Transparence des salaires et RGPD : le guide 2026

Le 25 août 2026, le ministre du Travail a annoncé que le projet de loi transposant la directive (UE) 2023/970 sur la transparence des rémunérations serait présenté en Conseil des ministres le 9 septembre. La France avait jusqu’au 7 juin 2026 pour transposer : l’échéance est manquée, et le texte vise désormais une application au 1er janvier 2028. Vous avez donc environ seize mois — et pratiquement tout le monde traite ce dossier comme un sujet de droit social.

C’est une erreur. La transparence salariale est le plus gros chantier de traitement de données RH depuis l’entrée en application du RGPD. Elle crée une finalité nouvelle sur les données les plus sensibles socialement de l’entreprise, un droit d’accès individuel portant sur les rémunérations d’autrui, une obligation de publication et un régime probatoire qui transforme votre documentation en pièce à conviction. Et la directive le dit elle-même : son article 12 renvoie expressément au RGPD.

Voici ce qu’il faut préparer, dans quel ordre, et où sont les pièges.

Ce que la directive 2023/970 impose vraiment

La directive du 10 mai 2023 s’articule autour de cinq blocs d’obligations, tous générateurs de traitements.

Obligation	Base dans la directive	Contenu
Transparence avant l’embauche	Art. 5(1) à 5(3)	Fourchette de rémunération communiquée avant l’entretien, interdiction d’interroger le candidat sur son historique salarial, neutralité des intitulés de poste
Transparence des critères	Art. 6	Mise à disposition des critères de fixation et de progression des rémunérations, objectifs et neutres du point de vue du genre
Droit individuel à l’information	Art. 7(1) et 7(2)	Communication écrite du niveau de rémunération du salarié et des niveaux moyens, ventilés par sexe, pour les catégories accomplissant un même travail ou un travail de valeur égale
Déclaration des écarts	Art. 9	Publication de données d’écart femmes-hommes : annuelle à partir de 250 salariés, première déclaration en 2027 pour les 150-249 salariés puis tous les trois ans, en 2031 pour les 100-149 salariés
Évaluation conjointe	Art. 10	Déclenchée par un écart d’au moins 5 % dans une catégorie, non justifié par des critères objectifs et non corrigé dans les six mois

À quoi s’ajoute l’article 18, qui fait peser sur l’employeur la charge de prouver l’absence de discrimination lorsqu’il n’a pas respecté les obligations de transparence des articles 5, 6, 7, 9 et 10.

Ce que le projet de loi français prévoit

L’avant-projet transmis aux partenaires sociaux en mars 2026, puis au Conseil d’État en juin, comporte vingt-deux articles. Les points structurants :

• L’index de l’égalité professionnelle disparaît. Il serait remplacé par sept nouveaux indicateurs de rémunération, dont la liste sera fixée par décret, applicables dès 50 salariés — soit un seuil plus bas que les 100 salariés de la directive.
• Déclaration tous les trois ans pour les entreprises de 50 à 249 salariés, annuelle au-delà de 250.
• Publication sur le site du ministère du Travail, à l’exception de l’indicateur d’écart de rémunération par catégorie de salariés.
• Interdiction des clauses de confidentialité salariale dans les contrats de travail.
• Sanctions administratives pouvant atteindre 1 % de la masse salariale, aggravées en cas de récidive.
• Entrée en vigueur à une date fixée par décret, au plus tard un an après la promulgation, avec un report possible au 1er juin 2030 pour l’indicateur par catégorie dans les entreprises de moins de 150 salariés.

Ces éléments proviennent d’un avant-projet : le texte présenté le 9 septembre peut différer, et les décrets d’application feront une grande partie du travail. Mais l’architecture est stable, et elle suffit pour commencer.

Pourquoi c’est un dossier RGPD

Chaque obligation ci-dessus se traduit par un traitement, une finalité ou un destinataire nouveau. Le tableau de correspondance mérite d’être posé une fois pour toutes.

Obligation « transparence »	Traitement induit	Point RGPD critique
Fourchette dans l’offre d’emploi	Gestion du recrutement	Suppression du champ « prétentions / salaire actuel » dans l’ATS
Critères de fixation et de progression	Gestion des rémunérations	Documentation de la logique décisionnelle
Droit à l’information (Art. 7)	Nouveau traitement de communication	Réidentification, articulation avec l’Art. 15 du RGPD
Déclaration des indicateurs	Analyse statistique des rémunérations	Finalité nouvelle, minimisation, sécurité de l’export
Évaluation conjointe avec le CSE	Communication à des tiers internes	Destinataires, données de santé et d’appartenance syndicale dans les justifications
Charge de la preuve inversée	Archivage probatoire	Durée de conservation, exactitude

Autrement dit : six chantiers. Les voici.

Chantier 1 — Fixer la base légale et la finalité

Aujourd’hui, le calcul de l’index repose sur une obligation légale (C. trav., art. L. 1142-8), donc sur l’Art. 6(1)© du RGPD. Demain, les sept indicateurs reposeront sur la même base. Rien de compliqué — à une condition : ne pas confondre l’obligation légale et ce que vous ferez en plus.

La tentation, dans les directions RH, est de profiter du chantier pour construire un véritable outil d’analyse des rémunérations : simulations, projections de rattrapage, comparaisons interservices, scoring d’équité. Ces traitements-là ne sont pas imposés par la loi. Ils relèvent de l’intérêt légitime de l’employeur au sens de l’Art. 6(1)(f), ce qui suppose un test de mise en balance documenté, et non d’un simple renvoi à « la directive nous y oblige ». Distinguez les deux dans votre documentation : c’est exactement le type d’amalgame que la CNIL relève en contrôle.

Second point : les données que vous allez traiter sont déjà là. Elles ont été collectées pour la gestion de la paie. Les réutiliser pour produire un indicateur d’écart, c’est une finalité ultérieure, qui appelle le test de compatibilité de l’Art. 6(4) du RGPD. Le test se passe bien — l’obligation légale de déclaration en est même une justification directe — mais il doit être écrit. Si vous avez besoin d’une remise à plat des fondements, l’analyse des six bases légales de l’Art. 6 et les sept principes de l’Art. 5 donnent le cadre.

Chantier 2 — Le sexe n’est pas une donnée sensible, mais les justifications le sont

Une confusion revient systématiquement dans les projets que j’accompagne : « on va traiter le sexe des salariés, donc c’est de l’article 9 ». Non. L’Art. 9(1) du RGPD énumère limitativement les catégories particulières : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d’identification unique, données de santé, données concernant la vie sexuelle ou l’orientation sexuelle. Le sexe n’y figure pas. La ventilation femmes-hommes ne fait donc pas basculer votre traitement dans le régime de l’article 9 et de ses dix exceptions.

Le risque est ailleurs, et il est réel. Il apparaît au moment où vous justifiez un écart. Les explications avancées pour établir qu’une différence repose sur des critères objectifs mobilisent typiquement : les absences longue durée, le temps partiel thérapeutique, l’invalidité, les congés liés à une pathologie — c’est-à-dire des données de santé au sens de l’Art. 9. Elles peuvent aussi révéler des heures de délégation, donc une appartenance syndicale, notamment lorsque l’évaluation conjointe se déroule avec les représentants du personnel.

Règle pratique : l’indicateur n’est pas sensible, le dossier de justification l’est presque toujours. Traitez-les comme deux ensembles distincts, avec deux niveaux d’habilitation différents. Concrètement, le fichier d’indicateurs peut être manipulé par le contrôle de gestion sociale ; le dossier de justification ne devrait être accessible qu’à un cercle restreint, sous une base légale distincte — l’Art. 9(2)(b) pour les obligations en matière de droit du travail, ou l’Art. 9(2)(f) pour la constatation et l’exercice d’un droit en justice. Sur l’articulation générale entre RGPD et relation de travail, voir l’article 88 du RGPD et les marges nationales qu’il ouvre.

Chantier 3 — La minimisation, ou le vrai problème : la réidentification

C’est le cœur du sujet, et c’est là que la plupart des entreprises vont se tromper.

Communiquer une « rémunération moyenne par sexe et par catégorie » n’est anonyme que si la catégorie est suffisamment peuplée. Dans une entreprise de trente personnes où une seule femme occupe un poste de valeur donnée, la « moyenne des femmes de cette catégorie » est son salaire. Vous ne communiquez pas une statistique : vous divulguez une donnée personnelle, à un collègue, sans base légale. Et la moyenne d’un groupe de deux personnes reste une donnée à caractère personnel dès lors que l’une d’elles connaît sa propre rémunération : elle en déduit celle de l’autre par simple soustraction.

Le principe de minimisation de l’Art. 5(1)© impose donc de fixer un seuil. Bonne nouvelle : le droit français en propose déjà un. Le décret n° 2019-15 du 8 janvier 2019 relatif à l’index d’égalité ne retient, pour le calcul de l’écart de rémunération, que les groupes comportant au moins trois femmes et trois hommes. C’est un seuil de k-anonymat de facto, déjà connu de vos équipes paie, déjà outillé dans les SIRH. Prenez-le comme plancher.

Dans mon expérience, trois est un minimum réglementaire, pas une bonne pratique. Je recommande cinq pour toute donnée communiquée à un salarié individuel, et l’application systématique des garde-fous classiques de l’anonymisation tabulaire décrits dès l’avis 05/2014 du G29 sur les techniques d’anonymisation (WP216) :

• Seuil d’effectif : pas de communication en dessous de cinq personnes du même sexe dans la catégorie.
• Suppression des valeurs extrêmes ou usage de la médiane plutôt que de la moyenne, une moyenne étant très sensible à un dirigeant isolé dans la catégorie.
• Arrondi des montants (au millier d’euros annuel) et refus des décimales, qui permettent des recoupements arithmétiques.
• Agrégation de catégories voisines lorsque l’effectif est insuffisant, plutôt que refus pur et simple.
• Journalisation des communications effectuées, pour détecter les demandes en série destinées à reconstituer une grille complète par recoupement.

L’article 12 de la directive prévoit explicitement ce garde-fou : lorsque l’effectif d’une catégorie est trop faible pour que la communication préserve la confidentialité, l’employeur peut opposer un refus motivé. Motivé, écrit, et tracé — pas un silence. C’est une décision de conformité, elle se documente comme telle.

Pour la méthode générale et la frontière entre les deux notions, voir pseudonymisation et anonymisation : ce qui les distingue et le guide pratique comment anonymiser une base sans lui faire perdre sa valeur. Retenez le critère décisif : si le résultat reste réidentifiable, ce ne sont pas des données anonymes, et l’intégralité du RGPD continue de s’appliquer.

Chantier 4 — Ne pas confondre le droit à l’information et le droit d’accès

L’article 7 de la directive crée un droit qui ressemble au droit d’accès du RGPD sans en être un. La distinction doit être opérationnelle dès maintenant, parce que vos équipes RH vont recevoir les deux par le même canal.

	Droit d’accès (Art. 15 RGPD)	Droit à l’information (Art. 7 dir. 2023/970)
Objet	Ses propres données	Son niveau de rémunération et les moyennes d’autrui, ventilées par sexe
Titulaire	Toute personne concernée	Le salarié, directement ou via les représentants du personnel
Délai	Un mois, prorogeable de deux mois (Art. 12(3))	Fixé par décret
Limite	Droits et libertés d’autrui (Art. 15(4))	Confidentialité des rémunérations identifiables (Art. 12 de la directive)
Refus possible	Motivé, avec information sur les recours	Motivé, en cas d’effectif insuffisant

Un salarié qui demande « la moyenne des hommes de ma catégorie » n’exerce pas un droit d’accès : il demande des données qui ne sont pas les siennes. Le traiter comme une demande Art. 15 vous conduira soit à sur-communiquer, soit à refuser sur un fondement erroné. Inversement, un salarié qui demande « tout ce que vous détenez sur moi, y compris les évaluations qui ont fondé ma rémunération » exerce bien un droit d’accès, avec ses délais et son étendue propres. La procédure de réponse aux demandes d’exercice des droits et les modalités de l’Art. 12 restent votre référence pour cette seconde catégorie.

Point souvent oublié du projet de loi français : l’employeur devra informer chaque année les salariés de l’existence de ce droit. Cette information a vocation à rejoindre votre notice RH, qui relève déjà de l’obligation d’information de l’Art. 13 du RGPD. Une seule notice, mise à jour, vaut mieux que deux documents concurrents.

Chantier 5 — Registre, destinataires, durées

Le registre. Faut-il créer une fiche de traitement dédiée ou étendre la fiche « gestion des rémunérations » ? Créez une fiche distincte. La finalité est différente (mesure et correction des écarts, et non versement du salaire), les destinataires aussi — et ce sont eux qui justifient la séparation : ministère du Travail, CSE, délégués syndicaux, inspection du travail, éventuellement le Défenseur des droits. Aucun de ces destinataires ne figure sur votre fiche paie actuelle. Le format et les mentions obligatoires sont détaillés dans le guide de l’article 30 du RGPD ; si votre registre des activités de traitement date d’avant 2024, c’est l’occasion de le reprendre.

Les durées. L’article 18 de la directive inverse la charge de la preuve lorsque les obligations de transparence n’ont pas été respectées. Conséquence directe et rarement anticipée : votre dossier de justification devient un élément de défense. En droit français, l’action en réparation du préjudice résultant d’une discrimination se prescrit par cinq ans à compter de la révélation de la discrimination (C. trav., art. L. 1134-5), et la réparation couvre l’entier préjudice sur toute sa durée. Une durée de conservation de cinq ans à compter de la publication de l’indicateur constitue un point de départ défendable — pas une conservation « tant qu’on en a besoin ». Le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines publié en 2026 et la méthode de fixation des durées permettent de caler le reste.

La sécurité. L’Art. 32 du RGPD s’apprécie au regard du risque. Un fichier d’écarts de rémunération nominatif est, en pratique, l’un des fichiers les plus dommageables qu’une entreprise puisse laisser fuiter : impact social immédiat, contentieux prud’homal, atteinte durable au climat interne. Le vecteur habituel n’est pas l’attaque externe, c’est l’export Excel envoyé par messagerie à un consultant, puis transféré, puis oublié dans un espace partagé. Cloisonnez le jeu de données analytique, chiffrez les exports, limitez les habilitations nominativement et journalisez les accès. Les mesures attendues sont détaillées dans le décryptage de l’article 32 du RGPD.

Le CSE. L’évaluation conjointe implique de communiquer aux représentants du personnel des données qu’ils n’ont pas vocation à conserver ni à rediffuser. Le CSE devient responsable de traitement pour ce qu’il conserve. Encadrez la transmission : support, durée, engagement de confidentialité, restitution ou destruction en fin de mandat. Les obligations propres à l’instance sont traitées dans RGPD et CSE.

Chantier 6 — Faut-il une AIPD ?

Réponse honnête : cela dépend, et le réflexe « obligation légale donc pas d’AIPD » est faux.

L’Art. 35(3) du RGPD ne vise littéralement ni la mesure des écarts salariaux ni la production d’indicateurs. La liste des traitements pour lesquels une analyse d’impact est obligatoire, adoptée par la CNIL dans sa délibération n° 2018-327 du 11 octobre 2018, ne la vise pas davantage en tant que telle. Mais les lignes directrices WP248 rev.01 du G29 retiennent neuf critères, et l’AIPD est présumée nécessaire dès que deux d’entre eux sont réunis. Or, dans un groupe de plusieurs milliers de salariés, on en coche facilement trois : évaluation ou notation, traitement de données à grande échelle, croisement d’ensembles de données provenant de systèmes distincts (paie, SIRH, classification des emplois, évaluations).

Ma lecture, en pratique :

• Calcul des indicateurs légaux sur les seules données de paie, dans une PME : AIPD non obligatoire. Une analyse de risque documentée et une fiche de registre soignée suffisent.
• Entreprise de plus de 250 salariés croisant paie, évaluations et classification : AIPD recommandée, et difficile à refuser en contrôle.
• Déploiement d’un outil d’analyse ou de scoring d’équité salariale, a fortiori s’il comporte une composante algorithmique : AIPD obligatoire, et vigilance renforcée au titre de l’Art. 22 sur les décisions automatisées si l’outil influence directement les décisions d’augmentation.

La méthode en sept étapes est décrite dans le guide AIPD : méthode et modèle, et le périmètre exact de l’obligation dans le décryptage de l’article 35 du RGPD.

Ce qu’il faut faire d’ici la fin de l’année

Échéance	Action
Septembre 2026	Suivre le texte présenté en Conseil des ministres le 9 septembre et identifier les écarts avec l’avant-projet
Octobre 2026	Cartographier les traitements concernés et rédiger la fiche de registre « transparence des rémunérations »
Novembre 2026	Nettoyer l’ATS : suppression des champs relatifs à l’historique salarial et aux prétentions, mise à jour des offres
Décembre 2026	Fixer et faire valider les seuils d’effectif minimal et la règle de refus motivé
Premier trimestre 2027	Rédiger la procédure de réponse aux demandes Art. 7 et la distinguer de la procédure Art. 15
2027	Suivre les décrets, réaliser l’AIPD si nécessaire, mettre à jour la notice d’information RH

Deux actions sont à mener immédiatement, indépendamment du calendrier législatif, parce qu’elles ne coûtent rien et réduisent un risque déjà existant : retirer les questions sur l’historique de rémunération de vos formulaires de candidature (le sujet est déjà traité dans le guide RGPD et recrutement), et supprimer les clauses de confidentialité salariale de vos modèles de contrat.

Et pour ceux qui envisagent d’attendre 2028 : rappelez-vous que le manquement aux principes de l’Art. 5 et aux bases légales de l’Art. 6 relève du plafond haut de l’Art. 83(5)(a), soit 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Les décisions de sanction de la CNIL montrent que les traitements RH mal documentés ne sont plus un angle mort du contrôle.

Ce qu’il faut retenir

• Le projet de loi de transposition passe en Conseil des ministres le 9 septembre 2026, pour une application visée au 1er janvier 2028 : le temps de préparation est court au regard du volume de travail.
• La transparence salariale crée une finalité nouvelle sur des données de paie existantes. Elle appelle une fiche de registre dédiée, un test de compatibilité de l’Art. 6(4) et une mise à jour de la notice d’information.
• Le sexe n’est pas une donnée sensible au sens de l’Art. 9. Les justifications d’écarts, elles, le sont presque toujours : séparez les deux ensembles et les habilitations correspondantes.
• Le risque principal est la réidentification dans les petits effectifs. Fixez un seuil minimal — trois par référence au décret n° 2019-15, cinq en bonne pratique — et prévoyez un refus motivé et tracé en dessous.
• Le droit à l’information de l’article 7 de la directive n’est pas le droit d’accès de l’Art. 15 du RGPD : deux objets, deux délais, deux procédures.

FAQ

Le sexe des salariés est-il une donnée sensible au sens du RGPD ?

Non. L’Art. 9(1) du RGPD énumère limitativement les catégories particulières de données, et le sexe n’en fait pas partie. Ventiler des rémunérations par sexe ne fait donc pas basculer le traitement dans le régime renforcé de l’article 9. En revanche, les éléments mobilisés pour justifier un écart — arrêts de travail, temps partiel thérapeutique, heures de délégation — relèvent fréquemment des données de santé ou de l’appartenance syndicale, et doivent être traités séparément.

Puis-je refuser de communiquer une rémunération moyenne à un salarié ?

Oui, lorsque l’effectif de la catégorie est trop faible pour que la communication préserve la confidentialité des rémunérations individuelles. L’article 12 de la directive 2023/970 prévoit expressément ce garde-fou, qui prolonge le principe de minimisation de l’Art. 5(1)© du RGPD. Le refus doit être motivé par écrit et tracé, et il est recommandé de fixer le seuil à l’avance plutôt que de l’apprécier au cas par cas.

Une AIPD est-elle obligatoire pour le calcul des indicateurs d’écart salarial ?

Pas systématiquement. Le simple calcul des indicateurs légaux à partir des données de paie, dans une structure de taille modeste, n’atteint généralement pas le seuil de l’Art. 35(1). Elle devient en revanche difficilement évitable dès lors que le traitement croise plusieurs systèmes à grande échelle ou qu’un outil d’analyse ou de scoring d’équité est déployé, deux critères des lignes directrices WP248 rev.01 étant alors réunis.

Les entreprises de moins de 50 salariés sont-elles concernées ?

Partiellement. Les obligations déclaratives visent, dans l’avant-projet français, les entreprises d’au moins 50 salariés. Mais les règles de transparence au recrutement — fourchette de rémunération dans l’offre, interdiction d’interroger le candidat sur son historique salarial — et l’interdiction des clauses de confidentialité salariale s’appliquent sans condition d’effectif. Une TPE devra donc revoir ses offres d’emploi et ses modèles de contrat, même si elle ne publie aucun indicateur.

---

Vous suivez les évolutions réglementaires qui touchent vos traitements RH ? Recevez chaque semaine nos analyses de conformité : décryptages de textes, sanctions CNIL commentées et méthodes applicables.