SIRH : migrer les dossiers sans tout transférer

Une migration SIRH réussie reprend les données nécessaires à la gestion des salariés, conserve les pièces encore utiles dans un espace adapté et ferme les accès devenus inutiles. Copier tout l’ancien outil n’est pas une garantie de conformité. Supprimer l’ancien compte dès que l’import se termine ne garantit pas davantage la continuité de la paie, des droits ou des preuves.

La décision de bascule doit donc répondre à trois questions concrètes : les données reprises ont-elles le même sens, les bonnes personnes peuvent-elles y accéder et les obligations restantes sont-elles assurées après fermeture ? Le RGPD impose notamment minimisation, exactitude, conservation limitée et sécurité ; la procédure ci-dessous traduit ces exigences en contrôles RH. Source : Art. 5(1)(c) à (f) et 5(2).

Décider de la destination avant de préparer l’export

Séparez les données nécessaires au travail courant, les archives conservées pour un motif identifié et les éléments devenus inutiles. Une date ancienne ne suffit pas à classer une pièce : un avenant toujours applicable peut être indispensable au dossier actif, tandis qu’un export récent peut être un simple doublon.

Pour chaque ensemble, les RH doivent expliquer l’usage qui justifie sa destination. Les informations utiles à une correction de paie ne doivent pas disparaître avec le dossier d’un salarié sorti. À l’inverse, un contentieux à conserver ne doit pas donner aux managers un accès courant à toutes les pièces du litige.

Exemple hypothétique : la PME Orbe prépare le changement de son outil de gestion administrative, des congés et de transmission des variables au cabinet de paie. Elle compte quarante-huit salariés présents : quarante et un CDI, cinq CDD et deux apprentis. L’ancien outil contient aussi dix-sept dossiers de personnes parties. Ce total de soixante-cinq dossiers est un point de départ de l’inventaire, pas un objectif de soixante-cinq comptes actifs dans la cible.

Ces destinations ne constituent pas des durées universelles. Orbe applique sa politique documentée à chaque catégorie. Le référentiel RH publié par la CNIL aide à identifier les durées, mais distingue recommandations et durées imposées par un texte ; les références doivent être vérifiées dans la situation considérée. Source : CNIL, présentation du référentiel de conservation RH.

Décrire ce que chaque champ signifie

Une table de correspondance utile ne contient pas seulement deux noms de colonnes. Elle précise l’unité, la période, les valeurs admises, la source faisant autorité et le responsable de l’arbitrage.

Pour Orbe, la rubrique « responsable » désigne le manager actuel, pas le signataire historique du contrat. Les deux informations doivent rester distinctes. De même, un document signé ne doit pas être remplacé par un modèle vierge simplement parce que leurs fichiers portent un nom proche.

Sur les congés, prenons le compteur fictif de Nora à la date de reprise : vingt-quatre jours acquis et huit jours pris sur une période identifiée, soit seize jours restant disponibles. L’ancien outil et la cible utilisent tous deux les jours ouvrés pour ce compteur. La fiche de contrôle conserve les vingt-quatre, les huit, la période et le solde seize. Elle ne se contente pas d’importer « 16 » dans un champ dont l’unité serait inconnue.

Si la cible utilise une autre unité ou une autre période de référence, suspendez cette conversion jusqu’à validation par la paie et les RH. Un facteur mécanique appliqué à tous les soldes peut effacer des reports ou mélanger des droits de natures différentes. Le choix de l’outil ne modifie pas, à lui seul, les droits du salarié.

Pour les données déclaratives, conservez les références permettant au cabinet de rattacher les historiques et les corrections. Les anomalies DSN encore ouvertes doivent conserver leur responsable, leurs pièces et leur état réel, même lorsque l’écran qui les affichait disparaît.

Encadrer l’éditeur et l’intégrateur avant l’import

Lorsque l’éditeur ou l’intégrateur traite les données pour le compte de l’employeur, examinez ses garanties et contractualisez les opérations selon l’Art. 28 du RGPD. Le contrat doit couvrir les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance et le sort des données en fin de prestation. Un engagement de confidentialité seul ne remplit pas toutes ces fonctions. Source : Art. 28(1), (2) et (3).

Dans l’instruction de migration, indiquez précisément les fichiers autorisés, les opérations permises, les personnes habilitées et la date de suppression des copies de travail. Décrivez également où passent les données : dépôt temporaire, outil de conversion, environnement de vérification, cible et éventuels accès d’assistance. Ne présumez pas qu’un fichier reste dans le même environnement parce qu’il est envoyé par le prestataire habituel.

Si la paie est confiée à un cabinet, faites confirmer les formats et références dont il a besoin. Définissez aussi qui valide les écarts : l’intégrateur peut constater une différence, mais il n’a pas nécessairement autorité pour décider d’une classification ou du droit à une prime.

Refaire les habilitations dans la cible

La nouvelle application peut donner un sens différent à un rôle intitulé « responsable ». Reprenez la matrice du dossier salarié et de ses accès, puis vérifiez ce que chaque profil peut consulter, modifier et exporter. La CNIL recommande de limiter les habilitations aux missions et de retirer les droits temporaires ou devenus inutiles. Source : CNIL, gestion des habilitations.

Chez Orbe, le choix retenu est le suivant : les deux gestionnaires RH accèdent aux dossiers nécessaires à leur mission ; les managers disposent du planning et des demandes de congés de leur équipe, sans accès général aux rémunérations ni aux archives contentieuses. Le cabinet reçoit les variables nécessaires à la paie. L’intégrateur dispose d’un accès temporaire limité aux opérations de reprise.

Contrôlez également les vues exportées et les recherches transversales. Un écran correctement limité peut coexister avec un export trop large. Une pièce classée dans un dossier restreint peut rester accessible par un ancien lien. Ces vérifications doivent être effectuées avant ouverture aux utilisateurs, dans une configuration représentative et avec un jeu fictif quand il suffit à éprouver les permissions.

Autoriser la bascule sur des résultats observables

Dans cet exemple, Orbe prévoit de commencer l’utilisation de la cible le 2 novembre 2026. La responsable RH et le responsable informatique préparent une décision de bascule à partir du dossier suivant. Les résultats décrits sont hypothétiques : aucun logiciel réel n’a été testé pour cet article.

Une égalité de totaux ne suffit pas : quarante-huit lignes peuvent masquer une personne absente et un doublon. La comparaison porte donc sur les identités et les cas qui changent le résultat : entrée récente, avenant, absence en cours, changement d’équipe, sortie avec régularisation.

Les responsables autorisent la bascule après ces vérifications. Les opérations intervenant entre le dernier export et l’ouverture de la cible sont inscrites dans une liste de reprise complémentaire : congé validé, changement d’adresse ou avenant reçu. Elles sont rapprochées avant de déclarer la cible à jour. L’Art. 32 impose une sécurité adaptée au risque, incluant disponibilité, intégrité et évaluation des mesures ; il ne prescrit pas ce tableau particulier. Source : Art. 32(1) et (2).

Prévoir l’échec sans maintenir deux vérités concurrentes

Si un compteur reste inexpliqué ou si les accès ne sont pas maîtrisés, le responsable désigné reporte l’ouverture concernée. Il identifie le périmètre bloqué, les corrections attendues et les opérations qui doivent continuer dans le circuit validé. Une échéance de paie ne doit pas dépendre d’une conversion non approuvée.

Le retour à l’ancien circuit doit préciser quelle version fait référence et comment reprendre les opérations effectuées depuis la copie initiale. Restaurer simplement une sauvegarde ancienne ferait perdre les décisions prises entre-temps. Après résolution, les contrôles concernés sont refaits et la décision est datée ; le dossier conserve la différence expliquée, pas uniquement une mention « problème résolu ».

Fermer l’ancien service sans perdre les bulletins

Avant résiliation, vérifiez les restitutions et la possibilité d’ouvrir les archives hors de l’ancien abonnement. Pour les bulletins, la conservation employeur pendant cinq ans et la disponibilité des bulletins électroniques pour le salarié sont deux exigences distinctes. D. 3243-8 prévoit notamment une disponibilité pendant cinquante ans ou jusqu’à l’âge visé au dernier alinéa de L. 1237-5, augmenté de six ans, ainsi qu’une récupération de l’intégralité des bulletins sans manipulation complexe ou répétitive. Sources : L. 3243-4 et D. 3243-8.

Dans le scénario Orbe, le service distinct d’accès aux bulletins électroniques est maintenu ; seul l’outil administratif change. Cette continuité est vérifiée avant clôture. Une copie des bulletins réservée aux RH n’aurait pas suffi à garantir l’accès des salariés. Le préavis d’information de trois mois prévu par D. 3243-8 vise les fermetures pour cessation d’activité qu’il décrit : ne le présentez pas comme une règle générale applicable à tout changement de logiciel.

Demandez enfin le retour ou l’effacement prévu au contrat et la destruction des copies selon l’Art. 28(3)(g), sous réserve des obligations légales de conservation. Faites préciser le traitement des sauvegardes et des espaces temporaires. Un certificat général ne remplace pas l’identification des environnements concernés. La migration des échéances de conservation doit préserver les événements de départ des durées : importer une pièce ne lui donne pas une nouvelle durée complète.

Ce qu’il faut retenir

• Décidez de la destination de chaque catégorie avant l’export.
• Contrôlez la signification des champs, pas seulement le nombre de lignes.
• Autorisez la bascule après vérification des droits, des accès et de la continuité.
• La clôture du prestataire doit préserver les archives et les obligations envers les salariés.

FAQ

Faut-il redemander le consentement de tous les salariés ?

Le changement d’outil ne crée pas à lui seul une nouvelle base légale. Examinez les finalités et mettez à jour l’information pertinente sur les destinataires, durées et droits. Une nouvelle finalité appelle une analyse propre et une information préalable dans les conditions de l’Art. 13(3).

Une demande d’accès peut-elle attendre la fin de la migration ?

Le projet ne suspend pas les délais du RGPD. Gardez un responsable capable de retrouver les données dans les deux environnements et de suivre la demande, selon l’Art. 12(3).

La même procédure suffit-elle lors d’une cession ?

Il faut d’abord déterminer quelles personnes et quelles pièces doivent être transmises au titre de la cession d’entreprise et du transfert des dossiers RH. La table technique de migration doit suivre ce périmètre juridique, sans le décider à sa place.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.