Comment protéger les données de paie et de comptabilité de mon entreprise ?

Ce que la loi vous demande

Salaires, numéros CNSS et IFU, coordonnées bancaires, certificats médicaux : votre paie contient des données personnelles. Au Bénin, elles relèvent du livre V du Code du numérique (loi n° 2017-20 du 20 avril 2018). L'Autorité de protection des données à caractère personnel (APDP) veille à son application.

La confiance numérique est le thème du Cyber Africa Forum, dont la 6e édition est prévue, selon la presse, les 16 et 17 novembre 2026 au Sofitel Cotonou Marina Hotel & Spa, à Cotonou.

En tant qu'employeur, vous êtes responsable du traitement. Vos obligations principales :

• un but précis : la paie par exemple, sans réutiliser les données pour autre chose (art. 383) ;
• des données utiles, exactes et tenues à jour, sans excès (art. 383) ;
• la confidentialité et la sécurité : protection contre la perte, le vol et l'accès non autorisé (art. 385 et 426) ;
• une durée limitée : rien au-delà du nécessaire (art. 383 et 433) ;
• les droits de vos salariés : chacun peut consulter ses données (art. 437) et les faire rectifier ou effacer. Les corrections lui sont communiquées dans les 45 jours (art. 441).

Déclaration, autorisation, registre : ce qui s'applique

En principe, tout traitement de données personnelles est déclaré à l'APDP avant sa mise en œuvre, ou inscrit dans un registre interne (art. 405). La gestion des rémunérations du personnel et la comptabilité générale en sont en principe dispensées (art. 410).

Certains traitements demandent en revanche une autorisation préalable de l'APDP (art. 407) : les données de santé, les traitements portant sur un numéro national d'identification et les transferts de données vers un pays étranger. Si votre paie utilise un numéro national d'identification, comme le NPI, l'art. 407 peut donc exiger une autorisation malgré la dispense de l'art. 410 : la pratique de l'APDP n'est pas fixée sur ce point, interrogez-la.

Le Code prévoit aussi un registre des activités de traitement (art. 435). Les PME en sont dispensées, sauf notamment si le traitement n'est pas occasionnel ou porte sur des données sensibles. À notre lecture, une paie traitée chaque mois n'a rien d'occasionnel : par prudence, prévoyez ce registre. L'APDP en propose un modèle.

Les bons réflexes pour une PME

Ces recommandations générales reprennent les mesures citées par le Code du numérique (art. 386, 387 et 426). Adaptez-les à la taille de votre entreprise.

• Accès limités : chacun ne voit que ce dont il a besoin pour son travail. Retirez les accès d'un salarié le jour de son départ.
• Mots de passe : un mot de passe personnel et solide par personne, jamais partagé, et la double authentification partout où elle existe (messagerie, banque, logiciel de paie).
• Sauvegardes : une copie régulière, protégée et rangée hors de l'ordinateur principal. Vérifiez de temps en temps qu'elle se restaure.
• Chiffrement : activez-le sur les ordinateurs portables et les clés USB qui contiennent la paie ou la comptabilité.
• Excel par WhatsApp ou e-mail : évitez d'envoyer le fichier complet de la paie. N'envoyez que ce dont le destinataire a besoin, dans un fichier chiffré par un mot de passe (dans Excel : Fichier, Protéger le classeur, Chiffrer avec mot de passe ; ou une archive ZIP chiffrée en AES), mot de passe transmis par un autre canal. Une simple protection de feuille ne chiffre rien.
• Prestataires : expert-comptable, cabinet de paie, éditeur de logiciel ou hébergeur traitent vos données pour votre compte. Le Code exige un contrat écrit qui fixe leurs obligations de sécurité et de confidentialité (art. 386).
• Données de santé : ce sont des données sensibles (art. 394). Gardez-les à part, avec un accès encore plus restreint.

Combien de temps conserver

Conservez ce que la loi exige, et pas davantage. Au-delà de la durée requise, les données personnelles n'ont plus à être gardées (art. 433).

Des données protégées, ce sont des preuves disponibles

Un fichier perdu, effacé ou modifié sans trace ne prouve plus rien. Le Code du travail impose de présenter les pièces de paiement des salaires à toute demande de l'inspecteur du travail (art. 223). En cas de litige, si vous ne pouvez pas produire le registre de paiement émargé ou le double du bulletin, le salaire est présumé non payé, sauf force majeure (art. 226).

Il en va de même pour la banque ou un contrôle fiscal : des données sauvegardées, complètes et à l'abri des modifications, ce sont des preuves disponibles et fiables le jour où on vous les demande.

Si vous utilisez PaieNova, sa page Sécurité décrit les protections mises en place pour vos données.