La transmission irrégulière de données salariales constitue-t-elle un délit ?
Réponse courte
Non, sauf cas particuliers : la transmission irrégulière de données salariales n'est pas, en soi, un délit pénal. Les données de rémunération sont des données à caractère personnel protégées par le RGPD : leur communication sans base légale expose l'employeur avant tout à des amendes administratives de la CNPD, pouvant atteindre 20 000 000 euros ou 4 % du chiffre d'affaires annuel mondial (article 83 du RGPD), ainsi qu'à des dommages et intérêts envers le salarié concerné.
La qualification pénale reste réservée à des hypothèses précises : un traitement de surveillance des salariés mis en œuvre en violation des conditions légales est puni d'un emprisonnement de huit jours à un an et d'une amende de 251 à 125 000 euros (art. L.261-2), et la divulgation par une personne tenue au secret professionnel relève de l'article 458 du Code pénal. Le salarié qui divulgue sans autorisation les rémunérations de ses collègues s'expose par ailleurs à des sanctions disciplinaires.
Définition
La transmission irrégulière de données salariales désigne la communication, la divulgation ou la mise à disposition d'informations relatives à la rémunération d'un salarié sans base légale au sens de l'article 6 du RGPD, en dehors des cas prévus par la loi. Les données salariales sont des données à caractère personnel : elles révèlent la situation économique d'une personne identifiée et bénéficient à ce titre de l'ensemble du régime de protection du RGPD, mis en œuvre au Luxembourg par la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données (CNPD).
Conditions d’exercice
Une transmission de données salariales n'est licite que si elle repose sur une base légale : sans obligation légale, nécessité contractuelle ou consentement valable, elle est irrégulière même en interne.
| Destinataire | Licéité de la transmission |
|---|---|
| Administrations et organismes sociaux | Licite : Administration des contributions directes, Centre commun de la sécurité sociale, CNS, ITM, dans le cadre de leurs missions légales |
| Prestataires (fiduciaire, éditeur de paie) | Licite si encadrée par un contrat de sous-traitance conforme à l'article 28 du RGPD |
| Salariés et managers internes | Réservée aux seules personnes dont les fonctions justifient l'accès (principe de minimisation) |
| Tiers commerciaux, banques, bailleurs | Uniquement avec le consentement explicite ou à la demande du salarié concerné |
Modalités pratiques
Avant toute communication, l'employeur doit pouvoir documenter la base légale de la transmission : c'est lui qui supporte la charge de la preuve de la conformité (principe de responsabilité).
| Étape | Détail |
|---|---|
| Vérification préalable | Légitimité de la demande, identité du destinataire, proportionnalité des données communiquées |
| Traçabilité | Documentation de la demande et de la transmission dans le registre des traitements |
| Violation de données | Notification à la CNPD dans les 72 heures si la divulgation constitue une violation de données (article 33 du RGPD) |
| Conseil | Avis du délégué à la protection des données (DPO) ou d'un conseil juridique en cas de doute |
Pratiques et recommandations
L'erreur la plus fréquente en pratique n'est pas la fuite externe mais la circulation interne incontrôlée : un fichier de rémunérations accessible à tout le service RH, un export de paie envoyé à un manager pour préparer les augmentations, ou une liste de salaires jointe par mégarde à un courriel collectif. Chacun de ces cas constitue déjà un traitement irrégulier, même sans intention malveillante.
Restreindre les droits d'accès aux seules personnes dont les fonctions l'exigent, chiffrer les exports de paie et bannir la transmission de rémunérations par courriel non sécurisé réduisent l'essentiel du risque. Les demandes externes — banque d'un salarié, futur employeur, huissier — doivent transiter par le salarié lui-même ou reposer sur un titre légal vérifié.
En cas de divulgation avérée, l'analyse de la gravité doit être menée sans délai : si la violation engendre un risque pour les personnes concernées, la notification à la CNPD est due dans les 72 heures, et tarder aggrave la sanction encourue.
Cadre juridique
| Référence | Objet |
|---|---|
| Règlement (UE) 2016/679 (RGPD), art. 5 et 6 | Principes de licéité et bases légales du traitement des données personnelles |
| Règlement (UE) 2016/679 (RGPD), art. 83 | Amendes administratives jusqu'à 20 000 000 euros ou 4 % du chiffre d'affaires annuel mondial |
| Loi du 1er août 2018 | Organisation de la CNPD et régime général de protection des données au Luxembourg |
| Art. L.261-1 | Conditions du traitement de données à des fins de surveillance des salariés |
| Art. L.261-2 | Sanction pénale du traitement de surveillance illicite : emprisonnement de huit jours à un an et amende de 251 à 125 000 euros, ou une de ces peines seulement |
| Art. 458 du Code pénal | Violation du secret professionnel par les personnes qui y sont légalement astreintes |
Note
La transmission irrégulière de données salariales relève d'abord du régime administratif du RGPD et de la responsabilité civile, la voie pénale étant limitée à des cas spécifiques comme la surveillance illicite ou la violation du secret professionnel. La sensibilisation du personnel RH et la traçabilité de chaque transmission restent les meilleures protections en cas de contrôle ou de litige.