ce que l’employeur conserve de son côté

La fiche « Fiche de paie » de service-public.gouv.fr (vérifiée le 1er juin 2026) rappelle que l’employeur conserve un double de chaque bulletin, papier ou électronique, pendant cinq ans dans les locaux de l’entreprise. Elle rappelle aussi la sanction : une amende pouvant atteindre 450 € par fiche non remise, sans préjudice de dommages et intérêts. Un bulletin que le salarié ne parvient pas à ouvrir est, de ce point de vue, un bulletin non remis.

Coffre-fort numérique bulletin de paie : les quatre obligations à couvrir

Ces textes se traduisent en quatre exigences que tout dispositif doit satisfaire, quel que soit son nom commercial.

1. Intégrité. Le bulletin consulté dans dix ans doit être identique à celui émis. Cela suppose empreinte, horodatage et impossibilité de remplacer un document déposé.
2. Confidentialité. Seuls le salarié et les personnes qu’il mandate lisent ses bulletins. La CNIL, dans sa délibération n° 2013-270 du 19 septembre 2013 sur les coffres-forts numériques destinés aux particuliers, réserve le terme aux espaces dont l’accès est limité au seul utilisateur et pose que le fournisseur « ne doit pas être techniquement en mesure d’accéder au contenu ».
3. Disponibilité. Cinquante ans, ou jusqu’aux 75 ans du salarié. Aucune TPE ne tient cinquante ans avec un simple dossier partagé : ce sont le prestataire, son contrat et son plan de continuité qui portent la promesse.
4. Restitution. Préavis de trois mois en cas de fermeture, export intégral à tout moment dans un format courant. Un export absent du produit aujourd’hui n’existera pas le jour où vous en aurez besoin.

S’y ajoute le RGPD : un bulletin contient des données personnelles (numéro de sécurité sociale, salaire, absences). Le prestataire agit comme sous-traitant, avec contrat écrit et garanties de sécurité ; notre article sur les transferts de fichiers et le RGPD détaille les questions à lui poser.

Comment choisir un coffre-fort numérique pour les fiches de paie

Chiffrement : qui détient la clé ?

« Chiffré » ne dit rien tant qu’on ignore qui peut déchiffrer. Trois niveaux :

• le chiffrement en transit (HTTPS) protège le trajet, pas le stockage ;
• le chiffrement au repos protège le disque, mais l’hébergeur garde la clé et peut lire ;
• le chiffrement côté client, dit zero-knowledge, chiffre avant l’envoi : le fournisseur ne peut pas lire.

La recommandation CNIL citée plus haut va dans ce sens : données « chiffrées avec une clef, maîtrisée uniquement par l’utilisateur » selon les règles de l’ANSSI et, pour la conservation à long terme, copie de sauvegarde de la clé confiée à un tiers de confiance, toute utilisation étant tracée. Pour le détail, lisez notre guide de l’architecture zero-knowledge.

Point de vigilance : une clé perdue par un salarié ne doit pas signifier cinquante ans de bulletins perdus. Demandez qui gère la récupération de clé, et comment.

Hébergement dans l’Union européenne

Un hébergement hors UE déclenche les règles de transfert du RGPD et expose les données à des législations étrangères. Privilégiez un prestataire qui nomme ses centres de données et le droit applicable. Voir notre article sur la souveraineté numérique en France.

Réversibilité et pérennité

• Export de tous les bulletins d’un salarié en une opération, au format PDF, sans passer par le support.
• Engagement contractuel sur la durée de disponibilité, rachat ou cessation d’activité de l’éditeur compris.
• Maintien de l’accès après la fin du contrat de travail et de votre abonnement : l’accès du salarié ne dépend ni de son poste ni de votre relation avec l’éditeur.

Accès du salarié

• Pas de numéro de sécurité sociale pour router les documents : la CNIL l’exclut expressément, « y compris lorsqu’il s’agit de router des bulletins de paye ».
• Authentification robuste, de préférence avec un second facteur.
• Raccordement au compte personnel d’activité.
• Consultation simple sur mobile : un salarié qui n’ouvre pas son bulletin demandera du papier.

Coût réel

Comparez sur un horizon long : tarif par bulletin ou par salarié, frais d’ouverture, coût des exports, de la conservation après départ et de la migration si vous changez de logiciel de paie. Le prix le plus bas cache souvent des frais de sortie.

Check-list à transmettre au prestataire

• Qui peut déchiffrer les bulletins ? Avec quelle clé, stockée où ?
• Où sont hébergées les données ? Sous quel droit ?
• Comment garantissez-vous cinquante ans de disponibilité ? Que se passe-t-il si vous fermez ?
• Comment un salarié exporte-t-il tous ses bulletins ? En combien d’étapes ?
• Comment se fait le raccordement au compte personnel d’activité ?
• Quel journal d’accès permet de prouver la remise ?

Mise en place pas à pas

1. Cadrer la décision. Une note interne fixe la date de bascule, le périmètre, l’option de durée retenue (cinquante ans ou 75 ans du salarié) et le traitement des oppositions.
2. Contractualiser. Contrat de sous-traitance RGPD, engagement de disponibilité, clause de réversibilité, préavis de fermeture. Mettez à jour le registre des traitements.
3. Informer chaque salarié au moins un mois avant le premier bulletin électronique, par un moyen à date certaine (remise contre signature, lettre recommandée). Prévoyez un formulaire d’opposition et intégrez l’information au dossier d’embauche.
4. Paramétrer le flux entre le logiciel de paie et le coffre-fort, puis lancer un lot pilote avec quelques volontaires.
5. Ouvrir les accès et accompagner la première connexion avec un guide d’une page.
6. Tenir un registre des oppositions, avec la date de prise d’effet (au plus tard trois mois après la demande).
7. Contrôler chaque année : un salarié parti l’an dernier peut-il toujours ouvrir ses bulletins ? L’export fonctionne-t-il ? Le prestataire existe-t-il encore ?

Les erreurs les plus fréquentes

• Confondre envoi et coffre-fort. Un PDF envoyé par courriel n’est ni intègre (modifiable), ni confidentiel (il transite en clair), ni disponible cinquante ans (il disparaît avec la messagerie). Même raisonnement pour les outils de partage grand public.
• Oublier l’information préalable. Sans information à date certaine, la remise électronique est contestable dès le premier bulletin.
• Router par le numéro de sécurité sociale. Pratique pour apparier la paie et le coffre-fort, expressément proscrit par la CNIL.
• Couper l’accès au départ du salarié. L’obligation de disponibilité survit au contrat de travail.
• Ne pas tester la sortie. Exportez tous les bulletins d’un salarié fictif avant de signer.
• Stocker « en attendant » sur un cloud personnel ou sur le poste du cabinet. C’est là que se produisent les fuites.

ZeroTrustShare : une option, avec ses limites pour la paie

ZeroTrustShare se présente comme un « coffre-fort numérique chiffré », « alternative Google Drive zero-knowledge, hébergée en France ». Sa page annonce des fichiers chiffrés sur l’appareil de l’utilisateur (« même nous, en tant qu’hébergeur, ne pouvons pas les lire »), la révocation d’un partage après l’envoi, un journal d’audit (« qui a vu, téléchargé ou partagé »), des liens expirables et aucun compte obligatoire pour les destinataires. Parmi les usages cités : les experts-comptables, pour les « bulletins de paie et documents fiscaux ». Essai annoncé gratuit 14 jours, sans carte bancaire.

Soyons précis. Ces caractéristiques répondent aux exigences de confidentialité et de traçabilité : transmettre des bulletins entre un cabinet et son client, ou en remettre un à un salarié par un lien chiffré et révocable, est un usage possible. En revanche, la page ne mentionne ni engagement de disponibilité sur cinquante ans, ni raccordement au compte personnel d’activité, ni espace pérenne par salarié : ZeroTrustShare n’est pas présenté comme un coffre-fort de paie dédié. Avant d’en faire le support légal de remise, posez à l’éditeur les questions de la check-list, en particulier sur la durée et l’export.

Questions fréquentes

Un salarié peut-il revenir au papier après avoir reçu des bulletins électroniques ?

Oui. L’article D3243-7 autorise l’opposition « à tout moment, préalablement ou postérieurement à la première émission ». L’employeur a alors trois mois au plus pour revenir au papier.

Combien de temps le bulletin électronique doit-il rester accessible ?

Cinquante ans à compter de l’émission, ou jusqu’aux 75 ans du salarié, selon l’option retenue par l’employeur (article D3243-8). Le double de l’employeur, lui, est conservé cinq ans.

Envoyer le bulletin en PDF par courriel est-il conforme ?

Non : le courriel ne garantit ni l’intégrité, ni la confidentialité, ni la disponibilité dans le temps exigées par l’article L3243-2. Il faut un espace sécurisé et pérenne dont le salarié garde l’accès.

Que se passe-t-il si le prestataire cesse son activité ?

Les utilisateurs doivent être informés au moins trois mois avant la fermeture et pouvoir récupérer l’intégralité de leurs bulletins dans un format structuré et courant. Vérifiez que ce scénario figure dans le contrat, pas seulement dans la plaquette.

Le coffre-fort doit-il être relié au compte personnel d’activité ?

Oui. L’accessibilité via le service associé au CPA fait partie des conditions posées par l’article L3243-2 et précisées à l’article R3243-9.

Faut-il l’accord écrit du salarié avant de dématérialiser ?

Non. Depuis 2017, il faut informer, un mois avant ou à l’embauche, par un moyen à date certaine, puis respecter les oppositions sous trois mois.

En résumé

Dématérialiser le bulletin de paie est simple sur le papier et exigeant dans la durée : informer à date certaine, garantir cinquante ans d’accès, chiffrer pour que seul le salarié puisse lire, prévoir la sortie avant l’entrée. Choisissez l’outil sur ces critères, pas sur le prix du mois. Pour échanger des documents de paie avec votre cabinet ou vos équipes dans un espace chiffré côté client et hébergé en France, vous pouvez tester ZeroTrustShare et vérifier, check-list en main, ce qu’il couvre.