RGPD - Quelles sont les obligations du CSE ?

Gestion des subventions, billetterie, voyages, aides sociales, communication avec les salariés… Pour toutes ces missions, le CSE manipule des données personnelles.

‍

Données qui circulent entre élus, prestataires et outils numériques. Est-ce conforme au règlement général sur la protection des données ?

‍

‍Le CSE doit-il respecter le RGPD ? Quelles sont ses obligations ? Et les sanctions applicables en cas de violation ? Découvrez les réponses. 

‍

Le CSE est-il concerné par le RGPD ?

‍

Oui. Le CSE est concerné par le Règlement général sur la protection des données dès lors qu’il manipule des informations permettant d’identifier une personne.

‍

En effet, le RGPD s’applique en effet à toute organisation qui traite des données personnelles. Et ce, quel que soit son statut juridique. Le comité social et économique n’échappe donc pas à ce cadre.

‍

Car dans l’exercice de ses missions, le CSE est régulièrement amené à accéder à des informations relatives aux salariés de l’entreprise.

‍

Par exemple, lorsqu’il gère des fichiers pour organiser ses activités, lorsqu’il communique avec les salariés ou lorsqu’il assure le suivi de certaines démarches internes.

‍

Dès qu’une information permet d’identifier directement ou indirectement une personne (un nom, une adresse email ou un identifiant), il s’agit d’une donnée personnelle au sens du RGPD.

‍

Quelles données le CSE peut-il traiter  ? 

‍

Le CSE peut être amené à manipuler différentes catégories de données personnelles dans l’exercice de ses missions. Mais quand il le fait, il ne doit collecter que les informations strictement nécessaires à l’objectif poursuivi (article 5 du RGPD).

‍

Les données nécessaires à la gestion des activités sociales et culturelles

‍

La gestion des activités sociales et culturelles (ASC) constitue la principale source de traitement de données pour un CSE. Pour attribuer un avantage, organiser une activité ou gérer une inscription, le comité doit souvent identifier les bénéficiaires et vérifier leur éligibilité.

‍

Les données couramment utilisées peuvent inclure :

• nom et prénom du salarié
• coordonnées (adresse email, parfois adresse postale)
• service ou établissement
• composition familiale lorsque l’avantage concerne les ayants droit
• justificatifs permettant de déterminer une participation financière
  
  

Ces informations permettent, par exemple, d’organiser un voyage, gérer une billetterie, attribuer une subvention ou vérifier qu’un salarié remplit les conditions d’accès à une prestation.

‍

Les données utiles à la communication avec les salariés

‍

Le CSE doit informer les salariés sur ses activités, ses événements ou ses décisions. Pour cela, il peut être amené à utiliser certaines coordonnées afin de diffuser ses communications.

‍

Il peut, par exemple, gérer :

• une liste d’adresses email pour envoyer une newsletter du CSE
• un fichier de diffusion pour informer les salariés d’une activité
• les inscriptions à un événement organisé par le comité
  
  

Ces données doivent être utilisées uniquement pour la communication liée aux activités du CSE. Leur réutilisation pour une autre finalité doit être encadrée.

‍

Les données transmises par l’employeur au CSE

‍

Dans certaines situations, l’employeur peut transmettre des informations au CSE afin de lui permettre d’exercer ses missions. Cela peut concerner :

• des informations nécessaires à la gestion des ASC
• des données utiles au suivi de certaines situations sociales
• des éléments nécessaires à une consultation du CSE
  
  

Les données des ayants droit et des tiers

‍

Le traitement de données ne concerne pas uniquement les salariés. Le CSE peut aussi manipuler des informations concernant d’autres personnes.

C’est notamment le cas pour :

• les ayants droit des salariés (conjoint, enfants)
• les prestataires et partenaires du CSE
• les éventuels salariés employés directement par le CSE
  
  

Dans ces situations, les règles du RGPD s’appliquent également. Le CSE doit donc encadrer la collecte, l’utilisation et la conservation de ces données.

‍

Les données sensibles

‍

Certaines informations présentent un niveau de sensibilité particulier. Le RGPD parle alors de données sensibles.

‍

Il peut s’agir de données relatives à la santé, à la situation sociale ou à certaines difficultés personnelles lorsqu’un salarié sollicite une aide exceptionnelle du CSE.

‍

Dans ces cas, la prudence doit être renforcée avec un accès limité aux informations, une conservation encadrée et une diffusion strictement nécessaire

📌 Bon à savoir : toutes les données personnelles ne présentent pas le même niveau de risque. Plus l’information est sensible, plus le CSE doit limiter son accès et sa conservation.

‍

Quelles sont les obligations concrètes du CSE au titre du RGPD ? 

‍

Toute organisation qui traite des données personnelles doit être capable de démontrer qu’elle respecte les principes de protection des données. C’est le principe d’accountability dans le RGPD.

‍

Déterminer une finalité claire pour chaque traitement

‍

Chaque traitement de données doit répondre à un objectif précis. Le RGPD impose en effet que les données soient collectées pour une finalité déterminée, explicite et légitime.

‍

Concrètement, le CSE doit être capable d’expliquer pourquoi il collecte certaines informations. Par exemple : gérer une inscription à une activité, attribuer une subvention ou organiser un événement.

‍

Un fichier constitué sans objectif clair ou conservé “au cas où” ne respecte pas ce principe.

‍

Informer les personnes concernées

‍

Le RGPD impose d’informer les personnes dont les données sont collectées. Les salariés ou bénéficiaires doivent donc savoir :

• quelles données sont collectées
• pour quelle raison
• qui y a accès
• combien de temps elles sont conservées
• quels sont leurs droits
  
  

‍

Cette information peut être fournie via une notice d’information, une mention dans un formulaire ou une page dédiée sur l’espace du CSE.

‍

Limiter la collecte et la durée de conservation

‍

Le CSE ne doit collecter que les données nécessaires à l’objectif poursuivi. C’est le principe de minimisation des données. 

‍

Cela implique de : 

• éviter de demander des informations inutiles
• supprimer les données lorsqu’elles ne sont plus nécessaires
  
  

Par exemple, les justificatifs utilisés pour attribuer un avantage n’ont pas vocation à être conservés indéfiniment.

‍

Sécuriser l’accès aux données et aux outils du CSE

‍

Les données personnelles doivent être protégées contre les accès non autorisés, la perte ou la divulgation. Le RGPD impose donc des mesures de sécurité adaptées.

Pour un CSE, cela peut passer par :

• la limitation des accès aux fichiers
• la protection des comptes par mot de passe
• l’utilisation d’outils sécurisés pour la gestion des avantages
• la suppression des accès lorsqu’un élu quitte son mandat
  
  

Ces mesures permettent de limiter les risques de fuite ou d’utilisation abusive des données.

‍

Encadrer les relations avec les prestataires

‍

Le CSE travaille souvent avec des prestataires pour la gestion de la billetterie, des voyages ou des plateformes d’avantages. Lorsque ces prestataires traitent des données pour le compte du CSE, ils agissent comme sous-traitants au sens du RGPD.

Le CSE doit alors vérifier plusieurs points :

• les engagements du prestataire en matière de protection des données
• les mesures de sécurité mises en place
• les conditions d’hébergement des données
  
  

Avec Happy Pal, la gestion des activités sociales et culturelles est centralisée dans un environnement sécurisé, avec des accès contrôlés et une gestion structurée des informations des bénéficiaires. Cela limite la multiplication des fichiers et réduit les risques liés à la circulation des données. En choisissant notre plateforme, vous avez l’assurance que les informations de vos collaborateurs sont protégées. 

‍

Demandez votre demo 

‍

Gérer les droits des personnes et les incidents

‍

Le RGPD reconnaît plusieurs droits aux personnes concernées : droit d’accès, de rectification, droit à l’effacement ou à l’opposition. Le CSE doit donc être en mesure de répondre à ces demandes lorsqu’un salarié souhaite savoir quelles données sont conservées ou demander leur modification.

‍

Enfin, en cas de violation de données (perte d’un fichier, accès non autorisé, erreur de diffusion), le CSE doit analyser la situation et prendre les mesures nécessaires. Selon la gravité de l’incident, une notification à la CNIL peut être requise.

‍

Comment mettre le CSE en conformité ? 

‍

Mettre le CSE en conformité avec le RGPD repose surtout sur une organisation claire. L’objectif est de savoir quelles données sont utilisées, pourquoi elles le sont et comment elles sont protégées.

‍

Voici les principales étapes à suivre.

• Recenser les traitements de données réalisés par le CSE : identifiez les situations dans lesquelles des données personnelles sont utilisées. Par exemple : gestion des activités sociales et culturelles, inscriptions à des événements, demandes de subventions ou communication avec les salariés.

• Lister les données réellement collectées : pour chaque activité, notez les informations utilisées. Nom, coordonnées, situation familiale, justificatifs ou données des ayants droit doivent être identifiés.

• Vérifier la nécessité de chaque information : le RGPD impose de ne collecter que les données utiles. Si une information n’est pas nécessaire pour attribuer un avantage ou gérer une activité, elle ne doit pas être demandée.

• Définir la finalité de chaque traitement : le CSE doit pouvoir expliquer pourquoi il collecte les données. Par exemple : gérer une inscription, attribuer une prestation ou informer les salariés.

• Tenir un registre des traitements : ce document permet de centraliser les traitements réalisés par le CSE. Il mentionne la finalité, les données utilisées, les personnes concernées et la durée de conservation.

• Informer les salariés et les bénéficiaires : les personnes concernées doivent savoir quelles données sont collectées, pour quelle raison et quels sont leurs droits.

• Définir des durées de conservation : les données ne doivent pas être conservées indéfiniment. Les justificatifs ou fichiers devenus inutiles doivent être supprimés.

• Sécuriser les accès aux données : limitez l’accès aux fichiers aux personnes concernées, protégez les comptes par mot de passe et supprimez les accès lorsqu’un élu quitte son mandat.
  
  

Ces étapes permettent au CSE de structurer sa gestion des données et de réduire les risques liés au RGPD.

‍

Quelles sanctions en cas de non-respect du RGPD par le CSE ?

‍

Lorsqu’un manquement est constaté, la CNIL peut d’abord adresser un rappel à l’ordre ou une mise en demeure afin que l’organisme se mette en conformité. Si les manquements persistent ou présentent un niveau de gravité élevé, des sanctions administratives peuvent être prononcées.

‍

Ces sanctions peuvent notamment prendre la forme d’une amende administrative : allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (et dans les cas les plus graves, 20 millions d’euros ou 4 % du chiffre d’affaires). 

‍

Ces montants correspondent au cadre maximal prévu par le règlement et concernent principalement les grandes organisations. Dans la pratique, les sanctions tiennent compte de plusieurs critères, comme la gravité du manquement, la nature des données concernées ou les mesures prises pour corriger la situation.

‍

Pour un CSE, le risque ne se limite pas aux sanctions administratives. Une mauvaise gestion des données peut aussi entraîner une perte de confiance des salariés, des tensions avec l’employeur ou des contestations de la part des bénéficiaires des activités sociales et culturelles.

‍

C’est pourquoi la mise en conformité au RGPD doit être envisagée avant tout comme une démarche de sécurisation du fonctionnement du CSE, et non uniquement comme une obligation juridique.

‍

Dans la même catégorie

Ces articles pourraient vous intéresser : 

• Confidentialité CSE
• Assurance CSE
• Droit d'alerte CSE
• Heures de délégation CSE
• Loi DDADUE CSE
• Délit d'entrave CSE
• Réglement intérieur CSE
• Absence de CSE sanctions