Transparence des salaires et RGPD : le guide 2026

La transparence salariale ne permet pas de diffuser librement les bulletins de paie. Elle organise des informations sur les rémunérations pour faire respecter l’égalité entre les femmes et les hommes, avec des destinataires et des garanties spécifiques. Pour une PME française, la première décision consiste à séparer les obligations déjà applicables, les règles européennes à transposer et le projet français encore en discussion.

Au 27 septembre 2026, les dossiers parlementaires consultés présentent le projet n° 944 comme déposé au Sénat le 10 septembre 2026, en première lecture. Ce dépôt ne vaut pas promulgation. Le délai européen de transposition, fixé au 7 juin 2026, est dépassé ; cela ne transforme pas les dispositions proposées en articles du Code du travail déjà applicables. Ce guide concerne les employeurs privés. Sources : dossier du Sénat, directive 2023/970, Art. 34(1).

Trois niveaux juridiques à garder distincts

L’égalité de rémunération pour un même travail ou un travail de valeur égale existe déjà. L’Index français n’est pas supprimé par le dépôt du projet : l’article L. 1142-8 prévoit toujours une publication annuelle d’indicateurs dans les entreprises d’au moins cinquante salariés. Une entreprise poursuit donc ses obligations actuelles pendant qu’elle prépare la réforme. Sources : L. 3221-2, L. 1142-8 en vigueur.

La directive prévoit notamment :

La déclaration européenne est annuelle dès 250 salariés et triennale entre 100 et 249. Les États peuvent imposer une déclaration sous cent salariés. Les articles 5 à 7 ne sont pas limités aux entreprises déclarantes ; une exemption nationale peut toutefois concerner les critères de progression pour les employeurs de moins de cinquante travailleurs. Source : directive, Art. 5 à 7, 9(2) à (5) et 10(1).

Déclarer ne signifie pas publier toutes les données : l’Art. 9(7) distingue la transmission des sept indicateurs à l’autorité et la possibilité pour l’employeur de publier les six premiers. L’indicateur par catégorie suit notamment le circuit des travailleurs et de leurs représentants, sous les garanties de protection des données. Le fichier nominatif utilisé pour calculer ces résultats n’est pas, pour autant, destiné au public. Source : directive, Art. 9(7), (9) et 12.

Le projet français déposé, article 1er, propose une déclaration annuelle dès cinquante salariés, avec une périodicité triennale pour le seul indicateur par catégorie entre cinquante et 249. Sa liste et sa méthode seraient précisées par décret. Présenter tous les indicateurs français comme triennaux serait donc inexact. Source : projet n° 944, dispositions proposées pour L. 1142-8.

Son article 21 prévoit l’entrée en vigueur de l’article 1er pour le secteur privé, fixée par décret, au plus tard un an après promulgation, avec des exceptions pour le droit individuel et l’indicateur par catégorie. Pour ce dernier, les maxima proposés sont trois ans après promulgation entre cent et 149 salariés, six ans entre cinquante et 99. La mention d’indicateurs calculés en 2028 figure à l’article 22, consacré au secteur public : ce n’est pas une date générale d’application aux PME. Ces modalités restent celles d’un projet. Source : projet, Art. 21 et 22.

Définir le traitement avant de copier les données de paie

Le calcul légal d’un indicateur peut relever de l’Art. 6(1)(c) du RGPD, avec identification de l’obligation applicable. Un projet de loi ne suffit pas à créer cette obligation. Un outil supplémentaire de simulation ou de classement des salariés doit recevoir sa propre analyse : finalité précise, nécessité des données et fondement approprié. L’intérêt légitime n’est pas une permission automatique ; lorsqu’il est retenu, sa nécessité et la balance avec les droits des salariés doivent être établies. Notre méthode de choix de la base légale explique cet arbitrage. Source : RGPD, Art. 6(1) et (3).

La réutilisation de la paie mérite une analyse de finalité. Toutefois, l’Art. 6(4) ne rend pas son test de compatibilité universel : son texte distingue notamment les traitements ultérieurs fondés sur une loi répondant aux conditions qu’il précise. Il faut expliquer le fondement de la réutilisation, plutôt que cocher systématiquement un « test obligatoire ». La directive impose, pour les données traitées selon ses articles 7, 9 et 10, une utilisation limitée à l’application de l’égalité des rémunérations. Un export créé dans ce cadre ne devient donc pas un fichier de prédiction des départs. Sources : RGPD, Art. 6(4), directive, Art. 12(2).

La mention du sexe n’appartient pas, à elle seule, aux catégories particulières énumérées par l’Art. 9(1). Un salaire reste néanmoins une donnée personnelle protégée. Certaines explications peuvent révéler la santé ou l’appartenance syndicale : elles appellent alors, en plus d’un fondement de l’article 6, une condition pertinente de l’article 9(2). Les points (b), relatif au droit du travail sous ses conditions, et (f), relatif aux droits en justice, ne justifient pas de collecter tout le dossier médical. Une différence liée à l’expérience professionnelle ne devient pas sensible simplement parce qu’elle explique un salaire. Source : RGPD, Art. 9(1) et (2)(b), (f).

Une moyenne peut révéler un salaire individuel

Exemple fictif : une catégorie comprend deux hommes, rémunérés 38 000 et 42 000 euros bruts sur la même période, avec le même périmètre de rémunération. La moyenne vaut 40 000 euros. Celui qui connaît ses propres 38 000 euros calcule le salaire de son collègue : 2 × 40 000 − 38 000 = 42 000. Retirer les noms du tableau n’empêche pas cette révélation.

Trois personnes ou cinq personnes ne constituent pas davantage une garantie universelle d’anonymat. La connaissance des fonctions, des effectifs et d’autres rémunérations compte. Un seuil prévu pour un calcul réglementaire ne vaut pas autorisation générale de diffusion. La distinction entre pseudonymisation et anonymisation évite de qualifier d’anonyme un tableau encore identifiable.

Il serait également erroné de remplacer librement la moyenne demandée par une médiane, ou de fusionner des métiers de valeur différente pour augmenter l’effectif. La protection des données ne permet pas de changer le contenu légal d’un droit à l’information. Elle oblige à organiser la communication dans le cadre applicable. Sources : directive, Art. 3(1)(h), 4(4) et 7(1), RGPD, Art. 5(1)(c).

L’Art. 12(3) de la directive permet aux États membres de réserver certaines informations identifiantes aux représentants des travailleurs, à l’inspection du travail ou à l’organisme pour l’égalité de traitement. Ces intermédiaires peuvent conseiller sur un recours sans révéler les rémunérations individuelles. Ce texte n’accorde pas directement à chaque employeur un pouvoir général de refus pour « groupe inférieur à cinq ». Source : directive, Art. 12(3).

Le projet français propose précisément des circuits différents : non-transmission au demandeur dans le futur L. 1142-7-1, mais transmission au CSE des résultats par catégorie identifiants dans le futur L. 1142-8, avec obligation de discrétion. Un seuil serait fixé par décret. On peut préparer ces branches dans une procédure ; on ne peut pas les présenter comme déjà applicables ni inventer leur seuil. Source : projet, Art. 1er.

Répondre à une demande mixte sans bloquer les droits actuels

Une salariée demande « les données ayant servi à fixer mon salaire et la moyenne des hommes de ma catégorie ». La première partie peut relever du droit d’accès RGPD ; la seconde porte sur une information collective distincte. Le bon traitement consiste à identifier les deux objets dans le même dossier, sans imposer deux formulaires.

Pour l’accès aux données personnelles, le délai est sans retard excessif et, en principe, un mois. Une prolongation de deux mois est possible compte tenu de la complexité et du nombre des demandes ; elle doit être expliquée dans le premier mois. Les droits d’autrui peuvent conduire à occulter certaines informations, sans transformer toute présence d’un tiers en refus global. La procédure d’accès aux données reste applicable pendant la préparation de la réforme. Source : RGPD, Art. 12(3) et (4), 15(1), (3) et (4).

Pour le futur droit de transparence, l’Art. 7(4) fixe déjà un maximum européen de deux mois ; il ne laisse pas ce plafond entièrement au décret français. Aujourd’hui, une PME privée qualifie la demande selon les textes en vigueur et les engagements applicables, sans faire passer le projet pour une obligation acquise. Elle ne suspend pas l’accès aux données propres de la salariée en attendant la loi.

Une fiche de préparation renseignée

Voici une ressource fictive pour une PME de 72 salariés. Elle organise une analyse interne de l’égalité et la préparation de la réforme ; elle ne simule pas une déclaration réglementaire future.

La fiche appelle un travail concret sur les emplois : même intitulé ne signifie pas nécessairement même valeur ; deux intitulés différents n’excluent pas la comparaison. Les connaissances, capacités, responsabilités et charges doivent être examinées. Une catégorie ne se redessine pas seulement pour rendre l’écart moins visible. Source : Code du travail, L. 3221-4.

Si la paie ne peut expliquer une prime, la RH conserve ce point comme non justifié dans son analyse. Elle demande la règle et les pièces contemporaines ; elle ne fabrique pas rétrospectivement une appréciation professionnelle. Le chiffre peut être exact tout en restant juridiquement inexpliqué.

Registre, conservation et accès du CSE

L’Art. 30(1) exige de documenter notamment finalités, catégories de données, destinataires, durées envisagées et sécurité. Il n’impose pas une fiche distincte appelée « transparence salariale ». Une fiche dédiée peut faciliter la lecture ; une rubrique suffisamment précise dans une activité existante peut aussi convenir. L’information RH doit refléter les usages réels, et une nouvelle finalité appelle l’information prévue par l’Art. 13(3). Sources : RGPD, Art. 30(1), Art. 13(1) à (3).

Dans T-72, on peut fixer la suppression des copies de travail trente jours après validation du dossier, sous réserve d’une anomalie encore à résoudre : c’est un choix d’organisation, pas un délai légal. Le dossier probatoire suit une durée distincte, justifiée par son contenu, les obligations applicables et les litiges identifiés. L’action en réparation d’une discrimination se prescrit cinq ans à compter de sa révélation ; cela ne signifie pas « supprimer tous les justificatifs cinq ans après publication de l’indicateur ». La réparation couvre l’entier préjudice pendant toute sa durée. Sources : RGPD, Art. 5(1)(e), L. 1134-5.

Les transmissions au CSE doivent correspondre à ses attributions et au texte applicable. Son rôle RGPD ne découle pas automatiquement de la réception d’un fichier : il faut déterminer qui décide des finalités et moyens de chaque traitement. Le guide RGPD et CSE précise cette qualification. Prévoyez un espace protégé, des habilitations appropriées, une traçabilité des transmissions et une règle pour les copies. Une fin de mandat n’impose pas, à elle seule, la destruction de toute archive utile à l’instance. Sources : RGPD, Art. 4(7), Art. 32(1), (2) et (4).

Décider de l’AIPD sur le dispositif réel

Une obligation légale n’exonère pas automatiquement d’analyse d’impact. La liste CNIL n° 2019-118 dispense, sous ses conditions, certains traitements de seule gestion du personnel des organismes de moins de 250 personnes, hors profilage. Il faut vérifier que le dispositif entre effectivement dans ce périmètre. À l’inverse, la liste n° 2018-327 vise expressément les profils de personnes établis à des fins de gestion des ressources humaines. Sources : délibération 2019-118, annexe, délibération 2018-327, annexe.

En dehors d’une exemption applicable, l’examen porte sur le risque élevé : nature et volume des données, croisements, conséquences sur les personnes, accès et outils utilisés. Dépasser 250 salariés ne suffit pas, isolément, à décider ; être une PME ne dispense pas de cet examen. Documentez le raisonnement avant le traitement, puis conduisez l’AIPD lorsqu’elle est requise. Un outil qui classe individuellement les salariés pour orienter leurs augmentations demande une analyse différente d’un simple total statistique. Source : RGPD, Art. 35(1) à (5), (7) et (10).

Ce qu’il faut retenir

• Maintenir les obligations actuelles et suivre le texte déposé, sans annoncer une application privée générale en 2028.
• Définir la finalité, le fondement et les destinataires avant d’exporter la paie.
• Une moyenne peut rester personnelle ; aucun seuil improvisé ne crée un droit de refus.
• Traiter les demandes d’accès actuelles sans attendre la réforme.
• Documenter conservation et AIPD selon le dispositif réel, avec des décisions explicables.

FAQ

Faut-il afficher une fourchette dans chaque offre dès maintenant ?

L’Art. 5(1) de la directive prévoit une rémunération initiale ou une fourchette communiquée de manière à permettre une négociation éclairée, par exemple dans l’offre ou avant l’entretien. Il ne faut pas confondre cet objectif européen avec une obligation française générale déjà issue du projet. Préparer cette information est possible sans attendre son adoption.

Historique salarial et prétentions salariales sont-ils identiques ?

Non. L’Art. 5(2) vise les rémunérations au cours des relations de travail actuelles ou antérieures. Les attentes pour le poste proposé sont une autre information. Une procédure préparatoire peut supprimer la question sur l’historique sans effacer automatiquement toute discussion sur les attentes, qui doit rester pertinente et proportionnée.

La réforme autorise-t-elle les salariés à diffuser tous les salaires ?

Non. L’Art. 7(5) protège la divulgation de sa propre rémunération aux fins d’égalité. Le paragraphe 6 permet d’encadrer l’utilisation des informations reçues sur autrui pour ce même objectif. Cela ne constitue pas une autorisation de publier les bulletins des collègues. Source : directive, Art. 5 et 7.

Recevez nos analyses juridiques et méthodes pratiques dans la newsletter.

À propos de l’auteur. Thiebaut Devergranne est docteur en droit de l’informatique et dispose de plus de vingt ans d’expérience professionnelle. Il analyse les règles de protection des données et de conformité numérique applicables aux entreprises.