Archivage RGPD des attestations URSSAF : durées, accès et registre DAF

3 avril 2026

Archivage RGPD des attestations URSSAF : durées, accès et registre DAF

Finalité et base légale

La finalité principale est l'exécution des obligations légales du donneur d'ordre (articles L.8222-1 et D.8222-5 du Code du travail) et la gestion contractuelle des prestataires. La base légale relève en principe de l'obligation légale et de l'intérêt légitime à sécuriser les opérations et à se prémunir contre la solidarité financière.

Deux impératifs qui ne se contredisent pas

Le DAF doit conserver les attestations de vigilance assez longtemps pour répondre à l'URSSAF, aux auditeurs et aux tribunaux. Il doit aussi respecter le RGPD : finalité, minimisation, sécurité, durée limitée, droits des personnes concernées.

Ces exigences se complètent. Un archivage anarchique (mails éparpillés, drives sans politique) fragilise à la fois la preuve sociale et la conformité données. Un registre structuré avec règles de retention documentées renforce les deux.

Les attestations portent surtout des données d'identification d'entreprise (SIREN, raison sociale, adresse). Certaines mentionsnent des effectifs ou des listes de salariés étrangers liées à d'autres pièces D.8222-5. Traitez l'ensemble du dossier prestataire comme un traitement à finalité « vigilance sociale et sous-traitance ».

Documentez cela dans le registre des traitements RH/Achats. Indiquez les catégories de données, les destinataires internes (Achats, DAF, juridique, audit), et l'absence de transfert hors UE sauf prestataire cloud explicitement listé.

Durées de conservation recommandées

La durée doit couvrir la prescription des actions URSSAF et la durée du contrat plus une marge pour litiges. En pratique, de nombreuses PME retiennent :

Attestations et preuves de contrôle du code : durée du contrat + 5 à 10 ans selon politique groupe et avis juridique.
Historique des relances et rejets : même période, pour démontrer la vigilance active.
Données de contact prestataire : jusqu'à fin de relation + archivage intermédiaire.

Évitez la conservation « pour toujours » sur un drive sans revue. Programmez une purge annuelle des dossiers hors prescription, avec log des suppressions.

Le DAF valide la politique ; le DPO ou le référent RGPD la formalise ; l'IT ou l'éditeur du portail de dépôt l'exécute techniquement.

Qui accède à quoi

Principe du moindre privilège. Référent Achats site : dépôt et validation opérationnelle. DAF et contrôle interne : lecture export sur tout le panel. Juridique : accès contentieux sur dossiers concernés. Prestataire externe (cabinet EC mandaté) : accès contractuel limité, jamais copie vers messagerie personnelle.

Tracez les accès sur un outil registre professionnel. Les partages Google Drive « lien pour tous » sans journalisation sont un point faible récurrent en audit RGPD.

Hébergement et sous-traitants techniques

Si vous utilisez un SaaS registre (Proceda ou équivalent), vérifiez hébergement UE, DPA signé, sous-traitants listés, chiffrement TLS, sauvegardes, et procédure de restitution des données en fin de contrat.

Le donneur d'ordre reste responsable de traitement. L'éditeur est sous-traitant pour l'hébergement des fichiers. Cette distinction doit figurer dans vos contrats et votre registre RGPD.

Droits des personnes et demandes d'effacement

Les attestations concernent des personnes morales en priorité. Les listes de salariés étrangers, elles, impliquent des personnes physiques. En cas de demande d'accès ou d'effacement, arbitrez avec le juridique : l'obligation légale de conservation peut primer sur l'effacement pour la période couverte par le contentieux ou la prescription.

Répondez dans les délais RGPD avec une position motivée, pas avec un silence qui expose à une plainte CNIL distincte du risque URSSAF.

Versions successives : ne pas écraser l'historique

Chaque renouvellement J-30 produit une nouvelle version. Conservez les anciennes avec horodatage. En contrôle rétroactif, l'URSSAF peut demander quelle attestation couvrait le 15 mars de l'année N-2.

Un registre qui ne garde que le dernier PDF détruit une partie de la valeur probatoire du dispositif.

Export et portabilité en due diligence

Lors d'une cession ou d'un refinancement, les acquéreurs demandent le registre L.8222-1. Prévoyez un export structuré (CSV + PDF dossiers) sans données superflues. Le DAF prépare un data room conformité prestataires distincte de la data room financière.

Groupes et filiales

Chaque filiale peut être responsable de traitement pour ses prestataires locaux. La holding impose une politique groupe et consolide les indicateurs. Évitez la copie systématique de tous les PDF au niveau holding sans nécessité : voir centralisation registre filiales.

Check-list DAF pour le prochain comité

Registre des traitements à jour pour le dossier prestataires sociaux.
Durée de retention écrite et appliquée techniquement.
Canal unique de dépôt documenté.
DPA signé avec l'outil registre.

Test annuel de restitution export sur trois dossiers pilotes.

Incidents et violation de données

Préparez une procédure si un dossier prestataire est envoyé par erreur à un mauvais destinataire, ou si un accès non autorisé est détecté sur le registre. Notification DPO sous 24 h, analyse d'impact, mesures correctives, trace écrite pour le comité audit.

Les attestations URSSAF ne contiennent en général pas de données de santé, mais une fuite massive de listes salariés étrangers associées au même dossier peut déclencher des obligations de notification. Cloisonnez les pièces sensibles avec les mêmes règles d'accès que le registre principal.

Alignement avec la politique archivage papier

Certaines PME conservent encore une copie papier « pour le classeur ISO ». Si vous doublez papier et numérique, fixez la même durée de retention et désignez la version faisant foi (en pratique le registre numérique horodaté). Évitez les écarts où le papier est détruit avant le numérique ou l'inverse.

Proceda horodate dépôts, conserve l'historique, héberge en UE et structure les exports audit. Essai 14 jours. Pilier vérification attestation.